グループポリシーを使った有線802.1xの展開

2011-07-29

Windows | 17:58

有線802.1xの案件があったので、メモ。

#検証してないが、Vistaでも問題ないと思われる。

AD環境は、Windows Server 2008 EnterpriseでRADIUS サーバとして、NPSを利用した。

認証はEAP-TLSを利用する、証明書もWindows 証明書サービスを利用した。

今回の要件は以下の通り。

ようは、グループポリシを使うことでユーザが意識せずとも

802.1x環境に参加するというのがゴール。

証明書サービスのインストール
証明書テンプレートを作って、コンピュータ証明書の自動登録環境の準備
証明書発行用のグループポリシーを作る
↑のグループポリシを展開して、証明書の自動発行を実施
NPSの設定
- RADIUS クライアントの登録
- EAP-TLSを受け付けるようにポリシーを作成
802.1x用のグループポリシを作る
- コンピュータの構成>ポリシー>Windowsの設定>セキュリティの設定>ワイヤードネットワークポリシーで構成
- 有線802.1x用のサービス(dot3svc)を自動起動するように構成(Wired AutoConfig)
↑のグループポリシーを展開する
Switch側を802.1x認証モードにする

以上の流れとなる。

ここでは、前半の4つは割愛する。

有線802.1xにおけるポリシーだが、ポイントは

Windows クライアントの場合、既定でコンピュータが起動した時点と、ログオンした時点の2回認証動作する。

今回はコンピュータ認証のみでよいので、このようにした。

このコンピュータ認証のみにする設定。

調べていたら http://support.microsoft.com/kb/929847 ここに行き当たって、

Windows XP SP3で有線802.1xを行う場合は、別途スクリプトでやらないとダメ！ってなってまして

面倒だなと思ってたんですが、

ダメ元でXPに↑のグループポリシを当てたらあっさりコンピュータ認証のみになっちゃいました。

MSに確認したところ、kbのページの情報が古いようだ^^;

WindowsXP端末にKB943729がインストールされていればOK

これは、Windows Vista以降のグループポリシで、

サービスの設定変更などがスクリプトを書かずにグループポリシー上でできるようにサポートされたのだが

これをWindows XPでも利用できるようにするための修正モジュールとなる。

以上で、Windows XPでもグループポリシーを使って有線802.1xが利用できる。

トラックバック - http://d.hatena.ne.jp/basty0722/20110729/1311929926

リンク元