1. Giriş ve Mimari Genel Bakış

1.1 802.1X Nedir?

IEEE 802.1X, ağ cihazlarına erişim öncesinde kimlik doğrulama zorunluluğu getiren bir port tabanlı erişim kontrol standardıdır. Kablosuz (Wi-Fi) ve kablolu (Ethernet) ağlarda çalışır. Bir istemci ağa bağlanmaya çalıştığında, switch veya Access Point bu isteği doğrudan karşılamaz; kimlik doğrulama trafiğini bir RADIUS sunucusuna (bu senaryoda NPS) yönlendirir. RADIUS sunucusu doğrulamayı yapar ve erişime izin verir ya da reddeder.

1

Supplicant (PC/Laptop)  ──EAPOL──►  Authenticator (Switch/AP)  ──RADIUS UDP 1812──►  Auth Server (NPS)

1.2 EAP-TLS vs PEAP — Neden Sertifika Seçtik?

1.3 Ortam Bilgileri

2. AD CS — Sertifika Altyapısı Kurulumu

2.1 CA Rolü Kurulumu (Enterprise Root CA)

Active Directory Certificate Services (AD CS), PKI altyapısının temelini oluşturur. Enterprise Root CA seçimi, sertifikaların Active Directory ile entegre çalışmasını ve autoenrollment özelliğinin kullanılabilmesini sağlar.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# AD CS rolünü kur
Install-WindowsFeature -Name AD-Certificate -IncludeManagementTools

# Enterprise Root CA olarak yapılandır
Install-AdcsCertificationAuthority `
    -CAType EnterpriseRootCa `
    -CACommonName 'OrtakVY-Root-CA' `
    -KeyLength 2048 `
    -HashAlgorithmName SHA256 `
    -ValidityPeriod Years `
    -ValidityPeriodUnits 10 `
    -Force

2.2 Sertifika Şablonları Oluşturma

802.1X için iki ayrı sertifika şablonu oluşturulur: biri NPS sunucusu, diğeri domain istemcileri için. Mevcut şablonlar kopyalanarak özelleştirilir.

Şablon 1 — NPS Server Sertifikası:

Şablon 2 — İstemci Bilgisayar Sertifikası:

2.3 Şablonların Yayınlanması

1
2
3
4
5

# certutil ile şablon yayınlama
certutil -SetCAtemplates +NPS-Server-Auth
certutil -SetCAtemplates +8021X-Computer-Auth

# Alternatif: CA MMC > Certificate Templates > New > Certificate Template to Issue

3. NPS (Network Policy Server) Yapılandırması

3.1 NPS Rolü Kurulumu

1
2
3
4
5

# NPS rolünü kur
Install-WindowsFeature -Name NPAS -IncludeManagementTools

# NPS'i AD'ye kaydet
netsh nps add registeredserver domain=ortakvy.local server=<NPS-FQDN>

3.2 RADIUS Client Tanımları (Switch / AP)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# PowerShell ile RADIUS Client ekleme
New-NpsRadiusClient `
    -Name 'Core-Switch-01' `
    -Address '192.168.1.1' `
    -SharedSecret 'Guclu_Shared_Secret_2026!' `
    -VendorName 'Cisco'

New-NpsRadiusClient `
    -Name 'AP-Floor1' `
    -Address '192.168.1.10' `
    -SharedSecret 'Guclu_Shared_Secret_2026!' `
    -VendorName 'Standard'

3.3 Connection Request Policy

3.4 Network Policy — EAP-TLS

4. GPO ile Sertifika Otomatik Dağıtımı

GPO Autoenrollment, domain üyesi bilgisayarların sertifika şablonlarından otomatik sertifika talep etmesini sağlar. Kullanıcı müdahalesi gerekmez; sertifikalar arka planda alınır ve yenilenir.

4.1 Computer Sertifikası Autoenrollment GPO

4.2 Trusted Root CA Dağıtımı

1
2
3
4
5
6
7
8

# İstemci üzerinde sertifikaları doğrula
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {
    $_.EnhancedKeyUsageList -like '*Client Authentication*'
} | Select-Object Subject, NotAfter, Thumbprint

# Autoenrollment'ı manuel tetikle (test için)
certutil -pulse
gpupdate /force

5. Kablosuz Ağ (Wireless) 802.1X Yapılandırması

5.1 GPO ile Wireless Profile Dağıtımı

GPO Yolu: Computer Configuration > Windows Settings > Security Settings > Wireless Network (IEEE 802.11) Policies

5.2 Access Point Tarafı Yapılandırması

6. Kablolu Ağ (Wired) 802.1X Yapılandırması

6.1 GPO ile Wired Autoconfig Servisi

Servis GPO Yolu: Computer Configuration > Windows Settings > Security Settings > System Services

• Servis: Wired AutoConfig (dot3svc) — Startup: Automatic

Wired Policy GPO Yolu: Computer Configuration > Windows Settings > Security Settings > Wired Network (IEEE 802.3) Policies

6.2 Switch Port Yapılandırması (Cisco)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

! Global RADIUS yapılandırması
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

radius server NPS-Primary
 address ipv4 <NPS-IP> auth-port 1812 acct-port 1813
 key Guclu_Shared_Secret_2026!

! 802.1X global aktivasyon
dot1x system-auth-control

! Access port yapılandırması
interface GigabitEthernet1/0/1
 description Workstation-Port
 switchport mode access
 switchport access vlan 10
 authentication port-control auto
 dot1x pae authenticator
 spanning-tree portfast

 ! Opsiyonel: Auth-Fail VLAN
 authentication event fail action authorize vlan 999
 authentication event no-response action authorize vlan 999

7. Test ve Doğrulama

7.1 NPS Event Log Kontrolü

1
2
3
4

# Son 50 NPS event (6272 = Başarılı, 6273 = Reddedildi)
Get-WinEvent -LogName 'Security' -MaxEvents 50 | Where-Object {
    $_.Id -in @(6272, 6273)
} | Select-Object TimeCreated, Id, Message | Format-List

7.2 Sık Karşılaşılan Hatalar ve Çözümleri

8. Best Practice Kontrol Listesi

AD CS

• ☑ Enterprise Root CA — SHA256, 2048-bit minimum
• ☑ Sertifika şablonlarında minimum gerekli izinler (Domain Computers: Enroll + Autoenroll)
• ☑ Şablon geçerlilik süresi makul (bilgisayar 2 yıl, kullanıcı 1 yıl)
• ☑ Private key export izni kapalı

NPS

• ☑ NPS’i AD’ye kaydet (netsh nps add registeredserver)
• ☑ Her RADIUS client için güçlü ve benzersiz shared secret
• ☑ Sadece EAP-TLS kabul et, zayıf metodları devre dışı bırak
• ☑ NPS sertifikasının FQDN’i ile uyumlu SAN içermesini sağla

GPO

• ☑ Autoenrollment her iki kutucuğu da işaretli olmalı
• ☑ Wireless/Wired policy’de ‘Validate server certificate’ açık
• ☑ Trusted Root CA GPO ile dağıtılmış
• ☑ Wired AutoConfig servisi otomatik başlatma

Network

• ☑ Switch/AP’lerde auth-fail VLAN tanımlı (misafir/bilinmeyen cihaz izolasyonu)
• ☑ NPS sunucusuna erişim için güvenlik duvarı: UDP 1812, 1813
• ☑ Printerlar, IP phoneler için MAB (MAC Auth Bypass) ek önlem olarak yapılandır
• ☑ NPS log’larını düzenli izle (SIEM entegrasyonu önerilir)

Bu doküman, VMind Bilgi ve Teknolojileri A.Ş. bünyesinde gerçekleştirilen ortakvy.local ortamı 802.1X deployment deneyimine dayanarak hazırlanmıştır.