Как настроить фильтрацию корпоративных устройств в RADIUS (NPS) без разворачивания ADCS?

Question

[valerik2231]

Добрый день. Как настроить радиус так, чтобы только компьютеры введенные в домен могли подключиться к WiFi? Пробовал реализацию подключения через сертификаты выданным ЦС предприятия, но на данный момент у меня не хватает знаний чтобы безопасно развернуть корневой ЦС в домене. ( к тому же не смог реализовать блокирование доступа при отзыве сертификата)
Не могу понять как работает условие "группы компьютеров". В логах я вижу записи, но авторизация не проходит:

Логи

"NPScompNane","IAS",08/23/2024,12:47:55,1,"host/MyHostName.Domain.local","Domain.local/Domain/OU/Computers/IT/MyHostName","DA-4D-E5-B9-9E-41:Tp-Rad-test","F4-CE-23-12-CB-5E",,,,"127.0.0.1",1,0,"172.16.7.2","AP-01",,,19,"CONNECT 54Mbps 802.11a",,2,5,"Default Access",0,"311 1 172.16.9.3 08/22/2024 14:41:33 240",,,,,,,,,"19D0A046E0F4997A",,,,,,"25190FE87CEEE9D2",,,,,,,,,,,,,,,,,,,"Использовать проверку подлинности Windows для всех пользователей",1,,,,
"NPScompNane","IAS",08/23/2024,12:47:55,11,,"Domain.local/Domain/OU/Computers/IT/MyHostName",,,,,,,,0,"172.16.7.2","AP-01",,,,,,,5,"Default Access",0,"311 1 172.16.9.3 08/22/2024 14:41:33 240",60,,,,,,,,"19D0A046E0F4997A",,,,,,,,,,,,,,,,,,,,,,,,,"Использовать проверку подлинности Windows для всех пользователей",1,,,,

Comments

[Valentin Barbolin]

Попробуй так

[valerik2231]

К сожалению не работает. В настройках WiFi-сети на ПК выставлял Проверка подлинности компьютера или пользователя.
Странно, что в логах я вижу попытки подключений, а вот в событиях службы я не вижу никаких событий если использую проверку подлинности компьютера

[Роман Безруков]

и без ADCS все должно работать при соответствующих настройках политики NPS...
ADCS может быть нужен, если есть потребность в аутентификации по сертификатам. Компьютеры, которым разрешено подключаться, можно включить в отдельную группу безопасности, и уже эту группу добавить в условия политики NPS

[valerik2231]

Роман Безруков, Изначально хотел делать вход по сертификатом, чтобы было безопаснее. Но выше описал проблемы с которыми столкнулся.
Для проверки группы компьютера, какие настройки должны быть на хосте? Правильно ли я указываю в доп настройках подключения WiFi: режим проверки подлинности компьютера?

[Keffer]

valerik2231, вифи то на чем развернут? И как указано там что запросы EAP от клиентов отправлять к радиусу по passtrough?