Ruckus

Die folgende Anleitung wurde unter Verwendung von Ruckus erstellt Virtual SmartZone Essentials Version 6.1.2.0.441.

Zertifikate vorbereiten

Um eine gültige RadSec-Verbindung herzustellen, müssen Ihre Access Points dem RADIUS-Serverzertifikat vertrauen und Ihr RADIUS-Server muss Ihrem RadSec-Clientzertifikat. Um dies zu erreichen,

1. Laden Sie das Stammzertifikat der CA herunter, die Ihr aktives RADIUS-Serverzertifikat ausgestellt hat, wie hier.

2. Erstellen Sie ein RadSec-Clientzertifikat für Ihren Ruckus SmartZone. Wenn Sie SCEPman Certificate Masterverwenden, ist der Prozess hier.

3. Teilen Sie das erzeugte Zertifikat in den privaten Schlüssel (in diesem Beispiel "priv.key" genannt) und das Zertifikat (in diesem Beispiel "clientcert.cer" genannt). Falls das RadSec-Clientzertifikat im PKCS#12/.pfx Format heruntergeladen wurde, kann dies z. B. mit OpenSSL leicht durchgeführt werden: Privater Schlüssel: openssl pkcs12 -in <your-radsec-client-cert>.pfx -nocerts -nodes -out priv.key Zertifikat ohne privaten Schlüssel: openssl pkcs12 -in <your-radsec-client-cert>.pfx -clcerts -nokeys -out clientcert.cer

Je nach Ihrer Ruckus-Firmware-Version kann es notwendig sein, den Abschnitt mit den Bag-Attributen aus Ihren Zertifikat- und privaten Schlüsseldateien zu entfernen. Dieser Abschnitt sieht zum Beispiel wie folgt aus:

Attribute
    localKeyID: 52 70 EB 96 89 23 90 F9 D5 0E 06 82 5C EC F7 63 30 44 F1 A9 
    friendlyName: Zertifikat von SCEPman
Key Attributes: <No Attributes>

Stellen Sie sicher, dass Sie das Ablaufdatum Ihres RadSec-Clientzertifikat überwachen und es rechtzeitig erneuern, um Dienstunterbrechungen zu vermeiden.

1. Fügen Sie das Stammzertifikat der CA, die das RadSec-Clientzertifikat ausgestellt hat, zu Ihrer RADIUS-Instanz hinzu, wie hier und wählen Sie RadSec unter Für verwenden. Falls das RadSec-Clientzertifikat von SCEPman ausgestellt wurde und Sie der SCEPman Root CA bereits für die Client-Authentifizierung vertrauen, bearbeiten Sie einfach das vertraute SCEPman Root CA-Zertifikat und wählen Beide unter Für verwenden.

Ruckus SmartZone (SZ) Konfiguration

Im Folgenden wird Ruckus SZ als Authentifizierungs-Proxykonfiguriert, d. h. RADIUS-Authentifizierungsanfragen werden von den WAPs an die Ruckus SZ weitergeleitet und zentral an RADIUSaaS weitergeleitet.

Für allgemeine Informationen zum Importieren von Zertifikaten in die Ruckus SmartZone lesen Sie bitte deren Dokumentation:

Commscope Technical Content Portaldocs.commscope.com

1. Importieren Sie das Stammzertifikat der CA, die Ihr RADIUS-Serverzertifikat (während Schritt 1 heruntergeladen) hier), indem Sie zu Verwaltung > System > Zertifikate > SZ Trusted CA Certificates/Chain (extern).

2. Klicken Importieren, geben Sie eine Name und optional Beschreibung für Ihr RADIUS-CA-Zertifikat an und laden Sie die Zertifikatdatei hoch, indem Sie auf Durchsuchen neben Root-CA-Zertifikat. Falls Sie Ihr eigenes mitbringen RADIUS-Serverzertifikat und falls es von einer Zwischen-CA ausgestellt wurde, laden Sie bitte auch alle Zwischenzertifikate unter hoch Zwischen-CA-Zertifikate.

   
3. Klicken Sie anschließend auf Validieren und OK.

4. Importieren Sie Ihr RadSec-Clientzertifikat (erhalten von Schritt 3 hier), indem Sie zu Verwaltung > System > Zertifikate > SZ als Client-Zertifikat.

5. Klicken Importieren und geben Sie einen Name und optional Beschreibung für Ihr RadSec-Clientzertifikat. Laden Sie dann den öffentlichen Teil Ihres hoch, indem Sie auf RadSec-Clientzertifikat klicken Durchsuchen neben Client-Zertifikat. Laden Sie schließlich den privaten Schlüssel hoch, indem Sie auf Durchsuchen neben Privater Schlüssel.

   
6. Für die RADIUS-Serverkonfiguration navigieren Sie zu Sicherheit > Authentifizierung > Proxy (SZ Authenticator).

7. Klicken Erstellen und geben Sie einen Name, optional Anzeigename und Beschreibung für das RADIUS-Profil an.

8. Wählen RADIUS als Dienstprotokoll.

9. Unter RADIUS-Dienstoptionen, konfigurieren Sie die folgenden Einstellungen:

Verschlüsselung	Aktivieren
CN/SAN-Identität	Geben Sie das CN/SAN-Attribut Ihres RADIUS-Serverzertifikat.
OCSP-Validierung	Standard: Deaktiviert Falls Sie Ihr eigenes mitbringen RADIUS-Serverzertifikat und die CA, die es ausgestellt hat, die Widerrufung erlaubt, geben Sie hier die OCSP-Responder-URL Ihrer CA an.
Client-Zertifikat	Wählen Sie das RadSec-Clientzertifikat zuvor in Ruckus SZ hochgeladene.
Serverzertifikat	Deaktivieren
RFC5580 Out-of-Band-Standortübermittlung	Deaktivieren

1. Als Nächstes, unter Primärserver, für die IP-Adresse/FQDN wählen Sie entweder die IP-Adresse oder den DNS-Namen Ihres RadSec-Dienstendpunkts. Für den Port wählen 2083.

   
2. Klicken OK.