[802.1x] wireless (PEAP) werkt niet

[marshallq]

Hoi ik ben al een tijdje bezig met het opzetten van een 802.1x omgeving voor wireless. Hierbij wil ik PEAP-MS-ChapV2 gebruiken. Het doel is dus dat mensen kunnen inloggen met hun domein credentials.

Setup: Windows XP SP3 Laptop <> Cisco WLC 526 <> Win2k8 met NPS / CA <> Win2k3 met AD.

Waar ik op vast loop is het volgende (eventlog w2k8):

Network Policy Server denied access to a user.

Contact the Network Policy Server administrator for more information.

User:
Security ID: bedrijf\mijnusername
Account Name: bedrijf\mijnusername
Account Domain: bedrijf
Fully Qualified Account Name: bedrijf.nl/bedrijf/Ondersteuning/Systeembeheer/mijnusername

Client Machine:
Security ID: NULL SID
Account Name: -
Fully Qualified Account Name: -
OS-Version: -
Called Station Identifier: 00-33-55-42-11-40:bedrijf_test
Calling Station Identifier: 00-16-3F-44-D0-B3

NAS:
NAS IPv4 Address: 192.168.0.240
NAS IPv6 Address: -
NAS Identifier: cisco wlc526
NAS Port-Type: Wireless - IEEE 802.11
NAS Port: 1

RADIUS Client:
Client Friendly Name: Cisco wlc526 test
Client IP Address: 192.168.0.240

Authentication Details:
Connection Request Policy Name: Radius Wireless Policy
Network Policy Name: Radius Wireless Policy
Authentication Provider: Windows
Authentication Server: VM-W2K8.bedrijf.nl
Authentication Type: PEAP
EAP Type: -
Account Session Identifier: -
Logging Results: Accounting information was written to the local log file.
Reason Code: 23
Reason: An error occurred during the Network Policy Server use of the Extensible Authentication Protocol (EAP). Check EAP log files for EAP errors.

Nu heb ik al wat op google en op technet (bv. http://technet.microsoft....rary/cc735399(WS.10).aspx ) rondgekeken maar wat ik ook probeer te veranderen aan de instellen, het wil gewoon niet werken. Ik heb hierbij verschillende guides bekeken en gevolgd bv.: Deploying 802.1X Authenticated Wired Access with PEAP-MS-CHAP v2 en nog wat andere aangezien deze alleen voor server 2008 is en ik ook een server 2003 DC/AD heb.

Verder heb ik al een aantal updates gedownload en wat services aangezet (op de client) waardoor heb mogelijk opgelost zou zijn maar helaas.

Indien gewenst kan ik natuurlijk wat instellingen posten van de onderdelen maar ik dacht mischien heeft iemand deze melding al eens eerder gehad... Tevens weet ik niet zo goed waar ik het probleem moet zoeken omdat ik al naar mijn gevoel bijna alle opties uitgeput heb (en dit de eerste keer is dat ik zoiets opzet).

[ Voor 3% gewijzigd door marshallq op 31-08-2010 13:42 ]

[Razwer]

volgens mij is dit niet supported op XP SP3 maar pas vanaf vista.

Heb je ook alles wel goed gedaan qua certificates? Volgens mij heb je een 2008 enterprise root CA nodig.
http://technet.microsoft.com/en-us/library/cc731363.aspx

Je draait nog w2k3 AD zeg je. de DFL mag wel 2k3 zijn maar volgens mij moet de PDC Emulator wel 2008 zijn. 802.1X valt volgens mij onder NAP wat dus de bovenstaande vereisten heeft.

[ Voor 9% gewijzigd door Razwer op 31-08-2010 18:38 ]

[alt-92]

Oh ja: wel even opletten met je 2008 CA, want de default settings van een 2008 ADCS implementatie gaat uit van SHA2 based certs met een afwijkende CSP dan dat 2003 ondersteunen.

Applications that use the Cryptography API cannot validate an X.509 certificate in Windows Server 2003

Windows Server 2003 and Windows XP clients cannot obtain certificates from a Windows Server 2008-based certification authority (CA) if the CA is configured to use SHA2 256 or higher encryption

http://timjacobs.blogspot...ficate-authority-and.html

[ Voor 58% gewijzigd door alt-92 op 31-08-2010 19:04 ]

[marshallq]

Bedankt voor de reacties, ik zal asap wat dingen na gaan kijken.