在本文档中，我们将尝试解释如何在我们的 wifi 网络中建立安全级别, 用于受控和安全的设备访问, 基于通过我们的 Active Directory 用户的身份验证,

我们需要做的第一件事是在我们的域中安装企业证书颁发机构，以保护我们客户的 Wi-Fi 访问.

安装证书颁发机构后，我们将生成一个计算机证书，用于 Radius 验证. 为此，我们打开 MMC 控制台并添加证书控制台.

我们现在将请求新证书, 在本例中为域控制器类型，因为它是我们将在其中安装 NPS 服务器的域控制器. 如果不同，我们将要求提供设备证书.

我们按 Enroll.

创建证书后，我们将继续配置一个 Active Directory 组，该组将包含我们要授予访问权限的用户和计算机.

对于他们，我们打开 Active Directory 用户和计算机，并在 Active Directory 中创建一个通用组，该组将包含我们想要在 WIFI 网络身份验证中授予权限的用户和计算机.

我们将向此组添加允许访问的用户和计算机.

我们现在有了开始工作 NPS 服务器的基础. 现在，我们将安装 Role “网络策略和访问服务”,

我们留下印记 “网络策略服务器”, “路由和远程访问服务”, “远程访问服务” & “路由”

现在，让我们转到 NPS 并创建一个 Standard 配置: “用于 802.1X 无线的 RADIUS” Y pulsamos el botón “配置 802.1X”,

马克 “安全无线连接” Y le damos un nombre,

Añadimos nuestros clientes Radius que serán nuestros Puntos de Acceso

Le damos un nombre al AP, su dirección IP y creamos una contraseña que compartirá con el AP

Añadiremos tantos APs como tengamos que autenticar por Radius.

Explicación de los diferentes Metodos de Autenticación existentes:
– EAP （英语） (可扩展身份验证协议) 使用任意身份验证方法, 例如证书, 智能卡, 或凭证.
– EAP-TLS (EAP 传输层安全) 是一种 EAP 类型，用于基于证书的安全环境, 并提供最强的鉴权和密钥确定方法.
– EAP-MS-CHAP v2 (EAP-Microsoft 质询握手身份验证协议版本 2) 是一种支持基于密码的用户或计算机身份验证的相互身份验证方法.
– PEAP (受保护的 EAP) 是一种使用 TLS 来增强其他 EAP 身份验证协议安全性的身份验证方法.

选择认证机制时, 您需要在所需的安全级别与部署所需的工作量之间取得平衡. 实现最高级别的安全性, 选择带证书的 PEAP (EAP-TLS). 实现最简便的部署, 选择带密码的 PEAP (EAP-MS-CHAP v2).

Elegimos el tipo de autenticación “Microsoft 受保护的 EAP (PEAP)” 并单击 “设置” para elegir el certificado que hemos generado anteriormente de nuestra CA.

Elegimos el Certificado generado anteriormente por nuestra CA y en este caso vamos utilizar el metodo de autenticación EAP-MSCHAPv2

Ok y Siguiente

现在，我们指定要授予访问权限的 Active Directory 组, 我的意思是, 我们之前创建的组 “无线用户”. “下一个”,

以后,

结束.

我们在 Active Directory 中注册 NPS 服务器. 右键单击 NPS 并在 Active Directory 中注册服务器.

“还行”,

接受.

这样，我们已经完成了向导，并且我们已经以一种快速的方式配置了我们的 NPS 服务器，以接受来自 AP 和 客户的连接。.

为了调整配置，我们可以在 网络策略 在 Wizard 中创建的策略

或者包括 新的 AP，例如 RADIUS 客户

AP 配置,

在文档的这一部分，我们将查看接入点的配置,

我们使用以下参数将 AP 配置为对 NPS 服务器进行射击:

– WPA2 企业
– 加密: AES （英语）
– 我们的 RADIUS 服务器的 IP
– 与 NPS 服务器共享密码

域设备策略,

我们为域中的计算机创建了一个新策略，以便如果我们感兴趣，它们可以通过 GPO 配置 Wi-Fi 网络.

为此，我们转到组策略管理并创建一个新策略，我们将该策略应用于我们放入在文档“无线用户”开头创建的组中的设备’ 我们将在其中配置以下内容.

我们走吧 “设备配置” > “无线网络” > “为 Windows Vista 及更高版本创建新的无线网络策略”,

我们给政治起个名字, a description 和 “加…” > “基础设施”,

我们给出一个名称并添加 Wi-Fi 网络.

我们在建立网络时配置所有参数，然后转到 “Microsoft 受保护的 EAP (PEAP)” > “性能”

激活 “验证服务器证书” 我们检查域的 CA，然后接受

让我们回到选项卡 “安全” 我们投入 “高深” 要激活 “单点登录”.

我们接受一切，并且我们已经配置了用于连接到我们的 Wifi 网络的自动配置策略.