ASA使用NPS做RADIUS认证做IPsec VPN.pdf

基础环境: Server 2008 一台，安装AD ，NPS 角色。 安装Java ，可以通过ASDM 控制ASA ASA 8.4.2 Windows client 一个，安装cisco vpn client 5.x 。 ASDM 版本asdm-645.bin ASA 的 ASDM 配置： 1、定义VPN 生效接口 2 、选择VPN 客户端类型 3、配置vpn Tunnel Group ，也就是VPN 的组，设置pre-shared key 4 、设置认证方法，选择本地用户名或者AAA 服务器认证 选择aaa 认证，并添加AAA 服务器 5、设置VPN client 将来获取地址的地址池 6、设置Tunnel group 的一些参数 7、设置ikev1 的policy 8、NAT 免除网络，默认是 选中的网络到 VPN 的DHCP Pool 的数据不会经过NAT 转换 （twice NAT ）。 9、最后确认完成。 NPS 配置 1、添加AAA client 设置连接请求策略 指定条件，选择所有时间(ASA 和NPS 通信采用PAP 协议，在条件中没有PAP 选项，所以只能放过所有的请 求) 按照默认配置，下一步 完成连接请求策略 网络策略配置 这里匹配条件可以写成用户组，当然用时间也是能通过的 设置访问权限 ASA 与发的RADIUS 请求采用PAP 封装，所以必须勾选这个选项 然后下一步，按照默认配置完成。 NPS 排错 1、网络策略有问题，问题可能在于网络策略未配置，未放行，或者未匹配，比如没有勾选上面的PAP 。 2 、连接请求策略有问题。可能是连接请求策略未配置，或者未匹配到条件，或者被禁用 ASA 上可以用如下命令测试和NPS 联动是否正常。 Test aaa-server authentication NPS host 65 username test1 password cisco,123 其中NPS 是ASA 上设置的RADIUS 服务器组名。 Client 配置 配置分析 ciscoasa# show run : Saved : ASA Version 8.4(2) ! hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted names ! interface GigabitEthernet0 nameif outside security-level 0 ip address 1 ! interface GigabitEthernet1 nameif inside security-level 100 ip address 1 ! ftp mode passive object network NETWORK_OBJ__24 subnet object network NETWORK_OBJ__24 subnet ！定义NAT 免除的两个 network object mtu inside 1500 mtu outside 1500 ip local pool vpn-client -54 mask no failover icmp unreachable rate-limit 1 burst-size 1 asdm image disk0:/asdm-645.bin no asdm history enable arp timeout 14400 nat (inside,outside) source static NETWORK_OBJ__24 NETWORK_OBJ__24 destination static NETWORK_OBJ__24 NETWORK_OBJ__24 no-proxy-arp route-lookup ！NAT 免除 aaa-server NPS protocol radius aaa-server NPS (inside) host 65 timeout 5 key ***** ！AAA 服务器设置 crypto ipsec ikev1 transform-set ESP-3DES-SHA esp-3d