本次練習實作windows 2016 架設NPS 與cisco wlc 2100 整合起來架構公司內部無線架構LAB
主要用windows 2016 架設NPS 成為802.1X驗證主機,架構在windows 2016 AD網域下並利用企業CA驗證
搭配GPO設定企業內部wifi 設定。
主要會有服務主機
1. windows 2016 AD CA DHCP
2. windows 2016 nps
簡單的架構圖
網段規劃:
無線控制與AP網段 10.65.34.0/24
Server 網段 10.65.33.0/24
NPS : 10.65.33.7
用戶網段 : 10.65.37.0/24,10.65.38.0/24
Cisco 3750 2950 對應 vlan ID
VLAN ID 38=> 10.65.38.0/24
VLAN ID 37=> 10.65.37.0/24
VLAN ID 192 => 192.168.1.0/24
用戶私人設備無線網段 192.168.1.0/24 (設定ACL無法連內網只能上Internet)
Cisco WLC 2106
Cisco 3750
Cisco 2960
AD/CA/DHCP
NPS
GPO 設定一組SSID
用戶使用802.1x 電腦CA驗證
WLC 設定
將WLC 設定清空後,會基本配置,此練習設定的管理IP為10.65.34.250
首先先設定WLAN
Controller => Interfaces => NEW
輸入 Interface Name : vlan37 (自訂即可)
Vlan id : 37 (需要和switch vlan id 相同)
最後點選 [apply]
接著輸入
Port Number : 1 (這裡指的是WLC 上的port)
輸入相關資訊 : 這裡請輸入各位實際的IP規劃
在此範例 IP :10.65.37.230 用意是當用戶端透過無線連線後對應到哪個Vlan 會以這個IP來溝通,所以IP設定是要沒有在使用的IP
Ip : 10.65.37.230
Netmask : 255.255.255.0
Gateway : 10.65.37.250
設定完畢後如下圖
接著依照上述步驟將另外一個vlan 38 and vlan 192 建立起來
Interface 設定完畢後接著新增一個Interface Group,
新增OK
將interface 加入該group
選擇要加入的interface 後 => 點 Add Interface
加入完畢後點選apply
由於要設定802.1X驗證所以先將RADIUS 設定好
在Security => RADIUS => Authentication
新增 RADIUS數入ip 及pre share key 後即新增完畢
建立SSID
點選 => WLANs => 選擇 Careate New
範例設定
Type : WLAN
Profile name : IT (自訂)
SSID : IT
輸入OK後 點選 apply
新增IT SSID 後是無法使用的,必須再 Status 中勾選Enable
如果不要廣播此SSID 就不要勾選 Broadcast
Interface/Interface group =>選前面設定的all vlan interface group ,也是可以選單獨vlan ,用意是如果
我環境就是統一只有一個SSID 給內部連線,但是我又有很多樓層且每層都是不同網段,所以當用戶移動到某一樓後連線該SSID就可以拿到該樓層網段IP。
設定802.1X
然後點選AAA Servers ,選取只用的radius ,並調整驗證方式的順序將RADISU調至第一順位
另外也將另外一個guest用的SSID建立
點選 Security 設定連線輸入密碼
建立WLANs AP Group
方便管理每個樓層AP的設定,例如7F的AP都會有哪幾個SSID
建立完畢
設定該樓層AP派送的SSID
在該ap group中點選 WLANs => 點 Add New
統一每個樓層都會有IT and guest 的ssid
選 IT 後 interface / interface group 的選項請選相對應樓層的interface vlan ,此範例8f所以是vlan 38
設定完畢
假設還有一個7F AP Group ,設定方式相同,只是對應的vlan 不同。
Ap註冊
lwapp ap ip address 10.65.34.10 255.255.254.0 => 設定IP
lwapp ap ip default-gateway 10.65.34.254 => 設定default-gw
lwapp ap controller ip address 10.65.34.250 => 註冊到WLC
當ap註冊上來後名稱會是它的mac address
修改ap name
修改 ap group Name 為8F-AP-Group
套用設定後AP會重開機
本篇瀏覽人數: 6153
在此範例 IP :10.65.37.230 用意是當用戶端透過無線連線後對應到哪個Vlan 會以這個IP來溝通,所以IP設定是要沒有在使用的IP
Ip : 10.65.37.230
Netmask : 255.255.255.0
Gateway : 10.65.37.250
截图是37.250哦。
hi 您好
沒錯,要是沒有再使用的IP