IMC+无线AC+dot1x证书认证+LADP认证相关原理

打个400吧

1、证书部分

整套 PEAP 外层 TLS 隧道依赖 IMC 服务器证书（内含公钥给终端加密），根证书用于两端互验证书合法性；证书过期会直接 TLS 握手失败，全程 AC 仅做 EAP 中继转发 RADIUS，不解密隧道。

2、整体认证链路

无线终端 PEAP 802.1X → AC 封装 RADIUS (UDP1812) 转发 IMC → IMC 私钥解密 TLS 隧道拿到 AD 账号与 MSCHAPv2 哈希 → 分两步和 AD 交互：

1. LDAP (389/636) 查用户是否存在、账号状态；
2. LDAP 服务开启 MS-CHAPv2 后，IMC 走 TCP445 (SMB/NTLM) 校验密码哈希。

3、虚拟计算机认证含义

IMC 不用域管理员账号，而是用 AD 机器账号建立 445 端口 NTLM 会话做密码校验，权限更小更安全；对接 AD 域 + PEAP-MSCHAPv2 场景，LDAP 服务器必须开启 MS-CHAPv2 开关，否则无法校验密码。

4、端口区分

• 用户信息查询：389 (LDAP)/636 (LDAPS)
• 密码哈希校验：TCP445 SMB，独立通道不共用 LDAP 端口

5、核心故障点

445 不通、虚拟机器账号失效、LDAP 端口拦截、证书过期、AD 禁用 NTLMv2 均会导致认证失败。

针对你提出的几个问题，我来逐一为你解答。你的理解大部分是正确的，核心差异在于iMC与AD域交互验证密码的具体方式。

✅ 问题1：证书的作用与流程（你的理解正确）

你关于证书的理解是完全正确的。

• 根证书：用于在iMC服务器和终端之间建立信任关系，验证彼此证书的合法性。

• 服务器证书：iMC服务器将自己的服务器证书（内含公钥）下发给终端，用于加密后续的EAP-TLS隧道通信。

• 证书过期：如果服务器证书过期，TLS握手会直接失败，导致用户无法认证。

• AC的角色：无线AC在整个过程中只负责EAP中继转发，将RADIUS报文（UDP 1812端口）在终端和iMC之间传递，自身不解密隧道内容。

🔐 问题2：iMC与AD域的用户密码验证流程（核心解答）

这是你疑问最多的地方。当iMC识别到用户来自AD域，并且接入策略选择了“EAP-PEAP/MS-CHAPv2”认证方式时，密码校验流程如下：

1. 获取用户信息：iMC首先通过 TCP 389端口（LDAP） 或 TCP 636端口（LDAPS） 向AD域查询用户是否存在以及账号状态（如是否被锁定、禁用等）。

2. 校验密码哈希：这是最关键的一步。iMC并非将用户名密码直接发给AD验证，而是：

   • iMC的 mschapv2server 进程将认证过程中收到的密码哈希值，通过 TCP 445端口（SMB协议） 发送给AD域控制器。

   • AD域控制器在本地完成密码哈希的比对，并将“成功或失败”的结果返回给iMC。

所以，你的理解中“基于SMB、TCP445”是正确的。它不是复用UDP 389的LDAP协议，而是使用了一个独立的、基于SMB协议的通道来完成密码校验。

🖥️ 问题3：“通过虚拟计算机认证”的含义

这个选项是这种认证方式中非常关键且必须配置的一环。

• 为什么需要它？：AD域控制器为了安全，默认不接受任何外来计算机的NTLM密码校验请求。

• 它的作用是什么？：它要求你在AD域中手动创建一个计算机对象（即“虚拟计算机”），并运行一个脚本。

• 如何工作？：iMC会使用这个“虚拟计算机”的账号和密码，与AD域控制器建立NTLM会话。这样，iMC就相当于一个被AD域信任的“域内成员”，从而获得权限去执行密码校验。

• 好处：这种方式比直接使用一个拥有高权限的域管理员账号更安全、权限更小