Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

配置客户端设备以进行 EAP-TTLS 身份验证

要通过 EAP-TTLS 身份验证保护网络，请在客户端设备上执行以下配置步骤。

瞻博网络 Mist Access Assurance 仅支持 EAP-TTLS 身份验证，内部方法为 PAP 。默认情况下，当用户在 SSID 登录提示下输入凭据时，大多数客户端设备（例如 Apple iOS/macOS 和 Windows）会尝试使用 PEAP-MSCHAPv2 或 EAP-TTLS/MSCHAPv2。这些方法依赖于密码散列（如 MSCHAPv2），并且不受基于云的现代身份提供商 （IdP） 的支持。要成功接入，必须将客户端设备显式配置为将 EAP-TTLS 与 PAP 配合使用。在生产部署中，此配置通常通过移动设备管理 （MDM） 解决方案强制执行。但是，对于验证或实验室测试，也可以按照以下步骤在设备上手动配置该方法

先决条件

  1. 下载瞻博网络 Mist 组织证书颁发机构证书：

    客户端设备必须信任 Mist Access Assurance 服务器。您配置的无线配置文件中必须包含 Mist 组织证书颁发机构证书。

    1. 在瞻博网络Mist门户上，转到 组织>访问>证书。在“证书颁发机构”页面中，单击“ 查看 Mist 证书 ”以显示证书详细信息。
      图 1：下载瞻博网络 Mist 证书颁发机构View Certificate window displaying details of a signed certificate, including encoded text, common name, validity period, issuer, serial number, CRL distribution points, and subject alternative name. Background shows a list of certificates with download and close options.证书

    2. 单击 “下载证书” ，将证书下载到客户端设备上。

      注意：如果您使用的是自定义服务器证书，请使用服务器证书的根证书颁发机构而不是Mist组织证书颁发机构。
  2. 配置身份提供商 （IdP）：在瞻博网络Mist仪表板中，导航到组织 >访问>身份提供程序>添加IDP 并配置所需的 IdP 详细信息。有关详细信息，请参阅为 瞻博网络 Mist Access Assurance 添加身份提供商。
    图 2：配置身份提供程序 LDAP integration setup interface in Juniper Mist platform showing fields for Name, IDP Type, LDAP Type, Server Hosts, Domain Names, Default IDP option, Bind DN, Bind Password, Base DN, and sections for adding LDAPS certificates. Navigation menu on the left includes Monitor, Marvis, Clients, Access Points, Switches, WAN Edges, Mist Edges, Location, Analytics, Site, AB Testing, and Organization.
  3. 创建身份验证策略规则：在组织 >访问>身份验证策略下，定义适当的身份验证策略规则，允许 EAP-TTLS 客户端设备连接到网络。有关详细信息，请参阅 配置身份验证策略。
    图 3：创建身份验证策略 User interface for managing authentication policies in [MIST CSQA] ANIRUDH LAB, showing policy table with policy number, name, match criteria, actions, assigned policies, and hit count. Includes buttons for adding rules, creating labels, saving, and canceling changes. Dropdown menus for auth type and time filter are visible.

配置 Apple 设备以进行 EAP-TTLS 身份验证

我们已经描述了使用 Apple macOS 设备的配置。

对于此任务，请使用免费的 Apple Configurator 工具创建 EAP-TTLS 网络配置文件。

在 Apple 客户端设备上创建描述文件：

  1. 在 macOS 客户端上，打开 Apple Configurator 工具，然后单击文件 >新配置文件
    图 4：Apple 客户端Apple Configurator on macOS with File menu open; New Profile option highlighted in red box for creating device configuration profiles.的 Wi-Fi 配置文件配置

    新的配置描述文件文稿随即打开。

  2. 在 Apple Configurator 页面的左侧导航栏上，单击 证书>配置。选择并上传您下载的 Mist 证书（如 先决条件中所述）。若要让客户端设备信任瞻博网络 Mist Access Assurance 服务器，您必须将其包含在无线配置文件中。
    图 5：在 Wi-Fi 配置文件配置中上传瞻博网络 Mist 证书颁发机构证书Configuration interface with certificates option selected, marked as not configured, and a highlighted configure button to set up PKCS1 and PKCS12 certificates.
  3. 从 Apple Configurator 工具的左侧导航栏中，选择 Wi-Fi，然后单击配置。
    图 6：Wi-Fi 配置文件配置 Configuration interface with menu options like General, Restrictions, Domains, and Wi-Fi. Wi-Fi is selected, showing instructions to configure wireless network settings and a red Configure button.

    为 Wi-Fi 设置输入以下选项：

    • SSID — 您网络的 SSID。确保输入的 SSID 正确，包括大写字母。
    • 安全性类型 — WPA2/WPA 3 企业
    • 接受的 EAP 类型 — TTLS 并选择按连接密码。
    • 内部身份验证 — PAP
    图 7：Wi-Fi 配置文件配置设置 Wi-Fi profile configuration screen on macOS with SSID mist-aa, security type WPA2/WPA3 Enterprise, EAP type TTLS, per-connection password enabled, inner authentication set to PAP, and TLS versions specified.
  4. 在同一页面上，在协议旁边的企业设置下，单击信任。该页面将显示已上传证书的列表。

    选择证书颁发机构证书Mist瞻博网络，然后在“受信任的服务器证书名称”下输入 auth.mist.com。此步骤使客户端设备能够信任瞻博网络 Mist Access Assurance 服务器。

    图 8：在 Wi-Fi 配置文件中信任瞻博网络 Mist 证书颁发机构证书 Configuration interface for setting up a wireless network with options for SSID, security type, enterprise settings, proxy setup, and QoS marking.
  5. 保存配置文件配置。
    图 9：保存 Wi-Fi 配置文件配置 Apple Configurator application on macOS with File menu open and Save option highlighted. Wi-Fi payload is selected showing 1 Payload Configured. Other payloads are Not configured.
  6. 要对个人资料进行签名，您需要一个 Apple 信任的证书。生产用途需要此步骤。

现在，您可以将配置文件安装到您的 macOS 设备上，并通过 EAP-TTLS 连接到 SSID。

适用于 iOS 和 iPadOS

要在 iPhone 或 iPad 上测试 EAP-TTLS，您可以从 macOS 设备导出配置的 Wi-Fi 配置文件并通过 AirDrop 共享它们。收到后，在 iOS 设备上安装这些配置文件，以使用带有 PAP 身份验证的 EAP-TTLS 进行连接。

  1. 在您的 iOS 设备上，打开“设置”应用并点击 “已下载配置文件”。
    图 10：定位配置文件 Settings screen in dark mode showing Start Using iCloud and Finish Setting Up Your iPhone with red notification badges, Profile Downloaded highlighted in red, and other options like Airplane Mode, Wi-Fi, Bluetooth, Mobile Service, Battery, General, and Accessibility.
  2. 点击屏幕右上角的 安装 。
    图 11：安装配置文件 Installing configuration profile named Corp-NET with Wi-Fi certificate, marked Not Signed, options to Cancel, Install highlighted in orange, or Remove Downloaded Profile.

  3. 按照屏幕上的说明完成安装过程。

  4. 输入用户名和密码，然后单击 加入 连接无线网络。

    图 12：连接无线网络 Wi-Fi login screen prompting for username and password to join Corp-NET network with Cancel and Join options, mode set to Automatic.

配置 Windows 设备以进行 EAP-TTLS 身份验证

使用以下步骤为 EAP-TTLS 身份验证配置 Windows 设备。

  1. 下载瞻博网络Mist组织证书颁发机构证书（如 先决条件中所述），并将Mist组织证书颁发机构证书导入到“管理 计算机证书>受信任的根证书颁发机构”下的 Windows 设备。
    图 13：Windows 设备上Microsoft Management Console interface showing the Certificates snap-in with a list of trusted root certification authorities, including columns for Issued To, Issued By, Expiration Date, and Intended Purposes.的受信任根证书
  2. 在您的 Windows 设备上，转到 “控制面板”>“网络和共享中心”>设置新连接或网络 ，然后选择 “手动连接到无线网络” ，然后单击 “下一步”。
    图 14：设置新连接 Network and Sharing Center in Windows Control Panel showing active network Airtel_Home 4 as public and Set Up a Connection wizard highlighting Manually connect to a wireless network option.
  3. 在输入 要添加的无线网络的信息中，提供以下详细信息：

    • 网络名称 — 提供 SSID 名称。

    • 安全性类型 - 选择 WPA2-Enterprise 或 WPA3-Enterprise 选项。

    图 15：输入无线网络 Screenshot of Network and Sharing Center showing active network Airtel_Home 4 as public and a pop-up for manually connecting to a wireless network with fields for network name MGMT-SSID, WPA2-Enterprise security, AES encryption, and blank security key.信息

    单击 下一步时，将显示一条确认消息，说明您的 SSID 已成功添加。

    图 16：配置无线网络：连接设置 Network and Sharing Center showing public network Airtel_Home 4 with options to set up a connection, troubleshoot problems, and a pop-up confirming MGMT-SSID added successfully.

    点击 更改连接设置。

  4. 转到“安全性”选项卡，在“ 选择网络身份验证方法”下，选择“ Microsoft：EAP-TTLS ”，然后单击“设置”。
    图 17：配置无线网络属性 Network and Sharing Center screenshot with MGMT-SSID Wireless Network Properties dialog showing WPA2-Enterprise security type, AES encryption, EAP-TTLS authentication, and a selected checkbox to remember credentials.

  5. 在 TTLS 属性窗口 中，执行以下操作：

    • 禁用“ 启用身份隐私 ”选项。

    • 对于 连接到这些服务器，请输入 auth.mist.com

    • 在 “受信任的根证书颁发机构”下，选择自定义RADIUS服务器证书的 Mist组织证书颁发机构 证书或根证书颁发机构。

    • 对于 选择非 EAP 身份验证方法，选择 未加密密码 （PAP）

      .
    图 18：配置无线网络： TTLS 属性 Network and Sharing Center showing settings for Airtel_Home 4 public network with TTLS Properties window open for authentication configuration options.

    单击 确定。

  6. 返回“安全性”选项卡，单击 “高级设置”。

    • 选中 指定身份验证模式并 选择 用户身份验证 选项。
    • 单击 “确定”，然后单击 “关闭” 以完成配置。
    图 19：配置无线网络：高级设置 Windows Control Panel Network and Sharing Center showing active network Airtel_Home 4 as public. Pop-up window titled Advanced settings for wireless network with 802.1X authentication mode set to User authentication and single sign-on option.

配置 Android 设备以进行 EAP-TTLS 身份验证

使用以下步骤为 EAP-TTLS 身份验证配置 Android 设备。导航步骤可能因设备型号而略有不同;此处提供的示例基于 Google Pixel 9。

  1. 下载 Mist 组织证书颁发机构证书并保存到设备的存储中。
  2. 打开 Android 设备上的“ 设置 ”应用程序，然后导航至 “设置”>“网络和互联网”>“互联网”>“网络首选项”。单击 安装证书。
    图 20：安装证书 Network preferences screen showing options: Turn on Wi-Fi automatically, Notify for public networks, Allow WEP networks, Install certificates, and Wi-Fi Direct, with Wi-Fi certificate installed noted.

  3. 从内部存储中，上传 Mist 组织 证书颁发机构证书，并输入证书的名称。如果您使用的是自定义RADIUS服务器证书，请选择与该服务器对应的根证书颁发机构，而不是Mist组织证书颁发机构。

    图 21：输入证书名称 Mobile device network settings showing options to turn on Wi-Fi automatically, notify for public networks, and allow WEP networks enabled. A pop-up dialog titled Name this certificate with a text field containing Mist-Org-CA-Cert and Cancel and OK buttons.

  4. 下载并安装证书颁发机构证书后，单击 SSID 并按如下方式配置连接：

    • EAP 方法：TTLS
    • 第 2 阶段身份验证：PAP
    • 证书颁发机构证书： 选择 组织证书颁发机构证书
    • 域：输入 auth.mist.com。
    • 凭据：输入 用户名 和 密码。
      图 22：配置无线网络 Wi-Fi network configuration screen for Corp-NET showing EAP Method TTLS, Phase 2 Authentication PAP, CA Certificate Mist-Org-CA-Cert, Minimum TLS Version TLS v1.0, Domain auth.mist.com, Identity jack@89mistilbs.org, and hidden Password with Cancel and Connect buttons.

      单击 “连接” 以完成配置。

配置 Linux 设备以进行 EAP-TTLS 身份验证

使用以下步骤在 Linux （Ubuntu） 设备上配置 EAP-TTLS 身份验证：

  1. 打开网络设置并单击要连接的 SSID。
    图 23：无线网络配置 Wi-Fi authentication window prompting for credentials to connect to Corp-NET network, with fields for security type, username, and password.
  2. 在 “Wi-Fi 安全性”下，选择“ WPA 和 WPA2 企业”。
  3. 对于身份验证，选择隧道式 TLS （EAP-TTLS）。
  4. 将 “域” 字段设置为： auth.mist.com
  5. 对于 证书颁发机构证书，请选择之前下载的 Mist 组织证书颁发机构证书。如果您使用的是自定义RADIUS服务器证书，请选择与该服务器对应的根证书颁发机构，而不是Mist组织证书颁发机构。
  6. 将 内部身份验证 （或第 2 阶段身份验证）设置为 PAP。
  7. 输入为身份验证提供的用户 名 和 密码 。
  8. 单击 “连接” 以完成配置。

客户端连接和验证

  1. 使用用户名和密码将您的客户端设备连接到网络。
  2. 在 瞻博网络 Mist 门户中，导航到监控>服务级别>洞察。在客户端事件部分下，查看 NAC 客户端身份验证事件。
    图 24：NAC 客户端身份验证事件 Network monitoring dashboard showing client authentication details and network activity. Includes client events, session info like MAC address, authentication type, access point, and data usage trends.

相关文档