Renovação do Certificado de Servidor

Esta página descreve o processo de renovação do certificado de servidor do RADIUSaaS.

Um certificado de servidor é essencial para proteger tanto o túnel interno EAP-TLS quanto o túnel externo RadSec TLS no RADIUSaaS. Para evitar falhas de autenticação, certifique-se de renovar seu certificado antes que ele expire.

Seu certificado de servidor pode ser um dos dois tipos a seguir:

1. Customer-CA. Este vem com seu RADIUSaaS e oferece validade longa de 20 anos. Atualmente não há como criar uma nova Customer-CA junto com a existente. Isso significa que a Customer-CA existente que estiver expirando precisará ser excluída antes que uma nova possa ser criada. Criar uma nova Customer-CA também gerará um novo certificado raiz que precisará ser redistribuído aos seus clientes. Por favor, siga isto artigo para implantar sua nova Customer-CA e referenciá-la via a política WiFi do seu MDM.

2. Trazer seu próprio certificado (BYO) usando sua própria PKI, por exemplo Certificado de Servidor emitido pelo SCEPman. Certificados de servidor do SCEPman expiram a cada dois anos, portanto lembre-se de definir um lembrete para evitar tempo de inatividade. Ao usar um certificado BYO, presume-se que o certificado raiz da CA e o FQDN (Subject e SAN) permanecerão inalterados em relação ao certificado que está expirando. Portanto, a redistribuição do certificado não é necessária.

Criando um novo certificado

Customer-CA integrada

Este tipo de certificado é válido por 20 anos e não pode ser renovado antes de sua expiração. No entanto, ele pode ser excluído e um novo criado seguindo isto guia.

Certificado BYO

Se você quiser usar seu próprio certificado, por exemplo: um certificado de servidor emitido pelo SCEPman, então siga isto link para criar um certificado de servidor antes da expiração no SCEPman ou em sua PKI preferida.

Implantando o novo certificado de servidor

Perfis do Intune

Se você estiver renovando a Customer-CA ou uma CA BYO com um root e FQDN diferentes do anterior, então siga os passos abaixo para redistribuir este certificado aos seus clientes, caso contrário, se você estiver usando um certificado BYO sem alteração no certificado raiz da CA e no FQDN (Subject e SAN), você pode pular este passo!

1. Implante o novo certificado de servidor/raiz confiável aos seus clientes conforme descrito aqui criando um novo perfil.

2. Atualize seu existente perfil(is) WiFi ou com fio

   • Se você usou o assistente do Intune para a criação de seus perfis de rede, edite todos os perfis relevantes adicionando um segundo certificado de servidor confiável. Não esqueça de adicionar um segundo nome de servidor em Nomes de servidor de certificado caso o novo certificado tenha um domínio diferente.

   • Se você usou um perfil personalizado para a criação de seus perfis de rede, baixe novamente o XML gerado pelo RADIUSaaS de aqui, e substitua-o em seu perfil existente. Ambas as impressões digitais (thumbprints) dos certificados de servidor são incluídas automaticamente no XML.

3. Aguarde até que todos os seus clientes tenham recebido o(s) perfil(is) atualizado(s).

Exemplo: Perfil WiFi do Windows 10 atualizado com dois certificados RADIUS servidor confiáveis e domínios diferentes.

Infraestrutura WiFi e LAN

Se você está usando RadSec, carregue o novo certificado de servidor em seus pontos de acesso ou no dispositivo switch de rede.

Ativando o novo certificado de servidor

Finalmente, quando você estiver pronto para alternar para o novo certificado, ative-o conforme descrito aqui.