Jamf y RADIUS: Autenticación de WiFi basada en certificados para flotas de dispositivos Apple
Esta guía de referencia técnica proporciona a los gerentes de TI, arquitectos de red y CTOs pasos prácticos para implementar la autenticación de WiFi 802.1X basada en certificados para flotas de dispositivos Apple utilizando Jamf Pro y RADIUS. Cubre el flujo de trabajo completo de aprovisionamiento de certificados SCEP, la estructura del perfil de configuración de WiFi, los requisitos de integración de RADIUS y escenarios de implementación del mundo real en entornos empresariales y de atención médica. La guía es esencial para cualquier organización que busque eliminar las vulnerabilidades de WiFi basadas en contraseñas, reducir la carga de trabajo de soporte técnico y cumplir con los estándares de acceso a la red de PCI DSS y GDPR.
Escucha esta guía
Ver transcripción del podcast
Resumen Ejecutivo
Administrar el acceso seguro a WiFi para una flota de dispositivos Apple en un entorno empresarial presenta un desafío operativo y de seguridad significativo cuando se depende de la autenticación tradicional basada en contraseñas. Los usuarios cambian sus credenciales de Active Directory e inmediatamente sus iPhones, iPads y MacBooks pierden la conexión a la red, lo que genera tickets de soporte, interrumpe los flujos de trabajo y expone a la organización a ataques basados en credenciales.
Para los gerentes de TI, arquitectos de red y CTOs en hoteles, cadenas de retail, estadios y organizaciones del sector público, la solución es la autenticación 802.1X basada en certificados utilizando EAP-TLS. Al aprovechar Jamf Pro para distribuir certificados criptográficos únicos a través de SCEP (Simple Certificate Enrollment Protocol) e integrarlo con un servidor RADIUS, las organizaciones pueden lograr un acceso WiFi sin contraseñas y sin fricciones para cada dispositivo Apple administrado. Esta guía proporciona un enfoque práctico y neutral respecto al proveedor para implementar la autenticación de certificados WiFi de Jamf RADIUS, garantizando una seguridad sólida, el cumplimiento de estándares como PCI DSS y GDPR, y una reducción medible en los costos de soporte.
Análisis Técnico Detallado
La Arquitectura 802.1X EAP-TLS
La base de la autenticación WiFi basada en certificados es el estándar IEEE 802.1X combinado con el protocolo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). Para obtener una introducción detallada sobre el estándar 802.1X en sí, consulte nuestra guía sobre Autenticación 802.1X: Asegurando el Acceso a la Red en Dispositivos Modernos .
A diferencia de PEAP (Protected EAP), que depende de un usuario y contraseña, EAP-TLS requiere que tanto el dispositivo cliente como el servidor de autenticación demuestren sus identidades mediante certificados digitales. Esta autenticación mutua es lo que convierte a EAP-TLS en el estándar de oro para implementaciones empresariales. El modelo de tres partes consta de los siguientes componentes.
| Componente | Rol | Ejemplos |
|---|---|---|
| Suplicante | El dispositivo Apple que solicita acceso a la red | MacBook, iPhone, iPad |
| Autenticador | El dispositivo de borde de red que aplica el control de acceso | Punto de Acceso WiFi, WLC |
| Servidor de Autenticación | Valida los certificados y autoriza el acceso | FreeRADIUS, Cisco ISE, Microsoft NPS |
El Punto de Acceso actúa como un guardián, bloqueando todo el tráfico hasta que el servidor RADIUS envía un mensaje Access-Accept. Este es el núcleo del modelo de Control de Acceso a la Red basado en puertos (PNAC) de IEEE 802.1X.
SCEP y Jamf Pro: Distribución de Certificados a Escala
El desafío con EAP-TLS a gran escala es la distribución de certificados. Instalar manualmente un certificado único en 500 iPads no es una operación viable. Aquí es donde la integración de Jamf Pro y SCEP Jamf se convierte en el habilitador crítico.
SCEP (Simple Certificate Enrollment Protocol) es un protocolo ligero que permite a un dispositivo solicitar y recibir automáticamente un certificado firmado de una Autoridad de Certificación (CA). Jamf Pro actúa como el orquestador, enviando un Perfil de Configuración a cada dispositivo Apple. Este perfil contiene una carga útil de SCEP que indica al dispositivo que se comunique con el servidor SCEP, proporciona una contraseña de desafío dinámica y especifica los atributos de certificado requeridos, como el Nombre Alternativo del Sujeto (SAN), que normalmente se asigna a la dirección MAC o al número de serie del dispositivo.
El mecanismo de contraseña de desafío dinámica es particularmente importante. En un despliegue de SCEP integrado con Jamf, Jamf genera una contraseña de desafío única y de un solo uso para cada dispositivo. Esto garantiza que solo los dispositivos inscritos en Jamf Pro —y, por lo tanto, gestionados corporativamente— puedan obtener con éxito un certificado de la CA. Este es un control de seguridad crítico que evita que dispositivos no autorizados se inscriban.
Atributos RADIUS para la Autenticación de Dispositivos Apple
Cuando el servidor RADIUS recibe un Access-Request del Punto de Acceso, evalúa varios atributos para tomar su decisión de autorización. Para despliegues de Apple 802.1X, los atributos RADIUS más relevantes son los siguientes.
| Atributo RADIUS | Descripción | Relevancia para Apple |
|---|---|---|
User-Name (Attr 1) |
La identidad presentada por el suplicante | Normalmente el CN del Sujeto o el SAN del certificado |
NAS-IP-Address (Attr 4) |
La IP del Punto de Acceso | Se utiliza para políticas específicas de AP |
Called-Station-Id (Attr 30) |
El BSSID y SSID del AP | Permite la aplicación de políticas basadas en SSID |
EAP-Message (Attr 79) |
El paquete EAP encapsulado | Contiene los datos del saludo TLS |
Tunnel-Type (Attr 64) |
Especifica el tipo de asignación de VLAN | Se utiliza para la asignación dinámica de VLAN post-autenticación |
Tunnel-Medium-Type (Attr 65) |
Especifica el medio para el túnel | Requerido para el etiquetado de VLAN 802.1Q |
Tunnel-Private-Group-Id (Attr 81) |
El ID de VLAN a asignar | Permite la segmentación de red basada en roles |
El atributo Tunnel-Private-Group-Id es particularmente potente en despliegues empresariales. Al devolver diferentes IDs de VLAN basados en los atributos del certificado (por ejemplo, departamento, tipo de dispositivo), el servidor RADIUS puede segmentar dinámicamente la red sin necesidad de SSIDs separados.
Guía de Implementación
El despliegue de la autenticación WiFi por certificado para dispositivos Apple a través de Jamf Pro sigue una secuencia estructurada. Desviarse de este orden es la causa principal de los despliegues fallidos.
Paso 1: Establecer la Infraestructura de su Autoridad de Certificación
Antes de configurar Jamf, su infraestructura de CA debe estar lista. Para entornos de Microsoft, esto suele ser Active Directory Certificate Services (AD CS) con el rol Network Device Enrollment Service (NDES), que actúa como el servidor SCEP. Para entornos que no son de Microsoft, las opciones incluyen EJBCA, HashiCorp Vault PKI o CA basadas en la nube como AWS Private CA.
Asegúrese de que su jerarquía de CA sea clara: una CA raíz que se mantenga fuera de línea y una o más CA emisoras que firmen los certificados de los dispositivos. El servidor RADIUS necesitará su propio certificado firmado por esta misma jerarquía de CA.
Paso 2: Configurar el payload de SCEP en Jamf Pro
Vaya a Computadoras (o Dispositivos móviles) > Perfiles de configuración > Nuevo. Agregue un payload de Certificado y seleccione SCEP como origen del certificado. Los campos críticos son los siguientes.
- URL: El endpoint de SCEP (por ejemplo,
http://ndes.tudominio.com/certsrv/mscep/mscep.dll). - Nombre: Un nombre descriptivo que aparecerá en el llavero (Keychain) del dispositivo.
- Asunto (Subject): El nombre distinguido (DN) del certificado. Utilice variables de Jamf como
CN=$COMPUTERNAMEpara computadoras oCN=$JSSIDpara dispositivos móviles. - Nombre alternativo del sujeto (SAN): Establezca el tipo de SAN en
RFC 822 Namecon el valor$MACADDRESS@tudominio.com, oDNS Namecon$COMPUTERNAME.tudominio.com. Esto es lo que el servidor RADIUS leerá para identificar el dispositivo. - Tipo de desafío (Challenge Type): Seleccione Dinámico para usar el proxy SCEP integrado de Jamf, el cual genera contraseñas de desafío por dispositivo.
- Tamaño de clave: RSA de 2048 bits como mínimo. Se recomienda 4096 bits para nuevas implementaciones.
- Uso de clave: Habilite tanto Firma como Cifrado.
Paso 3: Configurar el payload de WiFi
En el mismo perfil de configuración, agregue un payload de Wi-Fi. Los ajustes clave para Apple 802.1X son los siguientes.
- SSID: El nombre exacto de su SSID corporativo seguro.
- Tipo de seguridad: WPA2 Enterprise o WPA3 Enterprise (recomendado donde el hardware lo admita).
- Protocolos — Tipos de EAP aceptados: Seleccione únicamente TLS. Desactive PEAP, TTLS y todos los demás tipos para exigir exclusivamente EAP-TLS.
- Autenticación — Certificado de identidad: Seleccione el payload de SCEP que creó en el Paso 2. Este es el enlace crítico entre el certificado y la conexión WiFi.
- Confianza — Nombres de certificados de servidor confiables: Ingrese el nombre común (CN) exacto del certificado de su servidor RADIUS (por ejemplo,
radius.tudominio.com). Este es el elemento de configuración que se omite con más frecuencia. - Confianza — Certificados confiables: Suba la CA raíz y cualquier certificado de CA intermedia que haya firmado el certificado del servidor RADIUS.
Paso 4: Configurar el servidor RADIUS
En su servidor RADIUS, cree una política de red que coincida con los atributos de certificado que definió en Jamf. Para Microsoft NPS, esto significa crear una Política de solicitud de conexión que coincida con el SSID a través del atributo Called-Station-Id, y una Política de red que valide el certificado frente a su CA y, opcionalmente, asigne una VLAN a través de los atributos de túnel.
Para FreeRADIUS, configure el módulo eap para usar tls y apunte a su certificado de CA, certificado de servidor y clave privada. El archivo users o el backend SQL deben configurarse para hacer coincidir el SAN del certificado con su inventario de dispositivos.
Paso 5: Definir el alcance y desplegar el perfil
En Jamf Pro, defina el alcance del Perfil de Configuración para los grupos de dispositivos adecuados; por ejemplo, todos los dispositivos en el Grupo Inteligente "Flota Corporativa". El perfil se enviará automáticamente a través de MDM. Los dispositivos que estén en línea lo recibirán en cuestión de minutos; los dispositivos que estén fuera de línea lo recibirán la próxima vez que se conecten.
Mejores prácticas
Implemente WPA3 Enterprise siempre que sea posible. WPA3 Enterprise con modo de 192 bits proporciona una fuerza criptográfica mejorada utilizando GCMP-256 y HMAC-SHA-384, ofreciendo una protección significativamente más sólida que WPA2 Enterprise. Para entornos de Hospitality y organizaciones de Healthcare que manejan datos confidenciales, esta actualización es cada vez más un requisito de cumplimiento en lugar de simplemente una mejor práctica.
Aproveche los certificados basados en dispositivos para hardware compartido. Para dispositivos compartidos, como iPads de punto de venta en tiendas minoristas, tabletas de conserjería de hoteles o dispositivos clínicos, utilice certificados vinculados al dispositivo en lugar de certificados vinculados al usuario. Esto garantiza que el dispositivo se conecte a la red al arrancar, antes de que cualquier usuario inicie sesión, lo que permite que las conexiones de MDM, las actualizaciones de aplicaciones y las notificaciones push funcionen correctamente. Esta es una consideración crítica para los despliegues de Retail donde los dispositivos pueden compartirse entre turnos.
Integre el acceso a la red con su postura de seguridad general. Mientras el personal utiliza 802.1X para un acceso interno seguro, asegúrese de que sus redes públicas se gestionen a través de una solución robusta de Guest WiFi para mantener una separación clara del tráfico. Combinar la autenticación del personal basada en certificados con WiFi Analytics proporciona una visibilidad completa tanto del comportamiento de los dispositivos autenticados como de la actividad de la red de invitados.
Automatice la renovación de certificados. Configure la carga útil de SCEP en Jamf para activar la renovación automática cuando un certificado esté a punto de expirar (entre 14 y 30 días antes). Esto evita el escenario en el que un dispositivo pierde silenciosamente el acceso a la red porque su certificado expiró de la noche a la mañana. En Jamf Pro, esto se controla a través de la configuración de Umbral de Renovación en la carga útil de SCEP.
Mantenga una Lista de Revocación de Certificados (CRL) o un respondedor OCSP. Cuando un dispositivo se retira del servicio, se roba o se da de baja de Jamf, su certificado debe revocarse a nivel de la CA. Configure su servidor RADIUS para verificar el endpoint de la CRL u OCSP en cada intento de autenticación. Sin esto, un dispositivo robado con un certificado válido aún podría autenticarse en la red. For further context on modern network infrastructure decisions, the The Core SD WAN Benefits for Modern Businesses guide provides useful context on how certificate-based authentication integrates with SD-WAN overlay architectures.
Troubleshooting & Risk Mitigation
The Chicken-and-Egg Provisioning Problem. Devices need a network connection to reach the SCEP server and download their certificate, but they need the certificate to join the secure WiFi. This is the most common deployment blocker. The recommended mitigation strategies are: provisioning via Ethernet using USB-C or Lightning to Ethernet adapters; using cellular data on iPhones and cellular-capable iPads; or creating a temporary, restricted onboarding SSID with firewall rules that permit only SCEP and MDM traffic.
Silent EAP-TLS Failures on macOS. If the trust chain is incomplete, macOS may silently fail to connect without displaying a meaningful error in the UI. The only indication is in the system log. Use log stream --predicate 'subsystem == "com.apple.network"' to capture real-time authentication events. Always verify that the Trusted Server Certificate Names array in the Jamf profile exactly matches the CN in the RADIUS server's certificate.
RADIUS Timeout During High-Load Events. In environments such as stadiums or conference centres, simultaneous authentication requests from hundreds of devices can overwhelm the RADIUS server. Mitigate this by deploying RADIUS in a high-availability pair, tuning the max_requests parameter in FreeRADIUS, and ensuring the RADIUS server has sufficient CPU and memory for the expected concurrent authentication load. For large-scale venue deployments, review our guidance on Wireless Access Points Definition Your Ultimate 2026 Guide for capacity planning considerations.
Certificate Attribute Mismatch. If the SAN in the device certificate does not match what the RADIUS Network Policy expects, authentication will fail. This is particularly common when migrating from one CA to another, or when Jamf variables resolve differently than expected. Always test with a single device and inspect the RADIUS server logs to confirm the exact identity string being presented before rolling out to the full fleet.
ROI and Business Impact
Transitioning to Jamf RADIUS WiFi certificate authentication delivers measurable business value across several dimensions.
| Metric | Typical Outcome |
|---|---|
| Helpdesk ticket reduction | 60–85% reduction in WiFi-related support requests |
| Onboarding time per device | Reduced from 15–30 minutes to under 2 minutes (zero-touch) |
| Security incident risk | Near-elimination of credential-based WiFi attacks |
| Compliance posture | Meets PCI DSS Requirement 1.3 and GDPR Article 32 network controls |
| Certificate lifecycle | Automated renewal eliminates manual certificate management |
El factor de retorno de inversión (ROI) más significativo es la eliminación de las interrupciones por rotación de contraseñas. En una flota de 500 dispositivos donde el 10% se desconecta de la red cada trimestre debido a cambios de contraseña, y cada incidente requiere 20 minutos de soporte de TI para resolverse, el ahorro anual en costos de soporte por sí solo puede justificar la inversión de implementación dentro del primer año.
Para los operadores de Transporte y entornos de grandes recintos, el caso de negocio se fortalece aún más por la capacidad de aplicar la asignación dinámica de VLAN, lo que garantiza que los dispositivos operativos, los dispositivos del personal y los sistemas de gestión se segmenten automáticamente sin necesidad de una reconfiguración manual de la red.
Definiciones clave
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
El método de autenticación 802.1X más seguro, que requiere que tanto el dispositivo cliente como el servidor RADIUS se autentiquen mutuamente mediante certificados digitales. No se intercambia ni se transmite ninguna contraseña.
Cuando los equipos de TI necesitan eliminar el WiFi basado en contraseñas y aplicar un estricto cumplimiento de dispositivos, EAP-TLS es el estándar obligatorio. Es el único tipo de EAP que proporciona autenticación mutua.
SCEP (Simple Certificate Enrollment Protocol)
Un protocolo que permite a los dispositivos solicitar de forma segura y automática certificados digitales a una Autoridad de Certificación utilizando un mecanismo de desafío-respuesta.
Esencial para escalar implementaciones de certificados a través de Jamf Pro sin requerir que el personal de TI instale manualmente certificados en miles de dispositivos. El proxy SCEP dinámico de Jamf genera contraseñas de desafío por dispositivo.
RADIUS (Remote Authentication Dial-In User Service)
Un protocolo de red que proporciona administración centralizada de Autenticación, Autorización y Contabilidad (AAA) para dispositivos que se conectan a un servicio de red.
El motor de decisión central que le indica al Access Point de WiFi si un dispositivo administrado por Jamf tiene permitido el acceso a la red y, opcionalmente, qué VLAN asignar.
Configuration Profile
Un archivo XML (.mobileconfig) implementado por Jamf Pro que contiene una o más cargas útiles para administrar la configuración en dispositivos Apple, incluidos certificados, WiFi, VPN y restricciones.
Este es el vehículo utilizado para enviar la configuración de SCEP, la configuración del SSID de WiFi y la cadena de confianza del certificado al iPhone, iPad o Mac.
CSR (Certificate Signing Request)
Un bloque de texto codificado generado por el dispositivo Apple que contiene la clave pública y la información de identidad, enviado a la Autoridad de Certificación para solicitar un certificado digital firmado.
El primer paso en el proceso SCEP. El dispositivo genera la CSR localmente, lo que garantiza que la clave privada nunca salga del dispositivo, un principio fundamental de la seguridad de PKI.
Subject Alternative Name (SAN)
Una extensión de un certificado X.509 que permite asociar múltiples valores de identidad con el certificado, como direcciones de correo electrónico, nombres DNS, direcciones IP o direcciones MAC.
Crucial para la autenticación RADIUS. El servidor RADIUS lee el SAN para identificar el dispositivo o usuario. En las implementaciones de Jamf, el SAN se establece normalmente en la dirección MAC del dispositivo o en el UPN del usuario.
Root CA (Certificate Authority)
El certificado de nivel superior en una jerarquía de PKI, cuya clave privada se utiliza para firmar certificados de CA subordinados. El certificado de la Root CA debe ser de confianza para todas las partes en la cadena de autenticación.
Debe implementarse en los dispositivos Apple a través de Jamf para que confíen en los certificados presentados por el servidor RADIUS durante el saludo EAP-TLS. Sin esto, el saludo falla.
IEEE 802.1X
Un estándar IEEE para el Control de Acceso a la Red basado en puertos (PNAC), que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN antes de que se les conceda acceso a la red.
El marco general que bloquea el tráfico de red en el Access Point hasta que el servidor RADIUS valida el certificado provisto por Jamf. Toda la seguridad de WiFi empresarial se basa en este estándar.
Dynamic VLAN Assignment
Una función de RADIUS que asigna un dispositivo de conexión a una VLAN específica según los atributos de política devueltos en el mensaje Access-Accept, utilizando los atributos de túnel RADIUS 64, 65 y 81.
Permite la segmentación de red sin múltiples SSIDs. Un único SSID corporativo puede colocar automáticamente iPads clínicos en la VLAN 20, MacBooks ejecutivas en la VLAN 30 y dispositivos de invitados en la VLAN 100.
Ejemplos resueltos
Un hospital de 500 camas necesita implementar 1,200 iPads compartidos para el personal clínico. Actualmente utilizan PEAP con credenciales de Active Directory, lo que resulta en cientos de dispositivos desconectados cada 90 días cuando expiran las contraseñas. ¿Cómo deberían rediseñar su arquitectura de autenticación?
El hospital debe migrar a EAP-TLS utilizando certificados basados en dispositivos administrados a través de Jamf Pro. La implementación implica cuatro pasos clave. Primero, implementar AD CS con el rol NDES para que actúe como servidor SCEP, emitiendo certificados desde una plantilla de certificado dedicada 'Clinical Device'. Segundo, configurar un Perfil de Configuración de Jamf con un payload SCEP utilizando $MACADDRESS como el SAN, y un payload de WiFi dirigido al SSID clínico únicamente con EAP-TLS, confiando explícitamente en el certificado del servidor RADIUS. Tercero, configurar Microsoft NPS con una Política de Red que coincida con la plantilla de certificado 'Clinical Device' y asigne los dispositivos a la VLAN Clínica (Tunnel-Private-Group-Id = 20). Cuarto, establecer el umbral de renovación de SCEP en 30 días para garantizar la renovación automática del certificado sin intervención de TI. Los dispositivos deben aprovisionarse a través de Ethernet durante el despliegue inicial para resolver el desafío de la red de incorporación.
Una agencia creativa con 300 MacBooks se mudará a una nueva oficina. Quieren un aprovisionamiento de WiFi sin intervención (zero-touch): las nuevas MacBooks deben conectarse automáticamente al SSID corporativo seguro cuando los usuarios finales las saquen de la caja en sus escritorios, sin intervención de TI. ¿Cómo logran esto?
La agencia debe combinar Apple Automated Device Enrollment (ADE) con Jamf Pro y un Perfil de Configuración cuidadosamente secuenciado. Durante el Asistente de Configuración de macOS, la MacBook se conecta a internet a través de un SSID de incorporación abierto temporal (restringido por firewall para permitir únicamente el tráfico de activación de Apple, Jamf MDM y SCEP). Se comunica con Apple, reconoce que pertenece a la agencia a través de ADE y se inscribe automáticamente en Jamf Pro. Jamf Pro envía de inmediato un Perfil de Configuración preestablecido que contiene el payload SCEP y el payload de WiFi corporativo. La inscripción de SCEP se completa a través del SSID de incorporación, el certificado se instala en el Llavero (Keychain) y el payload de WiFi se activa. Luego, la MacBook realiza la transición automática al SSID corporativo seguro 802.1X. Desde la perspectiva del usuario, simplemente completan el Asistente de Configuración y la laptop ya está en la red corporativa.
Preguntas de práctica
Q1. Has implementado un Jamf Configuration Profile con un payload SCEP y un payload WiFi en 50 MacBooks. Los certificados SCEP se instalaron correctamente en el Keychain, pero las MacBooks muestran a los usuarios un diálogo de 'Verificar certificado' al intentar conectarse al SSID corporativo. ¿Qué elemento de configuración falta o es incorrecto?
Sugerencia: Piensa en qué información necesita el dispositivo Apple para confiar automáticamente en la identidad del servidor RADIUS sin la interacción del usuario.
Ver respuesta modelo
Al payload WiFi en el Jamf Configuration Profile le falta la entrada 'Trusted Server Certificate Names' (que debe coincidir exactamente con el CN en el certificado del servidor RADIUS), o bien los certificados Root CA e Intermediate CA que firmaron el certificado del servidor RADIUS no están incluidos en el payload Trust del perfil. Sin una confianza explícita definida por el MDM, macOS e iOS requieren que el usuario verifique y acepte manualmente el certificado del servidor RADIUS durante el saludo EAP-TLS. Ambos campos deben estar completos: el arreglo de Trusted Certificates (que contiene la cadena CA) y el arreglo de Trusted Server Certificate Names (que contiene el CN del servidor RADIUS).
Q2. Una cadena de tiendas de retail quiere que sus iPads de punto de venta se conecten a la WiFi corporativa segura inmediatamente al arrancar, antes de que cualquier miembro del personal inicie sesión en la aplicación POS. La implementación actual utiliza certificados de usuario vinculados a los UPN de empleados individuales. Los dispositivos suelen fallar al conectarse al inicio de un turno. ¿Cuál es la causa raíz y cuál es el cambio de arquitectura correcto?
Sugerencia: Considera cuándo están disponibles los diferentes tipos de certificados para la pila de red de iOS en relación con el ciclo de vida de autenticación del usuario.
Ver respuesta modelo
La causa raíz es que los certificados de usuario (vinculados a un UPN) se almacenan en el keychain del usuario y solo son accesibles después de que el usuario se ha autenticado en el dispositivo. Al arrancar o en la pantalla de bloqueo de iOS, el keychain del usuario está bloqueado, por lo que la pila de WiFi no puede acceder al certificado para realizar EAP-TLS. El cambio de arquitectura correcto es cambiar a certificados de dispositivo, donde el SAN se establece con la dirección MAC o el número de serie del dispositivo. Los certificados de dispositivo se almacenan en el keychain del sistema, el cual es accesible al momento del arranque antes de que cualquier usuario inicie sesión. La política de red de RADIUS debe actualizarse para coincidir con certificados de dispositivo en lugar de certificados de usuario, y el payload Jamf SCEP debe actualizarse para usar variables a nivel de dispositivo como $MACADDRESS o $SERIALNUMBER como el SAN.
Q3. Tu organización utiliza Microsoft NPS como servidor RADIUS. Estás configurando un nuevo payload Jamf SCEP para 200 MacBooks. La política de red de NPS está configurada para requerir que el Subject Alternative Name del certificado coincida con una cuenta de computadora en Active Directory. ¿Qué valor de SAN deberías configurar en el payload Jamf SCEP y qué formato espera NPS?
Sugerencia: La autenticación de certificados de computadora de NPS requiere que el SAN coincida con la identidad de la computadora en Active Directory en un formato específico.
Ver respuesta modelo
Para la autenticación de certificados de computadora de NPS, el SAN debe establecerse en el tipo DNS Name con el valor $COMPUTERNAME.tudominio.com (utilizando la variable de Jamf para el hostname de la computadora). NPS espera que el DNS Name del SAN coincida con el nombre de dominio completamente calificado (FQDN) de la computadora tal como aparece en Active Directory. Alternativamente, si se utiliza el tipo de SAN User Principal Name, el formato debe ser host/$ COMPUTERNAME@TUDOMINIO.COM . La condición de la política de red de NPS debe configurarse para coincidir con el atributo 'Client Certificate SAN'. Asegúrate de que las MacBooks estén vinculadas a Active Directory, o que los nombres de las computadoras en Jamf coincidan con los objetos de computadora en AD; de lo contrario, la búsqueda en NPS fallará aunque el certificado sea válido.
Continúe leyendo esta serie
Integración de CommScope Ruckus con Purple WiFi: Guía de instalación y configuración
Esta guía de referencia técnica proporciona un manual de configuración definitivo para integrar arquitecturas de CommScope Ruckus con Purple WiFi. Detalla implementaciones paso a paso para Captive Portals de Guest WiFi, WiFi seguro para el personal a través de 802.1X y aislamiento de red multi-inquilino mediante Dynamic PSK de Ruckus.
Integración de Access Points Allied Telesis con Purple WiFi
Esta guía proporciona un manual de configuración completo para integrar los access points de la serie TQ de Allied Telesis con Purple WiFi. Cubre la redirección de Captive Portal externo, la autenticación RADIUS 802.1X y el direccionamiento dinámico de VLAN mediante claves privadas precompartidas (PPSK) para despliegues multi-inquilino seguros.
Grandstream GWN Access Points Integration with Purple WiFi
Esta guía de referencia técnica autorizada detalla cómo integrar los puntos de acceso Grandstream GWN con la plataforma de análisis y Guest WiFi de Purple. Cubre la configuración del Captive Portal de Grandstream, los ajustes de RADIUS AAA, la configuración del walled garden, la autenticación segura para el personal mediante 802.1X con direccionamiento dinámico de VLAN y la segmentación PPSK multi-tenant, proporcionando una guía paso a paso y práctica para MSPs y equipos de TI que despliegan WiFi para invitados y personal a gran escala.