Wi-Fi 802.1X EAP-TLS avec Intune : concevoir une configuration fiable

Position recommandée

Je déploie d’abord les autorités de confiance, puis le certificat client, et enfin le profil Wi-Fi. Cette séquence évite qu’un poste tente de rejoindre le réseau sans pouvoir valider le serveur ou présenter son identité.

Le choix utilisateur ou appareil doit être cohérent de bout en bout: affectation Intune, magasin de certificat, sujet/SAN, règle NPS, moment de connexion et besoin d’accès avant ouverture de session.

Je configure explicitement la validation du certificat serveur et les noms attendus. Désactiver cette validation expose l’utilisateur à un point d’accès ou un serveur RADIUS usurpé.

Je déploie d’abord les autorités de confiance, puis le certificat client, et enfin le profil Wi-Fi. Cette séquence évite qu’un poste tente de rejoindre le réseau sans pouvoir valider le serveur ou présenter son identité.

Besoin, cas d’usage et périmètre de la recommandation

Le profil Enterprise Wi-Fi décrit SSID, nom de connexion, connexion automatique, méthode EAP et paramètres de confiance. EAP-TLS réalise une authentification mutuelle: le poste valide le serveur et le serveur valide le certificat client.

Le profil Trusted certificate utilisé pour reconnaître l’autorité du certificat serveur RADIUS peut différer de la chaîne qui signe les certificats clients. Je déploie chaque chaîne nécessaire et j’évite de placer un intermédiaire dans le magasin Trusted Root.

Un profil SCEP ou PKCS fournit l’identité cliente. Le certificat doit contenir Client Authentication, le sujet ou SAN attendu par NPS, une chaîne valide, une clé privée et un magasin correspondant au contexte d’authentification.

Critères de décision et options possibles

Pour Wi-Fi 802.1X EAP-TLS avec Intune, je commence par trois résultats concrets: Cartographier chaînes et identités, Configurer NPS et son certificat et Déployer les racines. Ils doivent être observables avant de comparer les méthodes disponibles.

L’architecture cible suit Trust → Identity → 802.1X → RADIUS. Chaque composant a un propriétaire clair, un état vérifiable et une méthode de retour arrière; cette répartition évite qu’une seconde politique masque le résultat de la première.

Le pilote contrôle notamment Cartographier chaînes et identités, Configurer NPS et son certificat et Déployer les racines. La généralisation ne commence qu’après une période stable et après vérification des exceptions propres aux populations visées.

La recommandation devient mesurable lorsqu’elle relie le besoin à une cible vérifiable. Les résultats attendus sont Cartographier chaînes et identités, Configurer NPS et son certificat et Déployer les racines. Les responsabilités se répartissent ainsi: Trust: Racines client et serveur installées. Identity: Certificat et clé privée disponibles. 802.1X: Supplicant négocie EAP-TLS. RADIUS: NPS valide chaîne et autorise. Cette répartition permet d’attribuer chaque écart au bon propriétaire et d’éviter qu’un second profil, une ancienne autorité ou une exception silencieuse ne produise un résultat apparemment correct mais impossible à exploiter dans la durée.

Les écarts « Connexion boucle », « Serveur non validé », « NPS refuse » et « Fonctionne après login seulement » servent de tests de décision. Pour chacun, la preuve indiquée dans la matrice doit permettre de choisir entre correction, exception temporaire et retour arrière. Le pilote surveille également les points suivants: ne jamais désactiver la validation serveur pour résoudre vite, ne pas supprimer le dernier chemin réseau, tester le renouvellement et corréler heure WLAN et NPS. La valeur cible, le mode de distribution, les contrôles et la sortie de secours sont ainsi évalués ensemble.

Architecture cible et répartition des responsabilités

Le profil Enterprise Wi-Fi décrit SSID, nom de connexion, connexion automatique, méthode EAP et paramètres de confiance. EAP-TLS réalise une authentification mutuelle: le poste valide le serveur et le serveur valide le certificat client.

Le profil Trusted certificate utilisé pour reconnaître l’autorité du certificat serveur RADIUS peut différer de la chaîne qui signe les certificats clients. Je déploie chaque chaîne nécessaire et j’évite de placer un intermédiaire dans le magasin Trusted Root.

Un profil SCEP ou PKCS fournit l’identité cliente. Le certificat doit contenir Client Authentication, le sujet ou SAN attendu par NPS, une chaîne valide, une clé privée et un magasin correspondant au contexte d’authentification.

Prérequis, gouvernance et préparation

La préparation de Wi-Fi 802.1X EAP-TLS avec Intune couvre SSID Enterprise et infrastructure 802.1X, NPS/RADIUS avec certificat serveur valide, PKI et révocation accessibles, profil de confiance Intune, profil SCEP ou PKCS testé. Le propriétaire de chaque composant et la population pilote sont définis avant la création de la configuration.

L’état initial est mesuré avec Cartographier chaînes et identités. Configurer NPS et son certificat. Déployer les racines. Déployer le certificat client. Il servira de point de comparaison pendant le pilote et lors d’un éventuel retour arrière.

• SSID Enterprise et infrastructure 802.1X
• NPS/RADIUS avec certificat serveur valide
• PKI et révocation accessibles
• profil de confiance Intune
• profil SCEP ou PKCS testé
• mapping identité défini
• réseau de secours pour le pilote

Fonctionnement détaillé de Wi-Fi 802.1X EAP-TLS avec Intune

Le profil Enterprise Wi-Fi décrit SSID, nom de connexion, connexion automatique, méthode EAP et paramètres de confiance. EAP-TLS réalise une authentification mutuelle: le poste valide le serveur et le serveur valide le certificat client.

Le profil Trusted certificate utilisé pour reconnaître l’autorité du certificat serveur RADIUS peut différer de la chaîne qui signe les certificats clients. Je déploie chaque chaîne nécessaire et j’évite de placer un intermédiaire dans le magasin Trusted Root.

Un profil SCEP ou PKCS fournit l’identité cliente. Le certificat doit contenir Client Authentication, le sujet ou SAN attendu par NPS, une chaîne valide, une clé privée et un magasin correspondant au contexte d’authentification.

• SSID Enterprise et infrastructure 802.1X
• NPS/RADIUS avec certificat serveur valide
• PKI et révocation accessibles
• profil de confiance Intune

Traitement, exploitation et cas limites de Wi-Fi 802.1X EAP-TLS avec Intune

L’authentification appareil permet la connectivité avant ouverture de session pour joindre AD, traiter certaines stratégies ou démarrer un VPN. L’authentification utilisateur porte l’identité personnelle mais n’est disponible qu’après chargement du profil; le choix dépend du besoin réel.

NPS ou le RADIUS tiers valide chaîne, date, révocation, EKU et mapping, puis applique sa Network Policy. Les journaux NPS disent pourquoi l’accès est refusé; le profil Intune n’a pas cette visibilité.

Je limite les noms de serveurs RADIUS attendus et sélectionne l’autorité racine appropriée dans le profil. La validation doit échouer si le certificat serveur ne correspond pas, même si le SSID paraît légitime.

• Affecter le profil Wi-Fi
• Tester plusieurs sites et contextes
• Retirer l’ancien profil par anneaux

Lire les états propres à Wi-Fi 802.1X EAP-TLS avec Intune

Le déploiement utilise un groupe pilote disposant d’un chemin réseau de secours. Je vérifie les dépendances et la convergence avant de rendre le nouveau profil prioritaire ou de retirer l’ancien SSID.

Le roaming, les réseaux multi-sites et les solutions NAC doivent être testés avec plusieurs points d’accès, plusieurs NPS et les délais de CRL. Un test près d’un seul AP ne représente pas l’exploitation.

Je mesure succès d’authentification, temps d’association, renouvellement du certificat, incidents de mot de passe sans effet attendu et comportement hors ligne. Le rollback conserve un réseau d’administration séparé.

• Connexion boucle — WLAN-AutoConfig et magasin
• Serveur non validé — Événement EAP
• NPS refuse — Event 6273 et Reason Code
• Fonctionne après login seulement — Magasin et authMode

Pilote et suivi opérationnel de Wi-Fi 802.1X EAP-TLS avec Intune

Le pilote couvre le périmètre Intune, Wi-Fi, 802.1X, EAP-TLS et contrôle Cartographier chaînes et identités. Configurer NPS et son certificat. Déployer les racines. Les résultats sont segmentés selon les populations réellement concernées par Wi-Fi 802.1X EAP-TLS avec Intune.

Les cas d’échec « Connexion boucle », « Serveur non validé », « NPS refuse » sont reproduits lorsque c’est possible. Ils vérifient que l’écart reste visible et que la procédure indique une preuve exploitable.

Le suivi après déploiement conserve ne jamais désactiver la validation serveur pour résoudre vite, ne pas supprimer le dernier chemin réseau, tester le renouvellement, corréler heure WLAN et NPS. Une évolution de version, de licence ou de dépendance déclenche une nouvelle lecture de ces points.

Configuration recommandée et déploiement par étapes

La méthode retenue pour Wi-Fi 802.1X EAP-TLS avec Intune se déploie par les étapes « Mesurer l’état de départ », « Configurer la population pilote », « Observer les indicateurs », « Décider la généralisation ». Chaque passage produit un résultat vérifiable avant l’ouverture du suivant.

Paramètres, commandes et automatisation

Les commandes et valeurs de cette section servent à vérifier Cartographier chaînes et identités. Configurer NPS et son certificat. Déployer les racines. Déployer le certificat client. Chaque exemple précise l’état attendu et les éléments à comparer dans le service.

Le contexte d’exécution, les permissions et les effets sur Trust, Identity, 802.1X, RADIUS doivent rester explicites lorsque la configuration est automatisée.

# Collecte de diagnostic
$ErrorActionPreference = 'Stop'
try {
  netsh.exe wlan show interfaces
  netsh.exe wlan show profiles
  Get-ChildItem Cert:\LocalMachine\My,Cert:\CurrentUser\My |
    Where-Object EnhancedKeyUsageList -match 'Client Authentication' |
    Select-Object Subject,Issuer,Thumbprint,NotAfter,HasPrivateKey
} catch { Write-Error "Collecte Wi-Fi impossible : $($_.Exception.Message)"; exit 1 }

Validation, indicateurs et critères GO / NO-GO

La décision repose sur Cartographier chaînes et identités, Configurer NPS et son certificat, Déployer les racines et Déployer le certificat client. Ces indicateurs couvrent le résultat technique, l’état du service et l’effet réel sur la population pilote.

• Cartographier chaînes et identités.
• Configurer NPS et son certificat.
• Déployer les racines.
• Déployer le certificat client.
• Affecter le profil Wi-Fi
• Tester plusieurs sites et contextes
• Retirer l’ancien profil par anneaux

Exploitation, journaux et contrôle continu

La chronologie de Wi-Fi 802.1X EAP-TLS avec Intune relie Trust, Identity, 802.1X, RADIUS. Les heures et identifiants communs permettent de savoir si les états appartiennent à la même tentative.

La collecte commence par Cartographier chaînes et identités. Configurer NPS et son certificat. Déployer les racines. Déployer le certificat client. Ces contrôles conservent l’état qui explique le symptôme avant une nouvelle évaluation.

Les résultats sont lus avec les causes « Certificat client indisponible », « Nom ou racine incorrect », « Policy, mapping ou révocation » en tête, sans déduire une correction d’un code ou d’un statut isolé.

• Cartographier chaînes et identités.
• Configurer NPS et son certificat.
• Déployer les racines.
• Déployer le certificat client.
• Affecter le profil Wi-Fi
• Tester plusieurs sites et contextes
• Retirer l’ancien profil par anneaux

Exceptions, erreurs connues et traitement

Les exceptions à prévoir pour Wi-Fi 802.1X EAP-TLS avec Intune apparaissent notamment sous la forme Connexion boucle, Serveur non validé, NPS refuse, Fonctionne après login seulement. La preuve associée indique s’il faut corriger la configuration ou conserver une exception documentée.

Coût de maintien des exceptions

Une exception à Wi-Fi 802.1X EAP-TLS avec Intune crée une charge récurrente: elle doit être identifiée, surveillée et réévaluée jusqu’à sa suppression. Sans propriétaire ni date de revue, cette charge finit par devenir une configuration parallèle difficile à tester.

Rollback, gestion du changement et points de vigilance

Le rollback de Wi-Fi 802.1X EAP-TLS avec Intune restaure explicitement l’affectation, la valeur ou l’autorité précédente. Les actions et points de vigilance ci-dessous précisent ce qui doit être contrôlé après ce retour.