Autenticación de red basada en certificados

Recomendamos usar nuestro RADIUS-como-servicio como Controlador de Acceso a la Red (NAC) para implementar la autenticación por certificados en WiFi, LAN o VPN, ya que permite una configuración con un solo clic. En general, los certificados de SCEPman funcionan con todos los NAC que soportan la autenticación basada en certificados 802.1x estándar.

Este artículo describe características notables de algunos de los NAC más comunes.

RADIUS-como-servicio

Por favor, consulte la documentación de RADIUS-como-servicio para ver cómo usar los certificados de SCEPman en RADIUS-como-servicio.

Cisco ISE

Esto ya no es necesario para Cisco

• ISE Release 3.3 Patch 5 o posterior,

• ISE Release 3.4 Patch 2 o posterior

Cisco ISE comúnmente no soporta HTTP 1.1 sino solo HTTP 1.0 para solicitudes OCSP. Esto requiere un Proxy de Aplicación adicional delante de SCEPman. Consulte nuestro artículo de resolución de problemas para ISE para más detalles.

Algunas versiones de Cisco ISE 3.x requieren una extensión de Uso Extendido de Clave que contenga el Uso Extendido de Clave de Responder OCSP para aceptar respuestas OCSP, incluso si provienen de una CA donde no es obligatorio según la RFC. Las versiones de SCEPman hasta la 1.7 no añadían por defecto un Uso Extendido de Clave al certificado de la CA. La versión 1.8 permite agregar esta extensión mediante una configuración. En SCEPman 1.9, el valor predeterminado de la configuración ya añade el Uso Extendido de Clave. Si ya tiene un certificado de CA sin una extensión de Uso Extendido de Clave y tiene problemas con Cisco ISE 3.x, es posible que necesite crear un nuevo certificado Root CA de SCEPman con la extensión de Uso Extendido de Clave.

Aruba ClearPass

Esto es ya no es necesario para ClearPass 6.9.6 o posterior.

De manera análoga a Cisco ISE, Aruba ClearPass usa HTTP 1.0 para solicitudes OCSP y por lo tanto requiere pasos de configuración adicionales que añadan un Proxy de Aplicación para funcionar con SCEPman.

Microsoft Network Policy Server (NPS)

NPS asigna certificados a entidades de dispositivo o usuario en AD (no AAD). Como no existe una sincronización de dispositivos por defecto entre AAD y AD, normalmente no es posible usar NPS con certificados de dispositivo distribuidos vía Intune con SCEPman u otra PKI. Los certificados de usuario pueden funcionar para usuarios sincronizados entre AAD y AD. Los certificados deben contener los UPN de los usuarios, que NPS utiliza para mapear a objetos de usuario de AD con el mismo UPN.

Otros

En general, debe añadir el certificado Root CA de SCEPman como una CA confiable en el NAC.

Posiblemente, tenga que añadir manualmente la URL OCSP de SCEPman. Puede encontrar la URL OCSP en la extensión Authority Information Access (AIA) de cualquier certificado de cliente.