此帖子将在Office环境中使用典型的WiFi作为示例，在WLC，RADIUS（NPS），DHCP服务器上呈现相关配置。
1.拓扑：
1.1网络拓扑
- 思科无线控制器5508配置步骤 - 第1部分（CLI和GUI） –
- 思科无线控制器5508配置步骤 - 第2部分（用户/机器验证） –
- 思科无线控制器5508配置步骤 - 第3部分（证书AUTH和其他设置）
1.2设备列表：
- 思科 AP 1702i.
- 开关
- RADIUS服务器 - Microsoft NPS
- DHCP服务器
- 思科 WLC5508.
1.3无线访问与数字证书客户端身份验证的拓扑
2. WiFi访问要求
此WiFi访问主要用于通过域组策略在计算机上安装客户端证书的公司笔记本电脑。此WiFi网络将位于其他Office VLAN的单独办公VLAN上。
其他WiFi连接设备不得允许连接到此Office Wifi。他们将通过公司提供无线网络连接。不应允许使用BYOD，BlackBerry或其他PDA和智能手机等移动设备连接到Office Wifi。
3. NPS配置
使用具有802.1x认证的WPA2-Enterprise，可以将Aea-TLS指定为身份验证方法。当EAP-TLS是所选择的身份验证方法时，无线客户端和RADIUS服务器都使用证书来验证它们的身份彼此并执行相互认证。以下是在Windows网络策略服务器中配置策略以支持EAP-TLS的步骤。
- 打开 网络策略服务器 console.
- 导航 NPS（本地）>Policies>连接请求策略.
- 右键点击 连接请求策略 and select 新的.
- 上 指定连接策略名称和连接类型 enter a 政策名称： and click 下一页.
- 上 指定条件 click 添加.
- 选择 NAS端口类型 as a condition.
- 为了 NAS端口类型 check 无线 - IEEE 802.11 and 无线 - 其他 click 好的 .
- 点击 下一页.
- 上 指定连接请求转发 留下默认值并单击 下一页.
- 上 指定身份验证方法 留下默认值并单击 下一页.
- 上 配置设置 click 下一页.
- 查看设置 完成连接请求策略向导 and click 结束.
- 右键单击创建的连接策略并选择 提升 所以它的处理订单是在任何其他政策之前。
- 右键点击 Network Policies and select New.
- 上 指定网络策略名称 and 连接类型 enter a 政策名称： and click 下一页.
- 上 指定条件 click 添加.
- 选择 NAS端口类型 as a condition.
- 为了 NAS端口类型 check 无线 - IEEE 802.11 and 无线 - 其他 click OK.
- 点击 下一页.
- 上 指定访问权限 make sure 授予访问权限 被选中并单击 下一页.
- 上 配置身份验证方法 click 添加 and choose 微软：智能卡或其他证书 为了 添加EAP. and click 好的 .
- 取消选中任何框 较少安全的身份验证方法.
- 选择 微软：智能卡或其他证书 for EAP类型 and click 编辑.
- 验证 证书发给： 下拉显示了是Active Directory CA Server的正确证书和发行者。然后点击 好的 .
- 点击 下一页.
- 上 配置约束 click 下一页.
- 上 配置设置 choose 午睡执法.
- 在下面 自动修复, uncheck这个盒子 自动修复客户端计算机 and click 下一页.
- 查看设置 完成新的网络策略 然后点击 结束.
- 右键单击创建的网络策略并选择 提升 所以它的处理订单是在任何其他政策之前。
以下是NPS策略的屏幕截图：
4. WLC配置
5. DHCP选项43配置
当您在不同的子网上安装三层接入点时，请确保从您将安装接入点的子网可以访问DHCP服务器，并且子网有路线思科无线局域网控制器。还可以确定回到思科无线LAN控制器的路线有目的地UDP端口5246和5247开放，用于CAPWAP通信。确保返回主要，辅助和三级无线LAN控制器的路由允许IP数据包片段。最后，确保如果使用了地址转换，则接入点和思科无线LAN控制器对外部地址具有静态1至1 NAT。 （不支持端口地址转换。）
您可以使用 DHCP选项43为访问点提供控制器IP地址列表，使其能够查找并加入控制器。
接入点必须能够找到控制器的IP地址。这可以通过DHCP选项43的配置解决。
IP地址到六角转换器 有一个在线转换器，可以帮助您将IP地址转换为HEX。
参考：
- 1. 思科 WLC DHCP选项43
- 2. 基于WiFi证书的身份验证
- 3. 基于EAP-TLS的经过身份验证的无线访问设计
- 4. RADIUS：在NPS中创建策略以支持EAP-TLS身份验证
- 5. Microsoft NPS作为WiFi网络的RADIUS服务器：动态VLAN分配
- 6. 廉价的802.1x解决方案
- 7. 使用Cisco WLC配置Server 2012上的NPS：第1部分
- 8. IP地址到六角转换器
- 9. 亁颐堂现任明显综合联网CCNA。第一天。综合网概述.1