Wyse Management Suite 中的 802.1x 有線環境最佳實務

受影響的產品：

• Wyse Management Suite

受影響的平台：

• OptiPlex 3000 精簡型用戶端
• OptiPlex 5400 多合一
• OptiPlex All-in-One 7410
• OptiPlex All-in-One 7420
• Latitude 3420
• Latitude 3440
• Latitude 5440
• Latitude 5450
• Wyse 5070 精簡型用戶端
• Wyse 5470 系列多合一精簡型用戶端
• Wyse 5470 行動精簡型用戶端

受影響的作業系統：

• Dell ThinOS

將端點部署至 802.1x 有線環境可能極具挑戰性，因為通常需要憑證，才能順利完成 EAP 交涉。使用 ThinOS 時情況會更加複雜，因為原廠重設會清除加密 NVR 中的所有資料，其中包括客戶安裝的憑證。以下是在 802.1x 有線環境中啟用自動部署或設定 ThinOS 用戶端的建議策略。

設定 - 客戶環境組態

所列出的裝置應設定為具有下列行為：

• 交換器 - 如果使用 Cisco 或其他交換器，則應設定安全和不安全的 vLAN。如果用戶端沒有完成 EAP 交涉並附加至安全 vLAN 所需的憑證或組態，則交換器應將用戶端路由至不安全的 vLAN。
• WMS 伺服器 - 客戶應確保可從安全和不安全的 vLAN 存取他們的 WMS 伺服器。如果使用現場安裝而非公有雲端安裝，客戶可選擇設定兩個 WMS 伺服器。

• DHCP 和 DNS 組態 - 在安全與不安全的 vLAN 上，客戶應啟用必要的組態 (DHCP 選項或 DNS 記錄)，以允許 ThinOS 連接至 WMS 伺服器和註冊群組。

工作流程 - 原廠預設行為

1. 當 ThinOS 用戶端初次開啟或在原廠重設後，它會開機
2. 802.1x EAP 交涉失敗 (無組態或憑證)
3. 將 ThinOS 的路由切換至不安全的 vLAN。
4. ThinOS 完成 DHCP，並從環境變數 (DHCP 選項，DNS 記錄) 取得 WMS 資訊。
5. ThinOS 連接至 WMS 伺服器和註冊群組，並擷取 802.1x 組態，以及連接至安全 vLAN 所需的憑證
6. ThinOS 重新開機
7. 802.1x EAP 交涉成功。
8. ThinOS 完成 DHCP，並從環境變數 (DHCP 選項，DNS 記錄) 取得 WMS 資訊。
9. ThinOS 連接至 WMS 伺服器和註冊群組，並擷取完整的用戶端組態，以及所有的必要伺服器憑證
10. 程序現已完成。
    
    注意：簡易憑證註冊通訊協定 (SCEP) 可整合至此程序之中，但自動部署則需要在安全和不安全的 vLAN 上皆具有 SCEP 伺服器。

ThinOS 9.x WMS 群組組態的 SCEP 設定

若要在使用 ThinOS 9.x 時，設定適用於 SCEP 的 Wyse Management Suite：

1. 將「啟用自動註冊」設為開。
2. 或者將「啟用自動續訂」設為開。
3. 將「選取安裝 CA 憑證」設為開啟。
4. 填入國家/地區名稱。
5. 填入州。
6. 您也可以填入位置。
7. 您也可以填入組織。
8. 您也可以填入組織單位。
9. 您也可以填入電子郵件地址。
10. 為「使用金鑰」選取數位簽章和金鑰加密。
11. 選取金鑰長度。
12. 您也可以填入 Sub Alt 名稱。
13. 填入通用名稱。
14. 填入要求 URL。
15. 選取 CA 憑證雜湊類型。
16. 填入 CA 憑證雜湊。
17. 您也可以填入註冊密碼。
18. 填入系統管理員 URL。
19. 您也可以將「忽略伺服器憑證檢查」設為開啟。
20. 填入管理員使用者。
21. 填入管理員使用者密碼。
22. 填入管理員使用者網域。
    
    注意：

    • 此影像顯示將 $TN_Machine.local 設定為範例通用名稱。$TN 是 ThinOS 的系統環境變數。$TN將終端名稱插入機器認證中，作為替代$SN也可以使用;這會將產品服務編號新增至憑證名稱。
    • 「要求 URL」應提供您環境中的 SCEP 伺服器路徑。
    • 「CA 憑證雜湊值」位於 [SCEPSERVER]/CertSrv/MSCEP_admin/ 頁面中。
    • 「系統管理員 URL」是 [SCEPSERVER]/CertSrv/MSCEP_admin/ 頁面。
    • 「管理員使用者」是 SCEP 服務帳戶。

ThinOS 9.x 802.1x 有線環境設定 WMS 群組組態

在 WMS 中：

1. 選取 進階>網路組態>乙太網路設定>802.1X 認證設定>新增列
2. 選擇所需的 EAP 型 > EAP-TLS
3. 輸入正確的 用戶端憑證檔案名稱
4. 選取 用戶端憑證類型 使用者或機器 （通常會核發給機器）
   • 伺服器名稱 是選用的 （應使用 RADIUS 伺服器 名稱）
   • 伺服器名稱驗證必須啟用驗證伺服器和檢查伺服器選項。
      
     注意：

     • 用戶端憑證檔名 必須包括 scep_cert_ 和 .crt
     • 如果輸入的詳細資訊不正確，則無法登錄。