2012 R2 - Настройка RADIUS сервера

2012 R2 - Настройка RADIUS сервера

r1sh

Пользователь

Сообщения: 124
Благодарности: 5

Добрый день!

Комрады нужен совет по настройке RADIUS сервера для авторизации беспроводных пользователей через Unifi Controller.

Всего два сервера:

SRV001: DC, CA, NPS
SRV006: Unifi Controller

Что я сделал:

1. Развернул CA на контроллере домена. На этом же контроллере домена развернул сервер NPS.

2. Добавил в персональные сертификаты сертификат компьютера

3. Создал RAIDUS клиента на сервере NPS:

https://yadi.sk/i/MY1ydnlA3RsPRm

4. Создал сетевую политику доступа:

а. Указал группу AD с пользователями, которым разрешен доступ и добавил туда тестового пользователя

https://yadi.sk/i/quHzHgGH3RsPVT

б. В методах авторизации указал PEAP, выбрал сертификат компьютера:

https://yadi.sk/i/AonDqHJV3RsPhT

5. На контроллере домена создал политику по хранению паролей пользователей обратным шифрованием и сделал gpupdate /force на контроллере домена и на сервере с Unifi контроллером.

https://yadi.sk/i/3AYy03sx3RsPoa

6. На отдельном сервере, в этом же домене, установки так же сертификат компьютера в персональные сертификаты и запустил утилиту NTRADPing Test Utility для проверки Radius Сервера.

При попытке подключиться в логах NPS сервера ошибка Reason-Code 19, в технете написано что это из-за того, что в учетной записи не стоит обратное шифрование паролей, но даже через Posh видно что у учётной записи, с которой я подключаюсь включен этот аттрибут:

https://yadi.sk/i/UwxRHcgR3RsQQ2

Подскажите, в чем может быть проблема?

Отправлено: 10:31, 29-01-2018

Ыть

Ветеран

Сообщения: 697
Благодарности: 32

Профиль | Отправить PM | Цитировать

Цитата r1sh:

б. В методах авторизации указал PEAP, выбрал сертификат компьютера: »

имя сертификата должно быть SRV001.DOMAIN.LOCAL

Цитата r1sh:

5. На контроллере домена создал политику по хранению паролей пользователей обратным шифрованием и сделал gpupdate /force на контроллере домена и на сервере с Unifi контроллером. »

Зачем?

Вы подключаетесь только по наличию сертификата или ещё логина и пароля?
если второе, то у нас работает так: