AD 域实现 MSCHAPV2 认证

最新推荐文章于 2024-03-19 14:56:29 发布

原创最新推荐文章于 2024-03-19 14:56:29 发布 · 3.7k 阅读

3 ·

CC 4.0 BY-SA版权

ldap 专栏收录该内容

5 篇文章

订阅专栏

本文介绍如何通过WAC(linux)加入AD域实现wpa(2)企业级认证的过程，包括配置samba套件、修改smb.conf文件、加入AD域及认证测试等关键步骤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在做无线的 wpa(2) 企业认证，eap-peap(mschapv2) 认证,  用户信息保存在 AD域中
终结模式

wac  +  AD 域认证实现 : wpa(2) 认证eap-peap(mschapv2) 

wac 为 linux           要求AD 域认证 最简单的办法就是 将 wac (linux )加入到 AD 域 (在这里使用 samba 套件)

samba 依赖krb

使用 的samba 套件工具主要有 :

winbindd ：(与 AD 域通信实现认证)   必须要的
net  ：(将wac 加入到 AD 域)                 必须要的

testparm ： 测试 smb.conf 配置文件
ntlm_auth:    认证测试

修改 smb.conf 文件
在 
[global] 
中修改
workgroup = xx  //这个就是 在登录到windows 的时候【登录对话框：输用户密码的那个对话框】的那个 "登录到" 字符串
security = domain

其余可以保持不变
可以通过 testparam 查看 smb.conf 文件, 直接输入 testparm 


加入到域
(1)         net rpc join -S sangfor-53de0cc.wuliang.com -U administrator%qwer1234 --port=445 -I 172.16.4.114
(2)        重启一下  winbindd

-S 后面的为:完整的计算机名称 , 这个可以通过查看  “系统属性”-》 计算机名 选项卡    (右击 “我的电脑(计算机) / 属性”)
-U 为： 用户名 %  密码    
--port 为端口  445  , 这个也可以不要
-I  为 AD域对应的 ip 地址

加入域成功后可以进行测试：

ntlm_auth --username=administrator  --challenge=8f652405cb4c2545 --nt-response=7148fe0d1c18dd2dae091ea4f02473b1d13b37453f175ceb --request-nt-key
（知道 mschapv2 算法的人应该可以看懂上面语句的意思）
// 返回 NT_KEY
(NT_KEY 为明文密码的两次 MD4)

或者 ntlm_auth  --username=administrator  --password=qwer1234
//返回 认证成功标识 

如果加入域成功而认证失败提示  没有 登录服务器

可能的原因:  
 
DNS  解析 完整的计算机名称 失败

// winbindd 和 net 还会发送 137(UDP) 的广播包 (NetBIOS 解析 计算机名称来获取IP， 在二层内可能会成功)

可以配置 DNS或者  
修改 /etc/hosts 文件
# ip    网站的计算机名称

这里 认证主要是改动了 ntlm_auth 这个工具

samba 默认的实现方式为:

ntlm_auth <---------Unix 域套接字--------->winbindd <-----------TCP(445)------------->AD 域机器