信任自签名CA证书的802.1x PEAP GPO

我正在为我们的无线客户端开发Freeradius支持的802.1Xauthentication基础结构。我在EAP-PEAP上使用了一个相当通用的Freeradiusconfiguration。我们的客户主要是Windows XP SP3机器，但也有一些Windows 7 32和64位笔记本电脑。我们的域位于Windows Server 2003的function级别。 802.1xauthentication与手动configuration的testing客户端一起工作。

我想创build一个GPO，通过以下方式自动configuration客户端：1）将自签名CA证书作为受信任根证书部署，2）将ESSID设置为具有相应802.1xconfiguration的首选networking。

我没有很难部署使用GPO的客户的自签名CA证书。但是，我无法弄清楚如何在GPO中configuration证书作为受信任的根证书。

这是从Computer Configuration - Polices - Security Settings - Wireless Network (IEEE 802.11) Polices下的GPO设置Computer Configuration - Polices - Security Settings - Wireless Network (IEEE 802.11) Polices ：

PEAP属性

受信任的根证书颁发机构下的select中没有我自签名的CA证书。由于“validation服务器证书”设置，在802.1x PEAP设置中尝试validation客户端，而我的自签名证书不被信任。当然，如果我手动configuration客户端来信任我的证书，则可以正确validationradius服务器的证书，然后802.1x工作。

我的目标是能够将一台机器分配到OU，在这个GPO将被应用，并且所有得到的802.1X和CA设置将被做，而不必我必须接触客户端机器。

如何为802.1x PEAP设置生成一个GPO，以便设置客户端信任我的自签名CA证书？

编辑：

由于成本问题，Microsoft NPS或NAP服务器在这一点上对于我的组织来说不是真正的select。描述我们的环境的最佳方式是集中的位置，运行我们的核心服务，并通过速度和可靠性不同的WAN链路连接了二十多个远程站点。我们对这些远程站点实施积极的物理或策略控制方面具有不同的能力和成功，因此它们是我无线和最终有线802.1xauthentication的主要关注点。如果我们丢失广域网链路（这种情况不常发生），我仍然需要远程站点的客户端才能访问networking，因此在这些位置的大部分情况下都需要RADIUS服务器。另一个窗口服务器的请求将被拒绝。

从历史上看，我们所有的Linux服务器和networking设备都与我们的域基础设施保持独立。这意味着像独立的DNS服务，独立的身份validation基础设施等等的分割DNS范围。虽然我认识到它们对于域集成PKI基础设施有一定的优势，但我需要一个很好的例子来说明为什么我应该这样做，或者为什么我不应该使用独立的PKI基础设施。

好。无可否认，我不是微软或GPO专家，但这似乎很奇怪。

这个问题似乎有一半的答案 – 证书需要在受信任的根证书颁发机构中的任何域控制器gpmc连接到。这似乎是有道理的。但是，即使在我们的域控制器上安装证书之后，如果我在工作站上运行gpmc，它仍然不是一个可供select的选项。在云雀，我login到问题的域控制器，直接运行gpmc和证书是可用的。

我试着将证书安装到我的工作站的受信任的根证书颁发机构，与@Greg Askew一样思考。没有骰子。在PEAP设置中仍然不可用。

您显然需要a）将证书安装在受信任的根证书颁发机构中的任何域控制器gpmc正在连接到和b）直接在该域控制器上运行GPMC。

这对我来说没有意义，因为RSAT是RSAT是RSAT，无论您是在域控制器还是工作站上运行gpmc。去图…啤酒去谁可以解释这个！

从我的工作站 – 没有证书：

gpmc工作站

从域控制器 – 证书可用！

gpmc dc

只是一个猜测。我认为运行gpmc的机器需要在机器受信任的根CA文件夹中具有证书，和/或具有将证书部署到域的GPO作为受信任的根CA证书。

您必须拥有无线客户端的“本地计算机”证书信任列表（CTL）上的公钥安装证书，而不是“当前用户”CTL。使用mmc.exe并添加证书pipe理单元并select本地计算机。

在我们的configuration中，我们必须build立一个企业CA，并发现build立一个NPS服务器进行authentication是最简单的。