拓扑:

使用证书和LDAP验证的SSL ×××_第1张图片

 

实验目的:

1 实验证书验证远程客户。

2 验证成功后,通过AD属性映射group-policy。

3 客户端使用在线申请证书。

本文以WIN 2003 作为域服务器和证书服务器,XP作为客户端。(win2008 做AD和CA,WIN 7做客户端,和本文基本相同,唯一要注意的是要使用HTTPS)

域和证书服务器的安装不在这里给出。下面是WIN 2003 的设置

使用证书和LDAP验证的SSL ×××_第2张图片 使用证书和LDAP验证的SSL ×××_第3张图片 使用证书和LDAP验证的SSL ×××_第4张图片

 

 

客户端生气证书:

 

使用证书和LDAP验证的SSL ×××_第5张图片 

使用证书和LDAP验证的SSL ×××_第6张图片 使用证书和LDAP验证的SSL ×××_第7张图片 使用证书和LDAP验证的SSL ×××_第8张图片

 

ASA配置;

hostname asa
domain-name wenlf136.net
interface Ethernet0/0
nameif inside
security-level 100
ip address 192.168.10.254 255.255.255.0
!
interface Ethernet0/1
nameif outside
security-level 0
ip address 192.168.20.254 255.255.255.0
!
clock timezone GMT 8
domain-name wenlf136.net
access-list out extended permit icmp any any
access-list out extended permit udp any host 192.168.10.10 eq domain
access-list out extended permit tcp any host 192.168.10.10 eq www
access-list out extended permit tcp any host 192.168.10.10 eq https
access-group out in interface outside
ldap attribute-map group-to-policy
map-name memberOf IETF-Radius-Class
map-value memberOf CN=group,OU=HROU,DC=wenlf136,DC=net sslgroup
dynamic-access-policy-record DfltAccessPolicy
aaa-server ldapgroup protocol ldap
aaa-server ldapgroup host 192.168.10.10
ldap-base-dn dc=wenlf136, dc=net
ldap-scope subtree
ldap-naming-attribute sAMAccountName
ldap-login-password *
ldap-login-dn cn=administrator, cn=users, dc=wenlf136, dc=net
server-type microsoft
ldap-attribute-map group-to-policy
crypto ca trustpoint CA
enrollment terminal
fqdn asa.wenlf136.net
subject-name cn=asa.wenlf136.net
keypair sslkey

ssl trust-point CA outside
ssl certificate-authentication interface outside port 443
web***
enable outside
group-policy sslgroup internal
group-policy sslgroup attributes
banner value Welcome
tunnel-group DefaultWEB×××Group general-attributes
authorization-server-group ldapgroup
authorization-required
authorization-dn-attributes CN
tunnel-group DefaultWEB×××Group web***-attributes
authentication certificate

 

给ASA 申请证书:

 

使用证书和LDAP验证的SSL ×××_第9张图片 使用证书和LDAP验证的SSL ×××_第10张图片 使用证书和LDAP验证的SSL ×××_第11张图片 使用证书和LDAP验证的SSL ×××_第12张图片

使用证书和LDAP验证的SSL ×××_第13张图片

验证:

 

使用证书和LDAP验证的SSL ×××_第14张图片 使用证书和LDAP验证的SSL ×××_第15张图片 使用证书和LDAP验证的SSL ×××_第16张图片