پرش به محتوا
ساهورارتباطات، امنیت، شبکه

NPS: احراز هویت RADIUS برای Wi-Fi سازمانی و VPN با حساب‌های دامین

نقش Network Policy Server را نصب و در AD ثبت کنید، اکسس‌پوینت‌ها یا فایروال را به‌عنوان کلاینت RADIUS تعریف کنید و با سیاست شبکه فقط یک گروه دامین را مجاز کنید.

Windows Server 2025سطح: پیشرفتهبرای: Windows Server 2025، Windows Server 2022، Windows Server 2019به‌روزرسانی: ۱۷ آبان ۱۴۰۵

با NPS، کاربران با همان نام کاربری و رمز دامین به Wi-Fi سازمان (WPA2/WPA3-Enterprise) یا VPN فایروال وصل می‌شوند. وقتی کسی از سازمان برود، با غیرفعال کردن حسابش دسترسی شبکه‌اش هم قطع می‌شود.

۱. نصب و ثبت در AD

powershell
Install-WindowsFeature NPAS -IncludeManagementTools
netsh nps add registeredserver

ثبت در AD (عضویت در گروه RAS and IAS Servers) اجازه می‌دهد NPS ویژگی‌های dial-in کاربران را بخواند.

۲. گواهی سرور

برای PEAP، NPS باید گواهی معتبری داشته باشد که کلاینت‌ها به آن اعتماد کنند. از CA سازمانی (آموزش ADCS) گواهی با قالب RAS and IAS Server بگیرید. اگر این قالب روی CA منتشر نشده، اول روی CA دستور Add-CATemplate -Name RASAndIASServer را بزنید:

powershell
Get-Certificate -Template RASAndIASServer -CertStoreLocation Cert:\LocalMachine\My

۳. کلاینت‌های RADIUS

هر دستگاهی که درخواست احراز هویت می‌فرستد (کنترلر Wi-Fi، اکسس‌پوینت یا فایروال) یک کلاینت RADIUS است:

powershell
New-NpsRadiusClient -Name 'wifi-controller' -Address 192.168.10.60 -SharedSecret (Read-Host 'Secret')
New-NpsRadiusClient -Name 'fw01-vpn' -Address 192.168.10.1 -SharedSecret (Read-Host 'Secret')
Get-NpsRadiusClient

برای هر دستگاه secret جداگانه و طولانی (حداقل ۲۲ کاراکتر) بسازید و همان را در دستگاه وارد کنید (پورت‌های 1812 و 1813 UDP).

۴. سیاست شبکه (Network Policy)

برای سیاست‌ها cmdlet کامل وجود ندارد و از کنسول nps.msc ساخته می‌شوند:

  1. Policies › Network Policies › New، نام: Wi-Fi Staff.
  2. Conditions: گزینه‌ی Windows Groups = CORP\WiFi-Staff. گزینه‌ی NAS Port Type را برای Wi-Fi روی Wireless - IEEE 802.11 بگذارید.
  3. Access Permission: Access granted.
  4. Authentication Methods: گزینه‌ی Microsoft: Protected EAP (PEAP) را اضافه کنید، در Edit گواهی مرحله‌ی ۲ را انتخاب کنید و روش داخلی را EAP-MSCHAP v2 بگذارید. تیک همه‌ی روش‌های قدیمی و ناامن (PAP، CHAP، MS-CHAP) را بردارید.
  5. سیاست را بالاتر از سیاست‌های پیش‌فرض قرار دهید.

برای VPN هم یک سیاست جداگانه با گروه CORP\VPN-Users بسازید.

۵. فایروال و آزمایش

powershell
Get-NetFirewallRule -DisplayGroup 'Network Policy Server' | Where-Object Enabled -eq True | Select-Object DisplayName

قانون‌های فایروال هنگام نصب ساخته می‌شوند. از یک دستگاه وصل شوید و نتیجه را در لاگ ببینید:

powershell
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 6272, 6273 } -MaxEvents 10 |
  Format-List TimeCreated, Id, Message

رخداد 6272 یعنی اجازه داده شد و 6273 یعنی رد شد. متن رخداد ۶۲۷۳ دلیل رد شدن را می‌گوید (Reason Code).

۶. پشتیبان و سرور دوم

powershell
Export-NpsConfiguration -Path C:\Backup\nps-config.xml
# on the second NPS server:
Import-NpsConfiguration -Path \\nps01\c$\Backup\nps-config.xml

دستگاه‌ها را با دو سرور RADIUS تنظیم کنید تا قطع یکی، Wi-Fi کل سازمان را قطع نکند. shared secretها هم در فایل خروجی هستند، پس آن را امن نگه دارید.