Configuración WL 802.1x PEAP

Manual de Instalación y configuración de tecnología de autenticación y cifrado wireless basado en 802.1x/PEAP

La debilidad de las tecnologías basadas en claves compartidas WEP, son el motivo para migrar a una tecnología más robusta y seguro, en lo correspondiente al acceso wireless en las redes locales. La tecnología seleccionada para la empresa se basa en los protocolos 802.1x / PEAP, siendo PEAP  una de las distribuciones más robustas de EAP para wireless, la cual se basa a su vez en certificados digitales del lado del servidor, un supplicant 802.1x y un autorizador por parte de un servidor AAA como IAS de Microsoft, el cual a su vez se integra con los usuarios y grupos de Active Directory. A continuación un manual para la configuración de todas las entidades de software y hardware requeridas para esta autenticación

Proceso de Autenticación PEAP. Figura 1

[pic 1]

Configuración de Servidor AAA Radius (Microsoft Windows Server 2003 MS IAS)

En este caso el Servidor AAA será un Radius de Microsoft, es decir MS IAS. Otra opción de protocolos AAA es TACACs, igualmente como Radius Server podemos también utilizar free Radius, Cisco Radius, etc.

1. Se instalará el IAS en Windows Server 2003 (ojo, si se utiliza Windows 2000 Server, se deberá instalar previamente el service pack 4, que soporta la distribución PEAP). Luego se autorizará el IAS en el AD (click derecho en la raíz del IAS, autorizar)

1. Se configurará el cliente Radius, Network Access Server NAS 802.1x, en este caso el Access-Point de Cisco.  Figura 2

[pic 2]

[pic 3]

[pic 4]

[pic 5]

[pic 6]

[pic 7]

[pic 8]

[pic 9]

[pic 10]

1. El paso siguiente en el Radius es crear una directiva de Acceso Remoto. Figuras 3, 4, 5, 6, 7

[pic 11]

[pic 12]

[pic 13]

[pic 14]

[pic 15]

El Wizard guiará paso a paso  para la configuración de los parámetros durante la creación de la directiva

[pic 16]

[pic 17]

[pic 18]

[pic 19][pic 20][pic 21]

[pic 22]

[pic 31]

[pic 32]

[pic 33][pic 34]

Configuración del NAS (Cisco AP 1240AG)

NAS o Network Access Server, es el encargado de otorgar link a un cliente PEAP, reenvía las credenciales de un cliente al servidor AAA, y si son válidas, le otorga el acceso a la red. Conversan en capa 2 OSI por medio de 802.1x con los clientes y en capa 7 por medio de Radius con el servidor, dentro de los paquetes de datos de 802.1x y Radius, viaja el paquete EAP.

1. Lo primero será configurar los parámetros básicos: interface bvi1, interface fast-ethernet, interfaces wireless 802.11g y 802.11a, encendimiento de interfaces, direcciones ip, etc.

1. En segundo lugar se pasará a configurar el SSID que utilizará la red inalámbrica, y el tipo de autenticación 802.1x / eap que utilizarán los clientes. Esto se realizarán desde el Menú Security / SSID Manager. Figura 9

[pic 35][pic 36][pic 37][pic 38]

A través de la consola de configuración por comandos, estos pasos se pueden realizar con las siguientes líneas.

AP#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

AP(config)#interface dot11radio 0

AP(config-if)#ssid ssid labap1200

AP(config-if-ssid)#authentication open eap eap_methods

AP(config-if-ssid)#authentication network-eap eap_methods

AP(config-if-ssid)#end

AP#write memory

1. El siguiente paso consiste en configurar el servidor AAA Radius al cual el NAS se autenticará y reenviará la información de los clientes 802.1x/PEAP, veamos desde el modo consola y desde el modo gráfico.

Desde el modo Consola, se deberán ingresar los siguientes comandos 

AP #conf t

AP(config)#aaa group server radius rad_eap

AP(config-sg-radius)#server 10.0.0.3 auth-port 1645 acct-port 1646

AP(config-sg-radius)#exit

AP(config)#aaa new-model

AP(config)#aaa authentication login eap_methods group rad_eap

AP(config)#radius-server host 10.0.0.3 auth-port 1645

acct-port 1646 key labap1200ip102

AP(config)#end

AP#write memory

Desde el modo gráfico se realizará de la siguiente manera. Se debe ingresar al Menú Security / Server Manager. Figura 10

[pic 39]

[pic 40]

[pic 41]

[pic 42]

[pic 43]

1. A continuación se configurará el protocolo de cifrado de datos, WEP o WPA, veamos ambas configuraciones.

WEP

[pic 44][pic 45]

Desde la consola de configuración del terminal se ingresarían los siguientes comandos:

...