Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Configurar el dispositivo cliente para la autenticación EAP-TTLS

Para proteger su red a través de la autenticación EAP-TTLS, siga estos pasos de configuración en el dispositivo cliente.

Juniper Mist Access Assurance admite la autenticación EAP-TTLS solo con PAP como método interno. De forma predeterminada, la mayoría de los dispositivos cliente, como Apple iOS/macOS y Windows, intentan usar PEAP-MSCHAPv2 o EAP-TTLS/MSCHAPv2 cuando un usuario escribe credenciales en el símbolo del inicio de sesión del SSID. Estos métodos se basan en el hash de contraseñas (como MSCHAPv2) y no son compatibles con los proveedores de identidad (IdP) modernos basados en la nube. Para permitir una incorporación exitosa, los dispositivos cliente deben estar configurados explícitamente para usar EAP-TTLS con PAP. En las implementaciones de producción, esta configuración generalmente se aplica a través de soluciones de administración de dispositivos móviles (MDM). Sin embargo, para la validación o las pruebas de laboratorio, el método también se puede configurar manualmente en el dispositivo siguiendo los pasos a continuación

Requisitos previos

  1. Descargue el certificado de AC de Juniper Mist Org:

    Los dispositivos cliente deben confiar en el servidor de Mist Access Assurance. El certificado de AC de la organización de Mist debe incluirse en el perfil inalámbrico que configure.

    1. En el portal Juniper Mist, vaya a Organización > Acceso > certificados. En la página Autoridades de certificado, haga clic en Ver certificado de Mist para mostrar los detalles del certificado.
      Figura 1: Descargar certificado View Certificate window displaying details of a signed certificate, including encoded text, common name, validity period, issuer, serial number, CRL distribution points, and subject alternative name. Background shows a list of certificates with download and close options. de Juniper Mist AC

    2. Haga clic en Descargar certificado para descargar el certificado en su dispositivo cliente.

      Nota: Si está utilizando un certificado de servidor personalizado, utilice la AC raíz del certificado de servidor en lugar de la AC de organización Mist.
  2. Configure el proveedor de identidad (DPI): En Juniper panel de control de Mist, vaya a Organización > Acceso > proveedores de identidades > Agregar DPI y configure los detalles del IdP necesarios. Para obtener más información, consulte Agregar proveedores de identidad para Juniper Mist Access Assurance.
    Figura 2: Configurar el proveedor de LDAP integration setup interface in Juniper Mist platform showing fields for Name, IDP Type, LDAP Type, Server Hosts, Domain Names, Default IDP option, Bind DN, Bind Password, Base DN, and sections for adding LDAPS certificates. Navigation menu on the left includes Monitor, Marvis, Clients, Access Points, Switches, WAN Edges, Mist Edges, Location, Analytics, Site, AB Testing, and Organization. identidad
  3. Cree una regla de política de autenticación: En Políticas de organización> acceso > autenticación, defina una regla de política de autenticación adecuada que permita a los dispositivos cliente EAP-TTLS conectarse a la red. Para obtener más información, consulte Configurar política de autenticación.
    Figura 3: Crear una política User interface for managing authentication policies in [MIST CSQA] ANIRUDH LAB, showing policy table with policy number, name, match criteria, actions, assigned policies, and hit count. Includes buttons for adding rules, creating labels, saving, and canceling changes. Dropdown menus for auth type and time filter are visible. de autenticación

Configurar el dispositivo Apple para la autenticación EAP-TTLS

Hemos descrito la configuración con el dispositivo Apple macOS.

Para esta tarea, cree un perfil de red EAP-TTLS utilizando una herramienta gratuita de Apple Configurator.

Crea un perfil en tu dispositivo cliente Apple:

  1. En su cliente macOS, abra su herramienta Apple Configurator y haga clic en Archivo > nuevo perfil
    Figura 4: Configuración del perfil de Wi-Fi para el cliente Apple Configurator on macOS with File menu open; New Profile option highlighted in red box for creating device configuration profiles. de Apple

    Se abrirá un nuevo documento de perfil de configuración.

  2. En la barra de navegación izquierda de la página de Apple Configurator, haga clic en Certificados > Configurar. Seleccione y cargue el certificado de Mist que descargó (como se menciona en Requisitos previos). Para que los dispositivos cliente confíen en el servidor de Juniper Mist Access Assurance, debe incluirlo en el perfil inalámbrico.
    Figura 5: Cargue el certificado de Juniper Mist AC en la configuración Configuration interface with certificates option selected, marked as not configured, and a highlighted configure button to set up PKCS1 and PKCS12 certificates. del perfil de Wi-Fi
  3. En la barra de navegación izquierda de la herramienta Apple Configurator, seleccione Wi-Fi y haga clic en Configurar.
    Figura 6: Configuración Configuration interface with menu options like General, Restrictions, Domains, and Wi-Fi. Wi-Fi is selected, showing instructions to configure wireless network settings and a red Configure button. del perfil de Wi-Fi

    Ingrese las siguientes opciones para la configuración de Wi-Fi:

    • SSID: el SSID de su red. Asegúrese de ingresar el SSID correcto, incluidas las letras mayúsculas.
    • Tipo de seguridad: WPA2/WPA 3 para empresas
    • Tipos de EAP aceptados: TTLS y seleccione Contraseña por conexión.
    • Autenticación interna: PAP
    Figura 7: Configuración Wi-Fi profile configuration screen on macOS with SSID mist-aa, security type WPA2/WPA3 Enterprise, EAP type TTLS, per-connection password enabled, inner authentication set to PAP, and TLS versions specified. del perfil de Wi-Fi
  4. En la misma página, en Configuración de la empresa , junto a Protocolos, haga clic en Confiar. La página muestra una lista de certificados cargados.

    Seleccione el Juniper Mist AC certificado e introduzca auth.mist.com en Nombre de certificado de servidor de confianza. Este paso permite que el dispositivo del cliente confíe en el servidor de Juniper Mist Access Assurance.

    Figura 8: Confíe en el certificado de AC de Juniper Mist en el perfil Configuration interface for setting up a wireless network with options for SSID, security type, enterprise settings, proxy setup, and QoS marking. de Wi-Fi
  5. Guarde la configuración del perfil.
    Figura 9: Guardar la configuración Apple Configurator application on macOS with File menu open and Save option highlighted. Wi-Fi payload is selected showing 1 Payload Configured. Other payloads are Not configured. del perfil de Wi-Fi
  6. Para firmar el perfil, necesitas un certificado de confianza de Apple. Este paso es necesario para su uso en producción.

Ahora puede instalar el perfil en su dispositivo macOS y conectarse a SSID a través de EAP-TTLS.

Para iOS y iPadOS

Para probar EAP-TTLS en un iPhone o iPad, puede exportar los perfiles Wi-Fi configurados desde su dispositivo macOS y compartirlos a través de AirDrop. Una vez recibidos, instale estos perfiles en el dispositivo iOS para conectarse mediante EAP-TTLS con autenticación PAP.

  1. En su dispositivo iOS, abra la aplicación Configuración y toque Perfil descargado.
    Figura 10: Localizar perfil Settings screen in dark mode showing Start Using iCloud and Finish Setting Up Your iPhone with red notification badges, Profile Downloaded highlighted in red, and other options like Airplane Mode, Wi-Fi, Bluetooth, Mobile Service, Battery, General, and Accessibility.
  2. Toca Instalar en la esquina superior derecha de la pantalla.
    Figura 11: Perfil de Installing configuration profile named Corp-NET with Wi-Fi certificate, marked Not Signed, options to Cancel, Install highlighted in orange, or Remove Downloaded Profile. instalación

  3. Siga las instrucciones que aparecen en pantalla para completar el proceso de instalación.

  4. Ingrese el nombre de usuario y la contraseña y haga clic en Unirse a la red inalámbrica.

    Figura 12: Conectar la red Wi-Fi login screen prompting for username and password to join Corp-NET network with Cancel and Join options, mode set to Automatic. inalámbrica

Configurar el dispositivo Windows para la autenticación EAP-TTLS

Siga estos pasos para configurar un dispositivo Windows para la autenticación EAP-TTLS.

  1. Descargue el certificado Juniper Mist Org AC (como se menciona en Requisitos previos) e importe el certificado Mist Org AC a su dispositivo Windows en Administrar certificados de equipo > Autoridades de certificación raíz de confianza.
    Figura 13: Certificados raíz de confianza en dispositivos Microsoft Management Console interface showing the Certificates snap-in with a list of trusted root certification authorities, including columns for Issued To, Issued By, Expiration Date, and Intended Purposes. Windows
  2. En su dispositivo Windows, vaya al Panel de control > Centro de redes y recursos compartidos > Configurar una nueva conexión o red , seleccione Conectarse manualmente a una red inalámbrico y haga clic en Siguiente.
    Figura 14: Configuración de la nueva conexión Network and Sharing Center in Windows Control Panel showing active network Airtel_Home 4 as public and Set Up a Connection wizard highlighting Manually connect to a wireless network option.
  3. En el Escriba la información de la red inalámbrica que desea agregar, proporcione los siguientes detalles:

    • Nombre de red: proporcione un nombre SSID.

    • Tipo de seguridad: seleccione la opción WPA2-Enterprise o WPA3-Enterprise.

    Figura 15: Ingrese la información de la red Screenshot of Network and Sharing Center showing active network Airtel_Home 4 as public and a pop-up for manually connecting to a wireless network with fields for network name MGMT-SSID, WPA2-Enterprise security, AES encryption, and blank security key. inalámbrica

    Al hacer clic en Siguiente, aparece un mensaje de confirmación que indica que su SSID se ha agregado correctamente.

    Figura 16: Configurar red inalámbrica: ajustes de Network and Sharing Center showing public network Airtel_Home 4 with options to set up a connection, troubleshoot problems, and a pop-up confirming MGMT-SSID added successfully. conexión

    Haga clic en Cambiar configuración de conexión.

  4. Vaya a la pestaña Seguridad y, en Elegir un método de autenticación de red, seleccione Microsoft: EAP-TTLS y haga clic en Configuración.
    Figura 17: Configurar las propiedades Network and Sharing Center screenshot with MGMT-SSID Wireless Network Properties dialog showing WPA2-Enterprise security type, AES encryption, EAP-TTLS authentication, and a selected checkbox to remember credentials. de la red inalámbrica

  5. En la ventana Propiedades de TTLS , realice las siguientes acciones:

    • Desactive la opción Habilitar privacidad de identidad .

    • En Conectarse a estos servidores, escriba auth.mist.com

    • En Autoridades de certificación raíz de confianza, seleccione el certificado de AC de organización Mist o el AC raíz de su certificado de servidor de RADIUS personalizado.

    • En Seleccionar un método que no sea EAP para la autenticación, seleccione Contraseña sin cifrar (PAP)

      .
    Figura 18: Configurar red inalámbrica: propiedades Network and Sharing Center showing settings for Airtel_Home 4 public network with TTLS Properties window open for authentication configuration options. TTLS

    Haga clic en Aceptar.

  6. De nuevo en la pestaña Seguridad, haga clic en Configuración avanzada.

    • Marque Especificar modo de autenticación y seleccione la opción Autenticación de usuario .
    • Haga clic en Aceptar y, a continuación, en Cerrar para completar la configuración.
    Figura 19: Configurar red inalámbrica: Configuración Windows Control Panel Network and Sharing Center showing active network Airtel_Home 4 as public. Pop-up window titled Advanced settings for wireless network with 802.1X authentication mode set to User authentication and single sign-on option. avanzada

Configurar el dispositivo Android para la autenticación EAP-TTLS

Siga estos pasos para configurar un dispositivo Android para la autenticación EAP-TTLS. Los pasos de navegación pueden variar ligeramente según el modelo del dispositivo; el ejemplo proporcionado aquí se basa en un Google Pixel 9.

  1. Descargue el certificado de AC de Mist Org y guárdelo en el almacenamiento de su dispositivo.
  2. Abra la aplicación Configuración en su dispositivo Android y navegue hasta Configuración > Red e Internet> Internet > Preferencias de red. Haga clic en Instalar certificados.
    Figura 20: Certificado Network preferences screen showing options: Turn on Wi-Fi automatically, Notify for public networks, Allow WEP networks, Install certificates, and Wi-Fi Direct, with Wi-Fi certificate installed noted. de instalación

  3. Desde el almacenamiento interno, cargue el certificado de AC de Mist Org e ingrese el nombre del certificado. Si está utilizando un certificado de servidor RADIUS personalizado, elija el AC raíz correspondiente a ese servidor en lugar del AC de organización Mist.

    Figura 21: Ingrese el nombre Mobile device network settings showing options to turn on Wi-Fi automatically, notify for public networks, and allow WEP networks enabled. A pop-up dialog titled Name this certificate with a text field containing Mist-Org-CA-Cert and Cancel and OK buttons. del certificado

  4. Una vez descargado e instalado el certificado AC, haga clic en el SSID y configure la conexión de la siguiente manera:

    • Método EAP: TTLS
    • Autenticación de fase 2: PAP
    • Certificado AC: Seleccione el certificado de AC de la organización
    • Dominio: Ingreseauth.mist.com .
    • Credenciales: Ingrese el nombre de usuario y la contraseña.
      Figura 22: Configurar red Wi-Fi network configuration screen for Corp-NET showing EAP Method TTLS, Phase 2 Authentication PAP, CA Certificate Mist-Org-CA-Cert, Minimum TLS Version TLS v1.0, Domain auth.mist.com, Identity jack@89mistilbs.org, and hidden Password with Cancel and Connect buttons. inalámbrica

      Haga clic en Conectar para completar la configuración.

Configurar dispositivo Linux para autenticación EAP-TTLS

Siga estos pasos para configurar la autenticación EAP-TTLS en un dispositivo Linux (Ubuntu):

  1. Abra la configuración de red y haga clic en el SSID para conectarse.
    Figura 23: Configuración Wi-Fi authentication window prompting for credentials to connect to Corp-NET network, with fields for security type, username, and password. de la red inalámbrica
  2. En Seguridad Wi-Fi, elija WPA y WPA2 Enterprise.
  3. En Autenticación, seleccione TLS en túnel (EAP-TTLS).
  4. Establezca el campo Dominio en: auth.mist.com
  5. Para el certificado de AC, seleccione el certificado de AC de Mist Org que se descargó anteriormente. Si está utilizando un certificado de servidor RADIUS personalizado, elija el AC raíz correspondiente a ese servidor en lugar del AC de organización Mist.
  6. Establezca Autenticación interna (o autenticación de fase 2) en PAP.
  7. Introduzca el nombre de usuario y la contraseña proporcionados para la autenticación.
  8. Haga clic en Conectar para completar la configuración.

Conexión y verificación del cliente

  1. Conecte su dispositivo cliente a la red con el nombre de usuario y la contraseña.
  2. En el portal de Juniper Mist, vaya a Supervisar > niveles de servicio > información. En la sección Eventos de cliente, consulte los eventos de autenticación de cliente de NAC.
    Figura 24: Eventos Network monitoring dashboard showing client authentication details and network activity. Includes client events, session info like MAC address, authentication type, access point, and data usage trends. de autenticación de cliente NAC

Documentación relacionada