Jamf and RADIUS: autenticazione WiFi basata su certificati per flotte di dispositivi Apple
Questa guida tecnica di riferimento fornisce a IT manager, architetti di rete e CTO i passaggi operativi per implementare l'autenticazione WiFi 802.1X basata su certificati per flotte di dispositivi Apple utilizzando Jamf Pro e RADIUS. Copre l'intero workflow di provisioning dei certificati SCEP, la struttura del profilo di configurazione WiFi, i requisiti di integrazione RADIUS e scenari di implementazione reali in ambienti aziendali e sanitari. La guida è essenziale per qualsiasi organizzazione che desideri eliminare le vulnerabilità del WiFi basato su password, ridurre il carico di lavoro dell'helpdesk e raggiungere la conformità con gli standard di accesso alla rete PCI-DSS e GDPR.
Video overview
Ascolta questa guida
Visualizza trascrizione del podcast
Parte della nostra serie principale: Guida alla sicurezza WiFi enterprise →
Sintesi Esecutiva
La gestione dell'accesso sicuro alla rete WiFi per una flotta di dispositivi Apple in un ambiente aziendale rappresenta una sfida operativa e di sicurezza significativa quando si fa affidamento sulla tradizionale autenticazione basata su password. Gli utenti cambiano le loro credenziali di Active Directory e, immediatamente, i loro iPhone, iPad e MacBook si disconnettono dalla rete - generando ticket di supporto, interrompendo i flussi di lavoro ed esponendo l'organizzazione ad attacchi basati sulle credenziali.
Per IT manager, network architect e CTO di hotel, catene di vendita al dettaglio, stadi e organizzazioni del settore pubblico, la soluzione è l'autenticazione 802.1X basata su certificati utilizzando EAP-TLS. Sfruttando Jamf Pro per distribuire certificati crittografici univoci tramite SCEP (Simple Certificate Enrollment Protocol) e integrandolo con un server RADIUS, le organizzazioni possono ottenere un accesso WiFi fluido e senza password per ogni dispositivo Apple gestito. Questa guida fornisce un approccio pratico e indipendente dal fornitore per implementare l'autenticazione tramite certificato WiFi Jamf RADIUS, garantendo una sicurezza robusta, la conformità a standard come PCI-DSS e GDPR e una riduzione misurabile dei costi di supporto.
Approfondimento Tecnico
L'Architettura 802.1X EAP-TLS
La base dell'autenticazione WiFi basata su certificati è lo standard IEEE 802.1X combinato con il protocollo EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). Per un'introduzione dettagliata allo standard 802.1X in sé, consulta la nostra guida su Autenticazione 802.1X: Proteggere l'Accesso alla Rete sui Dispositivi Moderni.
A differenza del protocollo PEAP (Protected EAP), che si affida a nome utente e password, il protocollo EAP-TLS richiede sia al dispositivo client che al server di autenticazione di dimostrare la propria identità utilizzando certificati digitali. Questa autenticazione reciproca è ciò che rende EAP-TLS il gold standard per le distribuzioni aziendali. Il modello a tre parti è composto dai seguenti elementi.
| Componente | Ruolo | Esempi |
|---|---|---|
| Supplicant | Il dispositivo Apple che richiede l'accesso alla rete | MacBook, iPhone, iPad |
| Authenticator | Il dispositivo di rete periferico che applica il controllo degli accessi | Access Point WiFi, WLC |
| Authentication Server | Convalida i certificati e autorizza l'accesso | FreeRADIUS, Cisco ISE, Microsoft NPS |
L'Access Point funge da gatekeeper, bloccando tutto il traffico fino a quando il server RADIUS non invia un messaggio di Access-Accept. Questo è il nucleo del modello di Network Access Control (PNAC) basato su porta dello standard IEEE 802.1X.
SCEP e Jamf Pro: Distribuzione dei Certificati Scalabile
La sfida con EAP-TLS su scala è la distribuzione dei certificati. Installare manualmente un certificato unico su 500 iPad non è un'operazione fattibile. È qui che l'integrazione tra Jamf Pro e SCEP Jamf diventa l'abilitatore fondamentale.
SCEP (Simple Certificate Enrollment Protocol) è un protocollo leggero che consente a un dispositivo di richiedere e ricevere automaticamente un certificato firmato da una Certificate Authority (CA). Jamf Pro funge da orchestratore, inviando un profilo di configurazione a ciascun dispositivo Apple. Questo profilo contiene un payload SCEP che istruisce il dispositivo a contattare il server SCEP, fornisce una password di verifica dinamica e specifica gli attributi richiesti del certificato - come il Subject Alternative Name (SAN), che in genere viene mappato sull'indirizzo MAC o sul numero di serie del dispositivo.
Il meccanismo della password di verifica dinamica è particolarmente importante. In una distribuzione SCEP integrata con Jamf, Jamf genera una password di verifica univoca e monouso per ciascun dispositivo. Ciò garantisce che solo i dispositivi registrati in Jamf Pro - e quindi gestiti a livello aziendale - possano ottenere con successo un certificato dalla CA. Si tratta di un controllo di sicurezza fondamentale che impedisce la registrazione di dispositivi non autorizzati.
Attributi RADIUS per l'Autenticazione dei Dispositivi Apple
Quando il server RADIUS riceve un Access-Request dall'Access Point, valuta diversi attributi per prendere la decisione di autorizzazione. Per le distribuzioni Apple 802.1X, gli attributi RADIUS più rilevanti sono i seguenti.
| Attributo RADIUS | Descrizione | Rilevanza Apple |
|---|---|---|
User-Name (Attr 1) |
L'identità presentata dal supplicant | In genere il Subject CN o SAN del certificato |
NAS-IP-Address (Attr 4) |
L'IP dell'Access Point | Utilizzato per policy specifiche per l'AP |
Called-Station-Id (Attr 30) |
Il BSSID e lo SSID dell'AP | Consente l'applicazione di policy basate sullo SSID |
EAP-Message (Attr 79) |
Il pacchetto EAP incapsulato | Contiene i dati dell'handshake TLS |
Tunnel-Type (Attr 64) |
Specifica il tipo di assegnazione VLAN | Utilizzato per l'assegnazione dinamica della VLAN post-autenticazione |
Tunnel-Medium-Type (Attr 65) |
Specifica il mezzo per il tunnel | Richiesto per il tagging VLAN 802.1Q |
Tunnel-Private-Group-Id (Attr 81) |
L'ID della VLAN da assegnare | Consente la segmentazione di rete basata sui ruoli |
L'attributo Tunnel-Private-Group-Id è particolarmente potente nelle distribuzioni aziendali. Restituendo diversi ID VLAN in base agli attributi del certificato (es. reparto, tipo di dispositivo), il server RADIUS può segmentare dinamicamente la rete senza richiedere SSID separati.
-
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
Guida all'Implementazione
La distribuzione dell'autenticazione certificati WiFi Apple tramite Jamf Pro segue una sequenza strutturata. Deviare da questo ordine è la causa principale dei fallimenti nelle distribuzioni.
Passaggio 1: Stabilire l'Infrastruttura della Certificate Authority
Prima di intervenire su Jamf, l'infrastruttura CA deve essere pronta. Per gli ambienti Microsoft, si tratta in genere di Active Directory Certificate Services (AD CS) con il ruolo Network Device Enrollment Service (NDES), che funge da server SCEP. Per gli ambienti non Microsoft, le opzioni includono EJBCA, HashiCorp Vault PKI o CA basate su cloud come AWS Private CA.
Assicurati che la gerarchia della CA sia chiara: una Root CA che viene mantenuta offline e una o più Issuing CA che firmano i certificati dei dispositivi. Il server RADIUS avrà bisogno del proprio certificato firmato da questa stessa gerarchia di CA.
Passaggio 2: Configura il payload SCEP in Jamf Pro
Naviga su Computers (o Mobile Devices) > Configuration Profiles > New. Aggiungi un payload Certificate e seleziona SCEP come origine del certificato. I campi critici sono i seguenti.
- URL: L'endpoint SCEP (ad es.
http://ndes.yourdomain.com/certsrv/mscep/mscep.dll). - Name: Un nome descrittivo che apparirà nel Keychain del dispositivo.
- Subject: Il Distinguished Name del certificato. Utilizza le variabili Jamf come
CN=$COMPUTERNAMEper i computer oCN=$JSSIDper i dispositivi mobili. - Subject Alternative Name (SAN): Imposta il tipo di SAN su
RFC 822 Namecon il valore$MACADDRESS@yourdomain.com, oppure suDNS Namecon$COMPUTERNAME.yourdomain.com. Questo è ciò che il server RADIUS leggerà per identificare il dispositivo. - Challenge Type: Seleziona Dynamic per utilizzare il proxy SCEP integrato di Jamf, che genera password di verifica per singolo dispositivo.
- Key Size: Minimo RSA a 2048 bit. 4096 bit è raccomandato per le nuove implementazioni.
- Key Usage: Abilita sia Signing che Encryption.
Passaggio 3: Configura il payload WiFi
Nello stesso Configuration Profile, aggiungi un payload WiFi. Le impostazioni chiave per Apple 802.1X sono le seguenti.
- SSID: Il nome esatto del tuo SSID aziendale sicuro.
- Security Type: WPA2 Enterprise o WPA3 Enterprise (raccomandato dove il controllo hardware lo supporta).
- Protocols - Accepted EAP Types: Seleziona solo TLS. Deseleziona PEAP, TTLS e tutti gli altri tipi per imporre esclusivamente EAP-TLS.
- Authentication - Identity Certificate: Seleziona il payload SCEP creato al Passaggio 2. Questo è il collegamento critico tra il certificato e la connessione WiFi.
- Trust - Trusted Server Certificate Names: Inserisci il Common Name (CN) esatto del certificato del tuo server RADIUS (ad es.
radius.yourdomain.com). Questa è la voce di configurazione che viene dimenticata più comunemente. - Trust - Trusted Certificates: Carica la Root CA e tutti i certificati della Intermediate CA che hanno firmato il certificato del server RADIUS.
Passaggio 4: Configura il server RADIUS
Sul tuo server RADIUS, crea una policy di rete che corrisponda agli attributi del certificato definiti in Jamf. Per Microsoft NPS, questo significa creare una Connection Request Policy che corrisponda al SSID tramite l'attributo Called-Station-Id, e una Network Policy che convalidi il certificato rispetto alla tua CA e, opzionalmente, assegni una VLAN tramite gli attributi Tunnel.
Per FreeRADIUS, configura il modulo eap per utilizzare tls e puntare al tuo certificato CA, al certificato del server e alla chiave privata. Il file users o il backend SQL devono essere configurati per associare la SAN del certificato con il tuo inventario dei dispositivi.
Step 5: Definire l'ambito e distribuire il profilo
In Jamf Pro, definisci l'ambito del Profilo di Configurazione per i gruppi di dispositivi appropriati - ad esempio, tutti i dispositivi nel Gruppo Smart "Corporate Fleet". Il profilo verrà inviato automaticamente tramite MDM. I dispositivi che sono online lo riceveranno entro pochi minuti; i dispositivi offline lo riceveranno al successivo check-in.
Best Practice
Implementa WPA3 Enterprise dove possibile. WPA3 Enterprise con modalità a 192 bit offre una sicurezza crittografica avanzata utilizzando GCMP-256 e HMAC-SHA-384, garantendo una protezione significativamente più forte rispetto a WPA2 Enterprise. Per gli ambienti del settore Hospitality e le organizzazioni del settore Healthcare che gestiscono dati sensibili, questo aggiornamento è sempre più un requisito di conformità piuttosto che una semplice best practice.
Sfrutta i certificati basati sul dispositivo per l'hardware condiviso. Per i dispositivi condivisi - come gli iPad per i punti vendita del settore Retail, i tablet dei concierge degli hotel o i dispositivi clinici - utilizza certificati vincolati al dispositivo anziché all'utente. Ciò garantisce che il dispositivo si connetta alla rete all'avvio, prima che qualsiasi utente acceda, consentendo il corretto funzionamento dei check-in MDM, degli aggiornamenti delle app e delle notifiche push. Questa è una considerazione fondamentale per i deployment nel settore Retail in cui i dispositivi possono essere condivisi tra vari turni.
Integra l'accesso alla rete con la tua postura di sicurezza generale. Mentre il personale utilizza lo standard 802.1X per l'accesso interno sicuro, assicurati che le tue reti pubbliche siano gestite tramite una solida soluzione di Guest WiFi per mantenere una chiara separazione del traffico. La combinazione dell'autenticazione del personale basata su certificati con i WiFi Analytics offre una visibilità completa sia sul comportamento dei dispositivi autenticati sia sull'attività della rete ospiti.
Automatizza il rinnovo dei certificati. Configura il payload SCEP in Jamf per attivare il rinnovo automatico quando un certificato si trova entro 14-30 giorni dalla scadenza. Ciò evita lo scenario in cui un dispositivo perde silenziosamente l'accesso alla rete a causa della scadenza improvvisa del certificato. In Jamf Pro, questo viene controllato tramite l'impostazione Soglia di rinnovo nel payload SCEP.
Mantieni un elenco di revoca dei certificati (CRL) o un responder OCSP. Quando un dispositivo viene dismesso, rubato o rimosso da Jamf, il suo certificato deve essere revocato a livello di CA. Configura il tuo server RADIUS per controllare l'endpoint CRL o OCSP a ogni tentativo di autenticazione. Senza questo controllo, un dispositivo rubato con un certificato valido potrebbe ancora autenticarsi sulla rete. Per un ulteriore contesto sulle decisioni relative alle infrastrutture di rete moderne, la guida The Core SD WAN Benefits for Modern Businesses fornisce informazioni utili su come l'autenticazione basata su certificati si integra con le architetture overlay SD-WAN.
Risoluzione dei problemi e mitigazione dei rischi
Il problema del provisioning "uovo e gallina". I dispositivi hanno bisogno di una connessione di rete per raggiungere il server SCEP e scaricare il proprio certificato, ma hanno bisogno del certificato per accedere alla rete WiFi protetta. Questo è l'ostacolo più comune all'implementazione. Le strategie di mitigazione raccomandate sono: il provisioning via Ethernet utilizzando adattatori da USB-C o Lightning a Ethernet; l'uso di dati cellulari su iPhone e iPad dotati di connettività cellulare; oppure la creazione di un SSID di onboarding temporaneo e limitato con regole firewall che consentano solo il traffico SCEP e MDM.
Errori silenziosi EAP-TLS su macOS. Se la catena di attendibilità è incompleta, macOS potrebbe non riuscire a connettersi in modo silenzioso, senza mostrare un errore significativo nell'interfaccia utente. L'unica indicazione si trova nel registro di sistema. Utilizzare il comando log stream --predicate 'subsystem == "com.apple.network"' per catturare gli eventi di autenticazione in tempo reale. Verificare sempre che l'array Trusted Server Certificate Names nel profilo Jamf corrisponda esattamente al CN nel certificato del server RADIUS.
Timeout RADIUS durante eventi ad alto carico. In ambienti come stadi o centri congressi, le richieste di autenticazione simultanee da parte di centinaia di dispositivi possono sovraccaricare il server RADIUS. Mitigare questo problema distribuendo RADIUS in una coppia ad alta disponibilità, ottimizzando il parametro max_requests in FreeRADIUS e assicurandosi che il server RADIUS disponga di CPU e memoria sufficienti per il carico di autenticazione simultanea previsto. Per installazioni in grandi strutture, consultare la nostra guida Wireless Access Points Definition Your Ultimate 2026 Guide per considerazioni sulla pianificazione della capacità.
Mancata corrispondenza degli attributi del certificato. Se il SAN nel certificato del dispositivo non corrisponde a quanto previsto dalla Network Policy RADIUS, l'autenticazione fallirà. Questo è particolarmente comune durante la migrazione da una CA all'altra, o quando le variabili Jamf si risolvono in modo diverso dal previsto. Testare sempre con un singolo dispositivo e ispezionare i log del server RADIUS per confermare la stringa di identità esatta presentata prima di estendere la distribuzione all'intera flotta.
ROI e impatto aziendale
Il passaggio all'autenticazione tramite certificato Jamf RADIUS WiFi offre un valore aziendale misurabile su diverse dimensioni.
| Metrica | Risultato tipico |
|---|---|
| Riduzione dei ticket di helpdesk | Riduzione del 60-85% delle richieste di supporto relative al WiFi |
| Tempo di onboarding per dispositivo | Ridotto da 15-30 minuti a meno di 2 minuti (zero-touch) |
| Rischio di incidenti di sicurezza | Quasi totale eliminazione degli attacchi WiFi basati su credenziali |
| Stato di conformità | Soddisfa il requisito PCI-DSS 1.3 e i controlli di rete dell'Articolo 32 del GDPR |
| Ciclo di vita del certificato | Il rinnovo automatico elimina la gestione manuale dei certificati |
| Il fattore di ROI più significativo è l'eliminazione delle interruzioni dovute alla rotazione delle password. In una flotta di 500 dispositivi in cui il 10% dei dispositivi si disconnette dalla rete ogni trimestre a causa del cambio password, e ogni incidente richiede 20 minuti di intervento IT per essere risolto, il solo risparmio sui costi di supporto annuali può giustificare l'investimento di implementazione già nel primo anno. |
Per gli operatori di Trasporti e gli ambienti di grandi dimensioni, il caso aziendale è ulteriormente rafforzato dalla capacità di imporre l'assegnazione dinamica della VLAN - garantendo che i dispositivi operativi, i dispositivi del personale e i sistemi di gestione siano segmentati automaticamente senza riconfigurazione manuale della rete.
Definizioni chiave
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
Il metodo di autenticazione 802.1X più sicuro, che richiede sia al dispositivo client che al server RADIUS di autenticarsi a vicenda tramite certificati digitali. Nessuna password viene scambiata o trasmessa.
Quando i team IT devono eliminare la password di accesso al WiFi e imporre una rigida conformità dei dispositivi, EAP-TLS è lo standard obbligatorio. È l'unico tipo di EAP che fornisce l'autenticazione reciproca.
SCEP (Simple Certificate Enrollment Protocol)
Un protocollo che consente ai dispositivi di richiedere in modo sicuro e automatico certificati digitali a una Certificate Authority utilizzando un meccanismo di challenge-response.
Essenziale per scalare le distribuzioni di certificati tramite Jamf Pro senza richiedere al personale IT di installare manualmente i certificati su migliaia di dispositivi. Il proxy SCEP dinamico di Jamf genera password di richiesta specifiche per ciascun dispositivo.
RADIUS (Remote Authentication Dial-In User Service)
Un protocollo di rete che fornisce la gestione centralizzata di autenticazione, autorizzazione e tracciamento (AAA) per i dispositivi che si connettono a un servizio di rete.
Il motore decisionale centrale che comunica all'Access Point WiFi se un dispositivo gestito da Jamf è autorizzato ad accedere alla rete e, opzionalmente, quale VLAN assegnare.
Configuration Profile
Un file XML (.mobileconfig) distribuito da Jamf Pro che contiene uno o più payload per gestire le impostazioni sui dispositivi Apple, inclusi certificati, WiFi, VPN e restrizioni.
Questo è lo strumento utilizzato per inviare le impostazioni SCEP, la configurazione dell'SSID WiFi e la catena di attendibilità dei certificati a iPhone, iPad o Mac.
CSR (Certificate Signing Request)
Un blocco di testo codificato generato dal dispositivo Apple contenente la chiave pubblica e le informazioni sull'identità, inviato alla Certificate Authority per richiedere un certificato digitale firmato.
Il primo passo nel processo SCEP. Il dispositivo genera la CSR localmente, garantendo che la chiave privata non lasci mai il dispositivo, un principio fondamentale della sicurezza PKI.
Subject Alternative Name (SAN)
Un'estensione di un certificato X.509 che consente di associare più valori di identità al certificato, come indirizzi e-mail, nomi DNS, indirizzi IP o indirizzi MAC.
Fondamentale per l'autenticazione RADIUS. Il server RADIUS legge il SAN per identificare il dispositivo o l'utente. Nelle distribuzioni Jamf, il SAN è solitamente impostato sull'indirizzo MAC del dispositivo o sull'UPN dell'utente.
Root CA (Certificate Authority)
Il certificato di livello più alto in una gerarchia PKI, la cui chiave privata viene utilizzata per firmare i certificati delle CA subordinate. Il certificato della Root CA deve essere ritenuto attendibile da tutte le parti coinvolte nella catena di autenticazione.
Deve essere distribuito ai dispositivi Apple tramite Jamf in modo che considerino attendibili i certificati presentati dal server RADIUS durante l'handshake EAP-TLS. Senza di esso, l'handshake fallisce.
IEEE 802.1X
Uno standard IEEE per il controllo dell'accesso alla rete basato su porte (PNAC), che fornisce un meccanismo di autenticazione ai dispositivi che desiderano connettersi a una LAN o WLAN prima che venga concesso l'accesso alla rete.
La struttura generale che blocca il traffico di rete sull'Access Point finché il server RADIUS non convalida il certificato fornito tramite Jamf. Tutta la sicurezza WiFi aziendale si basa su questo standard.
Assegnazione dinamica della VLAN
Una funzionalità RADIUS che assegna un dispositivo di connessione a una specifica VLAN in base agli attributi dei criteri restituiti nel messaggio Access-Accept, utilizzando gli attributi RADIUS Tunnel 64, 65 e 81.
Consente la segmentazione della rete senza l'uso di molteplici SSID. Un singolo SSID aziendale può collocare automaticamente gli iPad clinici sulla VLAN 20, i MacBook dei dirigenti sulla VLAN 30 e i dispositivi degli ospiti sulla VLAN 100.
Esempi pratici
Un ospedale da 500 posti letto deve distribuire 1.200 iPad condivisi per il personale clinico. Attualmente utilizzano PEAP con credenziali Active Directory, il che comporta la disconnessione di centinaia di dispositivi ogni 90 giorni alla scadenza delle password. Come dovrebbero riprogettare la loro architettura di autenticazione?
L'ospedale dovrebbe migrare a EAP-TLS utilizzando certificati basati sul dispositivo gestiti tramite Jamf Pro. L'implementazione prevede quattro passaggi chiave. Primo, distribuire AD CS con il ruolo NDES per fungere da server SCEP, emettendo certificati da un modello di certificato dedicato ai "Dispositivi Clinici". Secondo, configurare un profilo di configurazione Jamf con un payload SCEP che utilizzi $MACADDRESS come SAN e un payload WiFi che punti al SSID clinico solo con EAP-TLS, considerando attendibile in modo esplicito il certificato del server RADIUS. Terzo, configurare Microsoft NPS con una Network Policy che corrisponda al modello di certificato dei "Dispositivi Clinici" e assegni i dispositivi alla VLAN clinica (Tunnel-Private-Group-Id = 20). Quarto, impostare la soglia di rinnovo SCEP a 30 giorni per garantire il rinnovo automatico del certificato senza l'intervento del reparto IT. I dispositivi dovrebbero essere configurati tramite Ethernet durante il rollout iniziale per risolvere il problema della rete di onboarding.
Un'agenzia creativa con 300 MacBook si sta trasferendo in un nuovo ufficio. Desiderano un provisioning WiFi zero - touch - i nuovi MacBook dovrebbero connettersi automaticamente al SSID aziendale sicuro quando vengono estratti dalla confezione dagli utenti finali alla propria scrivania, senza alcun intervento IT. Come possono ottenere questo risultato?
L'agenzia deve combinare Apple Automated Device Enrollment (ADE) con Jamf Pro e un profilo di configurazione accuratamente sequenziato. Durante l'Impostazione Assistita di macOS, il MacBook si connette a Internet tramite un SSID di onboarding aperto temporaneo (limitato dal firewall per consentire solo il traffico di attivazione Apple, Jamf MDM e SCEP). Contatta Apple, riconosce di appartenere all'agenzia tramite ADE e si registra automaticamente in Jamf Pro. Jamf Pro invia immediatamente un profilo di configurazione pre-preparato contenente il payload SCEP e il payload WiFi aziendale. La registrazione SCEP si completa tramite il SSID di onboarding, il certificato viene installato nel Keychain e il payload WiFi si attiva. Il MacBook passa quindi automaticamente al SSID aziendale sicuro 802.1X. Dal punto di vista dell'utente, è sufficiente completare l'Impostazione Assistita e il laptop è connesso alla rete aziendale.
Domande di esercitazione
Q1. Hai distribuito un profilo di configurazione Jamf con un payload SCEP e un payload WiFi a 50 MacBook. I certificati SCEP sono stati installati correttamente nel portachiavi, ma sui MacBook compare la finestra di dialogo "Verifica certificato" quando provano a connettersi all'SSID aziendale. Quale elemento di configurazione manca o non è corretto?
Suggerimento: Pensa a quali informazioni ha bisogno il dispositivo Apple per considerare attendibile automaticamente l'identità del server RADIUS senza alcuna interazione da parte dell'utente.
Visualizza risposta modello
Nel payload WiFi del profilo di configurazione Jamf manca la voce "Nomi certificati server attendibili" (che deve corrispondere esattamente al CN nel certificato del server RADIUS), oppure i certificati Root CA e Intermediate CA che hanno firmato il certificato del server RADIUS non sono inclusi nel payload Trust del profilo. Senza un'attendibilità esplicita definita dall'MDM, macOS e iOS richiedono all'utente di verificare e accettare manualmente il certificato del server RADIUS durante l'handshake EAP-TLS. Entrambi i campi devono essere popolati: l'array Trusted Certificates (contenente la catena CA) e l'array Trusted Server Certificate Names (contenente il CN del server RADIUS).
Q2. Una catena di negozi al dettaglio desidera che gli iPad dei punti vendita si connettano al WiFi aziendale sicuro subito dopo l'avvio, prima che qualsiasi membro del personale acceda all'applicazione POS. La distribuzione attuale utilizza certificati utente associati ai singoli UPN dei dipendenti. I dispositivi spesso non riescono a connettersi all'inizio del turno. Qual è la causa principale e quale modifica architetturale è corretta?
Suggerimento: Considera il momento in cui i diversi tipi di certificati diventano disponibili per lo stack di rete di iOS rispetto al ciclo di vita dell'autenticazione utente.
Visualizza risposta modello
La causa principale è che i certificati utente (associati a un UPN) sono memorizzati nel portachiavi dell'utente e sono accessibili solo dopo che l'utente si è autenticato sul dispositivo. All'avvio o nella schermata di blocco di iOS, il portachiavi dell'utente è bloccato, pertanto lo stack WiFi non può accedere al certificato per eseguire EAP-TLS. La modifica architetturale corretta consiste nel passare ai certificati del dispositivo, dove il SAN è impostato sull'indirizzo MAC o sul numero di serie del dispositivo. I certificati del dispositivo sono memorizzati nel portachiavi di sistema, che è accessibile all'avvio prima dell'accesso di qualsiasi utente. I criteri di rete RADIUS devono essere aggiornati per corrispondere ai certificati del dispositivo anziché a quelli dell'utente, e il payload SCEP di Jamf deve essere aggiornato per utilizzare variabili a livello di dispositivo come $MACADDRESS o $SERIALNUMBER come SAN.
Q3. La tua organizzazione utilizza Microsoft NPS come server RADIUS. Stai configurando un nuovo payload Jamf SCEP per 200 MacBook. I criteri di rete NPS sono configurati per richiedere che il Subject Alternative Name del certificato corrisponda a un account computer in Active Directory. Quale valore SAN devi configurare nel payload Jamf SCEP e quale formato si aspetta NPS?
Suggerimento: L'autenticazione del certificato computer di NPS richiede che il SAN corrisponda all'identità del computer in Active Directory in un formato specifico.
Visualizza risposta modello
Per l'autenticazione del certificato computer NPS, il SAN deve essere impostato sul tipo DNS Name con il valore $COMPUTERNAME.yourdomain.com (utilizzando la variabile Jamf per l'hostname del computer). NPS si aspetta che il SAN DNS Name corrisponda al nome di dominio completo (FQDN) del computer così come appare in Active Directory. In alternativa, se si utilizza il tipo di SAN User Principal Name, il formato deve essere host/$COMPUTERNAME@YOURDOMAIN.COM. La condizione del criterio di rete NPS deve essere configurata in modo da corrispondere all'attributo "Client Certificate SAN". Assicurati che i MacBook siano associati ad Active Directory, o che i nomi dei computer in Jamf corrispondano agli oggetti computer in AD, altrimenti la ricerca NPS fallirà anche se il certificato è valido.
Continua a leggere questa serie
Alternative a IronWiFi per distribuzioni Enterprise
Sarai in grado di selezionare un'alternativa a IronWiFi in base alle attività che la tua rete deve svolgere: autenticazione, identità, consenso, copertura hardware e costi triennali. Saprai quando Purple, Cloud4Wi, Spotipo o Cloudi-Fi si adattano meglio, quando IronWiFi è ancora la scelta vincente e come eseguire un progetto pilota in una singola sede per verificare le promesse di ciascun fornitore.
Sophos Firewall e guest WiFi: configurazione del Captive Portal con Purple
Come il cloud guest WiFi di Purple funziona con Sophos Firewall e i suoi access point attraverso un Captive Portal esterno standard e RADIUS, e dove verificare il supporto e trovare i passaggi.
Aruba Central e Purple WiFi: integrazione gestita in cloud
Una guida di riferimento tecnico completa per integrare Aruba Central con la piattaforma cloud di guest WiFi intelligence di Purple. Questa guida copre l'architettura, la configurazione dettagliata di Captive Portal esterni e RADIUS, e le strategie di implementazione multi-sito per i team IT aziendali.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.