Isso funcionou para mim.
No AP541N:
Defina as configurações do Global Radius:
- IP do servidor Radius
- Raio secreto
Defina o SSID para conectar, selecionando todos:
- WPA
- WPA2
- Ativar pré-autenticação
- TKIP
- CCMP (AES)
- Usar configurações globais do servidor RADIUS
Pré-configuração do NPS:
A função a instalar é a Política de Rede e os Serviços de Acesso, o serviço é o Servidor de Políticas de Rede.
Uma vez instalado, clique com o botão direito no NPS (local) e selecione Registrar servidor no Active Directory.
(Observe também que eu geralmente tenho que parar e então iniciar o Serviço NPS depois de executar a configuração abaixo na primeira vez; mudanças futuras parecem ter efeito imediatamente).
Defina os clientes RADIUS: Gerenciador de Servidores - > Funções - > Política de Rede e Acesso - > NPS (local) - > Clientes Radius - > Clientes Radius
Crie um novo cliente:
- Verifique se está ativado
- Nome curto e amigável
- endereço IP ou nome DNS
- Segredo compartilhado manual
- Repita esta configuração para cada AP no cluster.
Defina a política de solicitação de conexão:
Em Política de solicitação de conexão, crie uma nova política. Na guia "Visão geral":
- verifique se está ativado
- o tipo de servidor de acesso à rede não é especificado
Na guia Condições:
- Nome amigável para o cliente, definido como algo que corresponda aos Nomes amigáveis do cliente definidos acima; Por exemplo, eu tenho cap-1, cap-2 e cap-3, então meu nome amigável para o cliente na política de conexão é cap - *
Na guia Configurações, métodos de autenticação:
- selecione Substituir configurações de autenticação da política de rede
- Adicionar tipos de EAP EAP-MSCHAP-v2 e PEAP
- selecione MS-CHAP-v2
- selecione MS-CHAP
- deixe todas as outras caixas desmarcadas
Você não deve precisar de outros valores.
Defina a política de rede:
Na guia Visão geral:
- verifique se está ativado
- Conceder acesso
- desmarcar Ignorar propriedades de discagem da conta do usuário
- Tipo de servidor de acesso à rede não especificado
Na guia Condições:
- Grupos do Windows: defina para o grupo de usuários do Windows que concederá acesso
- Nome amigável para o cliente: igual à política de conexão acima
Na guia Restrições:
- deixe tudo como padrão; mas idealmente deve parecer o mesmo que a política de conexão acima
Na guia de configurações:
- remova os Atributos do raio padrão (tipo de enquadramento PPP etc) porque você não precisa deles
Configurar os clientes do domínio:
Propriedades sem fio:
- Conecte-se automaticamente
Guia Segurança:
- WPA2-Enterprise
- AES
- PEAP
- Lembrar minhas credenciais
Configurações do PEAP:
- desmarque Validar certificado do servidor
- Selecione o método de autenticação: EAP-MSCHAP-v2
- Ativar reconexão rápida
Guia Segurança, Configurações avançadas:
- Especifique o modo de autenticação: autenticação do usuário
Configurar clientes Windows não pertencentes ao domínio:
Como acima, exceto:
Configuração EAP-MSCHAP-v2:
- desmarcar automaticamente Usar meu nome de logon e senha do Windows (e domínio, se houver)
Refinamentos adicionais
Eu adicionei uma segunda política de acesso à rede que permite o acesso a computadores que são membros de um grupo específico.
Em seguida, alterei a guia Segurança - > Configurações avançadas - > Especifique o modo de autenticação para a autenticação do computador.
Por fim, um colega de trabalho criou um GPO que envia uma definição de rede SSID predefinida com as configurações acima para todos os computadores membros do domínio.
Agora, todos os laptops de domínio se conectam automaticamente à rede sem fio.
Os computadores que não são membros do domínio ainda podem ingressar, desde que o Modo de Especificação de Autenticação esteja definido como Autenticação do usuário.
A configuração de tablets, telefones e computadores não Windows é deixada como um exercício para o leitor.
(Mais atualizações sobre isso aparecerão na minha página wiki no link )