Samenvatting

In dit artikel worden de stappen beschreven voor het configureren van een Windows 2000-domein voor ondersteuning van clientcomputers met Microsoft Windows XP Professional die IEEE 802.11-toegang met IEEE 802.1x-verificatie gebruiken in een draadloos netwerk.


Terug naar begin

Vereisten

Voor het gebruik van Windows XP Professional-clients die EAP-TLS (Extensible Authentication Protocol-Transport Level Security) gebruiken, moet u de volgende items configureren:

• Windows XP Professional-clientcomputers die draadloze netwerkadapters gebruiken.
• Een server waarop Windows 2000 IAS (Internet Authentication Service) voor RADIUS-verificatie (Remote Authentication Dial-In User Service) wordt uitgevoerd.
• Draadloze toegangspunten die IEEE 802.1x-verificatie ondersteunen.

Daarnaast moet u in het Windows 2000-domein de volgende onderdelen installeren:

• Windows 2000 Service Pack 2 (SP2).
  Als u meer informatie wilt over het ophalen van het meest recente service pack voor Windows 2000, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
  

  260910 Het meest recente service pack voor Windows 2000 ophalen

• Een update voor Windows 2000 IAS.
  Als u meer informatie wilt over het verkrijgen van deze update, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
  

  304697 Waarden voor draadloze verbindingen voor RADIUS-kenmerken niet beschikbaar

• Een update voor Active Directory die computeraccounts de mogelijkheid van inbeleigenschappen biedt.
  Als u meer informatie wilt over het verkrijgen van deze update, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
  

  306260 Inbelmachtigingen voor computers met draadloze netwerkverbinding kunnen niet worden gewijzigd

Terug naar begin

Een certificaatserver configureren

Als u een draadloze clientcomputer wilt laten verifiëren via EAP-TLS, moet u op zowel de clientcomputer als de IAS-server een computercertificaat installeren. Het computercertificaat op de draadloze clientcomputer wordt gebruikt voor netwerkverbinding met het domein. Nadat een netwerkverbinding tot stand is gebracht en de gebruiker zich aanmeldt, wordt een gebruikerscertificaat gebruikt om de draadloze toegang te verifiëren.

Opmerking U moet tevens een computercertificaat op de IAS-server installeren zodat de IAS-server een certificaat naar de draadloze clientcomputer kan zenden voor wederzijdse verificatie tijdens de EAP-TLS-verificatieprocedure.


In een eenvoudige implementatie configureert u een enkel basiscertificaat van een ondernemingscertificeringsinstantie om zowel het computercertificaat als het gebruikerscertificaat uit te geven. Als u het computercertificaat of gebruikerscertificaat installeert op de draadloze clientcomputer, wordt tevens het basiscertificaat voor de ondernemingscertificeringsinstantie geïnstalleerd.


Wanneer u het computercertificaat installeert op de IAS-server, wordt tevens het basiscertificaat voor de ondernemingscertificeringsinstantie geïnstalleerd. Zowel de draadloze client als de IAS-server heeft de certificaten die vereist zijn om EAP-TLS-verificatie uit te voeren.


Voor meer informatie klikt u op de volgende artikelnummers in de Microsoft Knowledge Base:
Voer de volgende stappen uit voor meer informatie over het automatisch toewijzen van een certificaat aan elke computer in een domein:

1. Klik op Start en op Help.
2. Open het tabblad Zoeken, typ de volgende tekst en klik op Onderwerpen:

   automatische toewijzing certificaten configureren

3. Klik in de lijst Kies een onderwerp op het betreffende onderwerp en klik op Weergeven.

Terug naar begin

Active Directory-accounts en -groepen configureren voor draadloze toegang

Active Directory configureren voor ondersteuning van draadloze toegang:

1. Maak een account voor elke gebruiker.
2. Maak een account voor elke draadloze computer.
3. Verleen elke computeraccount RAS-machtiging.
4. Verleen elke gebruikersaccount RAS-machtiging.
5. Deel de gebruiker- en groepsaccounts in universele en globale groepen in om RAS-beleidsinstellingen toe te passen.

Voor meer informatie over het ondersteunen van draadloze verbindingen in een Windows 2000-domein klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
Terug naar begin

Primaire en secundaire IAS-servers configureren

1. Installeer en configureer een primaire IAS-server en een secundaire IAS-server op Windows 2000-domeincontrollers.
   Klik voor meer informatie over de te volgen werkwijze op de volgende artikelnummers in de Microsoft Knowledge Base:
   

   317588 Een primaire Authentication Service-server configureren op een domeincontroller

   317589 Een secundaire Authentication Service-server configureren op een domeincontroller

2. Voeg de draadloze toegangspunten toe aan de IAS-servers als NAS-clients (Network Address Server).
3. Maak een RAS-instelling voor draadloze toegang tot het interne netwerk. Ga hiervoor als volgt te werk:
   1. Klik op Start, wijs Programma's aan, klik op Configuratiescherm, dubbelklik op Systeembeheer en dubbelklik op Internet Authentication Service.
   2. Klik met de rechtermuisknop op RAS-beleid en klik vervolgens op Nieuw RAS-beleid.
   3. Typ de gewenste naam in het vak Beschrijvende naam voor beleid en klik op Volgende.
      
      
      Typ bijvoorbeeld Draadloze toegang tot intern netwerk.
   4. Klik op Toevoegen, klik op Windows-Groups, klik op Toevoegen en klik nogmaals op Toevoegen.
   5. Klik op de groep waarop u de RAS-beleidsinstelling wilt toepassen, klik op Toevoegen, klik op OK en klik nogmaals op OK.
      
      Windows-Groups matches 'domeinnaam\groepsnaam' wordt weergegeven in het vak Voorwaarden.
   6. Klik op Toevoegen, klik op NAS-Port-Type en klik op Toevoegen.
   7. Klik onder Beschikbare typen op Draadloos-Overige of Draadloos-IEEE 802.11 (afhankelijk van uw type draadloos toegangspunt), klik op Toevoegen en klik op OK. (Als u het NAS-Port-Type niet kunt configureren en clients geen toegang hebben, zoekt u in het systeemlogboek naar IAS-fouten en kijkt u of het NAS-Port-Type in de foutberichten overeenkomt met het type dat is ingesteld in het beleid.)
   8. Klik op Volgende, klik op RAS-machtiging verlenen en klik opnieuw op Volgende.
   9. Klik op Profiel bewerken en open het tabblad Verificatie.
   10. Schakel het selectievakje Extensible Authentication Protocol in en schakel alle overige selectievakjes uit.
   11. Klik in de lijst Selecteer het EAP-type dat voor dit beleid acceptabel is op Smartcard of ander certificaat.
       
       Opmerking Als u meerdere certificaten op de IAS-server hebt geïnstalleerd, klikt u op Configureren en selecteert u het juiste computercertificaat.
   12. Klik op Toepassen en open het tabblad Codering.
   13. Schakel alle selectievakjes uit, met uitzondering van het selectievakje Sterkste.
       
       Opmerking Als het draadloze toegangspunt geen codering ondersteunt, schakelt u alle selectievakjes uit en schakelt u het selectievakje Geen codering in.
   14. Klik op OK, klik op Nee als u wordt gevraagd of u het Help-onderwerp over draadloze toegang wilt zien en klik op Voltooien.
4. Maak een RAS-instelling voor draadloze toegang tot het Internet. Ga hiervoor als volgt te werk:
   1. Klik op Start, wijs Programma's aan, klik op Configuratiescherm, dubbelklik op Systeembeheer en dubbelklik op Internet Authentication Service.
   2. Klik met de rechtermuisknop op RAS-beleid en klik vervolgens op Nieuw RAS-beleid.
   3. Typ de gewenste naam in het vak Beschrijvende naam voor beleid en klik op Volgende.
      
      
      Typ bijvoorbeeld Draadloze toegang tot het Internet.
   4. Klik op Toevoegen, klik op Windows-Groups, klik op Toevoegen en klik nogmaals op Toevoegen.
   5. Klik op de groep waarop u de RAS-beleidsinstelling wilt toepassen, klik op Toevoegen, klik op OK en klik nogmaals op OK.
      
      Windows-Groups matches 'domeinnaam\groepsnaam' wordt weergegeven in het vak Voorwaarden.
   6. Klik op Toevoegen, klik op NAS-Port-Type en klik op Toevoegen.
   7. Klik onder Beschikbare typen op Draadloos-Overige of Draadloos-IEEE 802.11 (afhankelijk van uw type draadloos toegangspunt), klik op Toevoegen en klik op OK.
   8. Klik op Volgende, klik op RAS-machtiging verlenen en klik opnieuw op Volgende.
   9. Als het draadloze toegangspunt VLAN's (Virtual Local Area Network) ondersteunt:
      1. Klik op Profiel bewerken en open het tabblad Geavanceerd.
      2. Klik op Toevoegen, klik op Tunnel-Type, klik op Toevoegen en klik nogmaals op Toevoegen.
      3. Klik in de lijst Waarde van het kenmerk op Virtual LANs (VLAN), klik op OK en klik nogmaals op OK.
      4. Klik in de lijst RADIUS-kenmerken op Tunnel-Pvt-Group-ID, klik op Toevoegen en klik nogmaals op Toevoegen.
      5. Typ in het vak Geef de waarde op van het kenmerk de kenmerkwaarde van het VLAN dat met het Internet is verbonden.
      6. Klik op OK, klik nogmaals op OK, klik op Sluiten en klik opnieuw op OK.
   10. Klik op Voltooien.
5. Verwijder de standaard RAS-instelling, Toegang toestaan als inbelmachtiging is ingeschakeld, als deze wordt vermeld.
   
   
   Hiertoe klikt u met de rechtermuisknop op de beleidsinstelling en klikt u op Verwijderen. Klik desgevraagd op Ja om het verwijderen te bevestigen.
6. Kopieer de RAS-beleidsinstellingen naar de andere IAS-server.

Als u meer informatie wilt over het aanbrengen van RAS-beleidsinstellingen, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
Terug naar begin

RADIUS-accounting en -verificatie configureren op draadloze toegangspunten

Configureer het draadloze toegangspunt om de IAS-servers te gebruiken voor RADIUS-accounting en -verificatie. Voer op elk draadloos toegangspunt de volgende informatie in voor de primaire en secundaire IAS-server:

• Het IP-adres (Internet Protocol) of de hostnaam.
• De gedeelde geheime gegevens.
• De UDP-poorten (User Datagram Protocol) die gebruikt worden voor verificatie en accounting.

Raadpleeg de documentatie bij het toegangspunt voor meer informatie over het configureren van het toegangspunt.Voor informatie over contactgegevens van hardwarefabrikanten klikt u op het juiste artikelnummer in de volgende lijst:Microsoft verstrekt deze contactinformatie om u te helpen bij het aanvragen van technische ondersteuning. Deze contactinformatie kan zonder aankondiging worden gewijzigd. Microsoft kan daarom ook niet instaan voor de juistheid van deze contactinformatie.


Terug naar begin

Computer- en gebruikerscertificaten installeren op draadloze clientcomputers

Installeer de computer- en clientcertificaten op de draadloze clientcomputers. Als u het domein hebt geconfigureerd om automatisch certificaten toe te wijzen aan computers die met het domein zijn verbonden, kunt u de clientcomputer met het domein verbinden via een draadverbinding. Er wordt automatisch een computercertificaat uitgegeven.


Voor gebruikersverificatie met EAP-TLS configureert u ofwel gebruikerscertificaten, ofwel smartcard-verificatie.

• Voor smartcard-verificatie configureert u een inschrijvingsstation en geeft u vervolgens smartcards uit met certificaten die zijn toegewezen aan afzonderlijke gebruikersaccounts.
• Voor gebruikerscertificaat-verificatie moet de computer een gebruikerscertificaat opvragen bij een Windows 2000-certificeringsinstantie in het interne netwerk.

Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:
Terug naar begin