Corporate wifi configureren op laptops.

[theduke1989]

Hallo tweakers,

misschien een domme vraag aan jullie.

Ik wil bij ons een oplossing doorvoeren wat ik bij andere bedrijven gezien heb.

Namelijk wanneer je niet meer verbonden bent met de docking station dat je automatisch over gaat op de wifi (corporate wifi)

Dit wil ik doen omdat we hier in kantoor nu meer en meer terug komen en weer naar meetings gaan dus we onze laptop overal meenemen.

Voorhanden is een domain controller waar het om geconfigureerd moet worden.

Nu weet ik niet wat ik moet intypen in Google om een goede handleiding te vinden.

Vandaar dat ik het jullie vraag, genoeg tweakers die super lange ervaring hebben.

Welke stappen moet ik eerst doen? En welke daarna?

Of als iemand een goede link heeft kan dan misschien ook volgen als er niemand kan help n.

[i-chat]

ik snap even niet zo heel goed wat nu exact je bedoeling is, maar als ik mijn laptop uit dock trek en dus lan1 verbreek, dan verbindt mijn laptop automagisch met wifi en bij weer inschakelen bedraadnetwerk verbreekt hij wifi.. verder is het dan dus zaak om in je wifi configuratie te zorgen dat het corp- wifi netwerp prefered is boven eventueel andere aanwezige netwerken. ik dacht eigenlijk altijd dat dit windows default instellingen waren maar mogelijk heb ik het mis???

het wordt allemaal pas lastig wanneer je devices meerdere vaste (of virtuele; zoals en vpn) netwerk adapters hebben dan kun je nog wel in de knoei raken en zou ik aanraden om op zoek te gaan naar scripting hooks.

[theduke1989]

Hij meldt bij ons niet automatisch aan.

We willen dit dus zo toepassen dat wanneer je de kabel eruit trekt hij op de corporate wifi netwerk gaat.

Sowieso wanneer we bijvoorbeeld een laptop nieuw installeren is dat handig. Dat ze met hun eigen sso op de wifi kunnen inloggen

[holygame]

Begin met een radius server opzetten.

[Qwerty-273]

Het zal een beetje afhangen van de hardware die je gebruikt op kantoor en hoe je dat in de details beheerd. Als inspiratie voor de verschillende mogelijkheden:
https://woshub.com/disabl...ethernet-cable-connected/

[UTPBlokje]

NPS radius. En gpo's zijn key.

Ssid moet als security wpa 2/3 enterprise draaien (802.1x)

Via nps kan je security groups inrichten. Dit kunnen users of managed devices zijn.

Via gpo kan je de gewenste ssid meegeven.

[theduke1989]

holygame schreef op vrijdag 21 april 2023 @ 22:48:
Begin met een radius server opzetten.

Denk inderdaad dat het dit is. De administrator zei ook dat ze certificaten toepassen voor dit.

Heb even zitten kijken en hiervoor in radius heb je ook certificaten nodig.

We hebben twee DCs dus dat moet goed komen. Wil dan op de tweede dc dus de radius server opzetten. Dit zou mogelijk moeten zijn?

[theduke1989]

UTPBlokje schreef op vrijdag 21 april 2023 @ 23:35:
NPS radius. En gpo's zijn key.

Ssid moet als security wpa 2/3 enterprise draaien (802.1x)

Via nps kan je security groups inrichten. Dit kunnen users of managed devices zijn.

Via gpo kan je de gewenste ssid meegeven.

Bedankt ga aan de hand van deze informatie en op google dan verder.

[Question Mark]

Wat wil je nu exact configureren of uitvoeren? Wat is het probleem wat je wilt oplossen?

• De laptops hebben hebben het company wifi al geconfigureerd, maar verbinden niet automatisch bij verbreken van de lan verbinding.
• De laptops hebben nog geen company wifi geconfigureerd, en je wilt dit centraal en geautomatiseerd voor de gebruikers gaan inrichten

Dat tweede is vrij eenvoudig te realiseren:
Configuring Wireless settings via Group Policy

Radius is overigens niet verplicht. Als je huidige company wifi authenticeerd op basis van een pre-shared key, dan heb je geen certificaat nodig. Radius en certificaten komen pas in beeld als je authenticatie op basis van 802.1x wil gaan doen.

[theduke1989]

Ik wil namelijk dat alle medewerkers van ons aan de hand van signed-on dus wifi krijgen.
En bijvoorbeeld als we een nieuwe laptop uitleveren, alles pre-configured via Matrix42(Empirum) dat wanneer ze inloggen via een gebruikersnaam en wachtwoord dus de corporate wifi krijgen en zo dus direct de juiste verbinding hebben.

nu wordt alles handmatig gedaan.


PS: als het makkelijk kan misschien zonder SSO.

[ Voor 6% gewijzigd door theduke1989 op 24-04-2023 15:17 ]

[akimosan]

Je mist waarschijnlijk de technische kennis en ervaring om zoiets op te zetten. Natuurlijk valt alles te leren.

Zoals @Question Mark en @holygame al aangeven zijn enkele keywords : radius en wireless settings. En van daaruit kun je rabbit-hole induiken want er zijn veel opties en zaken die moeten worden afgewogen.

Dat de PC's beheerd worden met Matrix42 is minder relevant, behalve dat je daarmee ongetwijfeld opties hebt om de instellingen die op clients nodig zijn kunt uitrollen aangezien Matrix42 "unified endpoint management" biedt.

Maar de backend van wat je nodig hebt zit mogelijk niet in Matrix42. Hoe de corporate WIFI er binnen jullie bedrijf uitziet, welke (hardware)componenten er zijn, wat daarin ondersteund wordt, moet duidelijker worden.

Op het moment dat je single signon met authenticatie wilt doen (dus op niveau van: deze gebruiker mag wel op de corporate wifi, zo lang zijn account actief is, maar die persoon van buiten de organisatie mag het niet, etc) of op device niveau (zonder dat je het wifi wachtwoord (shared secret) overal op elk device gooit waarbij gebruikers met verhoogde gebruikersrechten deze wachtwoorden gewoon kunnen uitlezen); je authenticatie server moet die verzoeken krijgen.
Er is al niet duidelijk of er gebruik gemaakt wordt van on-premise Active Directory of dat er al gewerkt wordt met AzureAD only joined devices en dat bepaalt voor authenticatie een groot deel welke richting je op kunt gaan.

Iemand beheert de infrastructuur binnen je organisatie, daar zou de kennis moeten zitten om dit soort dingen aan te vliegen. In zoverre het beheer over de infrastructuur uitbesteed is, dient contact opgenomen te worden met de service provider bij wie het is uitbesteed.

[theduke1989]

Helaas kunnen we geen Radius server op zetten. Omdat het netwerk niet beheerd wordt lokaal, maar door Group. Waardoor het niet mogelijk is om een certificaat te krijgen.

Ik zit dus te kijken om de PSK te sharen. Nu heb ik de .xml file van de WIFI profiel.
Hoe kan ik die het beste dus versprijden?

[Question Mark]

Welk OS draait er op de laptops, en welke beheertooling wordt ingezet om deze te configureren?

[theduke1989]

@Question Mark
Op alle Windows 10 22H2, op mijn laptop Windows 11 omdat we aan het testen zijn om de stap te maken naar Windows 11.

Beheertools hebben we niet echt veel, geen WSUS, geen WDS, geen Intune, geen Azure.
Deployen van Images wordt gedaan via Empirum, maar alleen dat geen andere zaken zoals wifi etc.

Groep beheert de firewalls, we hebben hier intern wel gewoon de WIFI etc.

https://www.petenetlive.com/KB/Article/0000923 ik zit te kijken, 9/10 komt dit als hit in Google.
Maar dit werkt niet, of i k doe het verkeerd? want het laat nergens zien welke pasword er gebruikt wordt etc.

[theduke1989]

Dit is wat we nu hebben ingesteld.

[ Voor 11% gewijzigd door theduke1989 op 20-09-2023 11:13 ]

[Question Mark]

Laptops zijn dus domainjoined en er worden Group Policy's om configuratie in te stellen.

Je moet voor authenticatie kiezen voor WPA-PSK (Pre Shared Key), dan zal er vast wel een invoerveld voor de key verschijnen. (even uit mijn hoofd).

Edit:

Ik zie nu net dit artikel: https://goddamnpc.com/dep...d-key-using-group-policy/

[ Voor 21% gewijzigd door Question Mark op 20-09-2023 11:11 ]

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 11:09:
Laptops zijn dus domainjoined en er worden Group Policy's om configuratie in te stellen.

Je moet voor authenticatie kiezen voor WPA-PSK (Pre Shared Key), dan zal er vast wel een invoerveld voor de key verschijnen. (even uit mijn hoofd).

Edit:

Ik zie nu net dit artikel: https://goddamnpc.com/dep...d-key-using-group-policy/

Heb dat van jou net uitgeprobeerd, maar werkt niet.




Ik heb gpupdate uitgevoerd op beide. En een reboot gemaakt. en de kabel van de docking station losgekoppeld, gaat niet automaisch naar de corporate.

ik heb die onder scripts onder startup gezet de wifi_deploy.bat file, en de .XML staat in een shared drive die door iedereen toegankelijk is.

[ Voor 5% gewijzigd door theduke1989 op 20-09-2023 11:33 ]

[Nielson]

theduke1989 schreef op woensdag 20 september 2023 @ 11:32:
[...]

ik heb die onder scripts onder startup gezet de wifi_deploy.bat file, en de .XML staat in een shared drive die door iedereen toegankelijk is.

En als je aan wifi_deploy.bat nog een regeltje toevoegt?

code:

netsh wlan connect name="profielnaam"

[theduke1989]

Nielson schreef op woensdag 20 september 2023 @ 11:52:
[...]
En als je aan wifi_deploy.bat nog een regeltje toevoegt?

code:

netsh wlan connect name="profielnaam"

tussen haakjes, of zonder? en dan direcht onder de eerste regel?

de wifi_deploy bat staat in Policies-Machines-Scripts-Startup dat is de correcte adres_

[ Voor 13% gewijzigd door theduke1989 op 20-09-2023 12:00 ]

[theduke1989]

Ik heb dat geprobeerd, gebeurd niks.

[Nielson]

theduke1989 schreef op woensdag 20 september 2023 @ 11:59:
[...]
tussen haakjes, of zonder? en dan direcht onder de eerste regel?

Nee, onder de laatste 'netsh' regel. Je voegt eerst het wifi profiel mbv de xml toe en daarna verbind je met dat profiel.

[theduke1989]

Nielson schreef op woensdag 20 september 2023 @ 12:22:
[...]
Nee, onder de laatste 'netsh' regel. Je voegt eerst het wifi profiel mbv de xml toe en daarna verbind je met dat profiel.

Geen idee wat ik dan fout doe.

code:

netsh wlan show profile profiel
if %errorlevel%==0 goto end
netsh wlan add profile filename="\\servernaam\share\share\profiel.xml" user=all
netsh wlan connect name="profiel"
:END

Kan het zijn omdat de profiel verborgen is? moet ik iets extras toevoegen in de wifi-deploy bat file?
op google kan ik alleen vinden hoe je het moet verbergen niet verbinden via netsh.
ben dit aan het testen> https://www.appsloveworld...wifi-using-netsh-commands

[ Voor 14% gewijzigd door theduke1989 op 20-09-2023 13:30 ]

[theduke1989]

helaas niet werkend>

code:

netsh wlan show profile Profiel
netsh wlan set profileparameter name=profiel nonbroadcast=yes
if %errorlevel%==0 goto end
netsh wlan add profile filename="\\servernaam\share\share\Corp Wifi\WiFi-profiel.xml" user=all
netsh wlan connect name="profiel"
:END

volgens dat link hierboven, of heb ik de netsh verkeerd geplaatst.

[Question Mark]

theduke1989 schreef op woensdag 20 september 2023 @ 13:22:
[...]
Geen idee wat ik dan fout doe.

Wat werkt er niet? Werkt de batfile wel als je deze even handmatig start?

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 13:41:
[...]

Wat werkt er niet? Werkt de batfile wel als je deze even handmatig start?

goed dat je het vraagt, zo heb een disconnect gemaakt met de docking station, de batfile geopend.
maar wifi wordt niet toegevoegd. probleem kan zijn dat de path dan niet bereikt kan worden??

of begegrijp ik iets niet.

ik ben die link van jou nog eens aan het bekijken, maar kom niet echt verder.
Ook opgemerkt heb ik wanneer ik via kabel verbonden ben met de laptop
en netsh wlan show profiles dan zie ik deze hidden profiel niet.

moet dus zonder kabel om het te zien.

[ Voor 23% gewijzigd door theduke1989 op 20-09-2023 13:56 ]

[Question Mark]

Welke foutmelding krijg je? Start een cmd-venster, en voer de opdrachtregels eens één voor één uit...

Kortom: begin met basic troubleshooten. Beetje eigen inzet is wel gewenst..

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 13:57:
Welke foutmelding krijg je? Start een cmd-venster, en voer de opdrachtregels eens één voor één uit...

Kortom: begin met basic troubleshooten. Beetje eigen inzet is wel gewenst..

foutmelding krijg ik niet, wanneer ik die handmatig uitvoer komt snel een seconde een cmd box en weg is het weer, geen foutmelding. en in event logs ook geen error message of iets dergelijks.

[Question Mark]

theduke1989 schreef op woensdag 20 september 2023 @ 14:00:
[...]


foutmelding krijg ik niet, wanneer ik die handmatig uitvoer komt snel een seconde een cmd box en weg is het weer, geen foutmelding. en in event logs ook geen error message of iets dergelijks.

Wanneer je wat handmatig uitvoert? Bij welke regel in je batch-file (die je regel voor regel in een cmd-box uitvoert) verschijnt er een extra cmd-box? Zoals als gezegd, je moet de batch-file niet uitvoeren in een cmd-box, maar de losse regels en per stap kijken wat er gebeurd.

theduke1989 schreef op woensdag 20 september 2023 @ 11:32:
[...]

k heb die onder scripts onder startup gezet de wifi_deploy.bat file, en de .XML staat in een shared drive die door iedereen toegankelijk is.

Het artikel geeft aan dat dit script onder de computer GPO moet vallen. Controlevraag: de computeraccounts hebben wel rechten op de share? Dat is immers de security-context waaronder dit script draait.

[ Voor 28% gewijzigd door Question Mark op 20-09-2023 14:21 ]

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 14:17:
[...]

Wanneer je wat handmatig uitvoert? Bij welke regel in je batch-file (die je regel voor regel in een cmd-box uitvoert) verschijnt er een extra cmd-box? Zoals als gezegd, je moet de batch-file niet uitvoeren in een cmd-box, maar de losse regels en per stap kijken wat er gebeurd.


[...]

Het artikel geeft aan dat dit script onder de computer GPO moet vallen. Controlevraag: de computeraccounts hebben wel rechten op de share? Dat is immers de security-context waaronder dit script draait.

Ik heb even bekeken, en de drive maps staan alleen de gebruikers onder targeting, zal ook mijn OU toevoegen. Kijken of dit werkt.

[Question Mark]

Dat je een drive kunt mappen, wil niet zeggen dat je ook authorisatie hebt om de drive te mogen benaderen. Dat regel je met share en ntfs rechten...

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 15:13:
Dat je een drive kunt mappen, wil niet zeggen dat je ook authorisatie hebt om de drive te mogen benaderen. Dat regel je met share en ntfs rechten...

Ik zit te kijken wat je bedoeld.

De client kant moet alleen de startup script ontvangen neem ik aan? Betekend dit dat de server de rechten moet krijgen. of de startup script is geeft alleen aan in the servernaam daar is de .xml file.

of kijk compleet verkeerd naar dit hoe het opgezet is-wordt.

[silverball]

theduke1989 schreef op woensdag 20 september 2023 @ 14:00:
[...]


foutmelding krijg ik niet, wanneer ik die handmatig uitvoer komt snel een seconde een cmd box en weg is het weer, geen foutmelding. en in event logs ook geen error message of iets dergelijks.

Handmatig alsin elke regel stuk voor stuk in de 'cmd box' plakken en uitvoeren.

[Question Mark]

theduke1989 schreef op woensdag 20 september 2023 @ 16:11:
[...]
Ik zit te kijken wat je bedoeld.

Via je computer-GPO wordt het script "toegekend" aan een computer. Dat betekent dat het de computer is die het uitvoert, en dat de computer dan ook toegang moet hebben tot de share waar de xml-file staat.

Toegang tot deze xml-file wordt geregeld door rechten op de share, en de rechten op het bestand zelf (NTFS-rechten). Als de computer daar niet minimaal leesrechten heeft, kan de xml niet worden geopend door de computer.

[theduke1989]

code:

Microsoft Windows [Version 10.0.22621.2283]
(c) Microsoft Corporation. All rights reserved.

J:\>netsh wlan show profile Profiel

Profile Profiel on interface WiFi:
=======================================================================

Applied: All User Profile

Profile information
-------------------
    Version                : 1
    Type                   : Wireless LAN
    Name                   : Profiel
    Control options        :
        Connection mode    : Connect manually
        Network broadcast  : Connect even if this network is not broadcasting
        AutoSwitch         : Do not switch to other networks
        MAC Randomization  : Disabled

Connectivity settings
---------------------
    Number of SSIDs        : 1
    SSID name              : "Profiel"
    Network type           : Infrastructure
    Radio type             : [ Any Radio Type ]
    Vendor extension          : Not present

Security settings
-----------------
    Authentication         : WPA2-Personal
    Cipher                 : CCMP
    Authentication         : WPA2-Personal
    Cipher                 : GCMP
    Security key           : Present

Cost settings
-------------
    Cost                   : Unrestricted
    Congested              : No
    Approaching Data Limit : No
    Over Data Limit        : No
    Roaming                : No
    Cost Source            : Default


J:\>netsh wlan set profileparameter name=Profiel nonbroadcast=yes

Profile "Profiel" on interface "WiFi" updated successfully.


J:\>if %errorlevel%==0 goto end

J:\>netsh wlan add profile filename="\\servernaam\share\share\Corp Wifi\WiFi-Profiel.xml" user=all
Profile profiel is added on interface WiFi.

J:\>netsh wlan connect name="Profiel"
Connection request was completed successfully.

J:\>:END
J:\>

Dit zijn de resultaten in CMD als administrator als ik ze uitvoer.

Heb het even getest, kabel uit de laptop en inderdaad de laptop heeft internet.

[theduke1989]

Question Mark schreef op woensdag 20 september 2023 @ 16:39:
[...]

Via je computer-GPO wordt het script "toegekend" aan een computer. Dat betekent dat het de computer is die het uitvoert, en dat de computer dan ook toegang moet hebben tot de share waar de xml-file staat.

Toegang tot deze xml-file wordt geregeld door rechten op de share, en de rechten op het bestand zelf (NTFS-rechten). Als de computer daar niet minimaal leesrechten heeft, kan de xml niet worden geopend door de computer.

Zo heb het werkend gekregen maar net i ets anders.
Ik heb het via onze logon script anagestuurd. Dus in die zelfde de wifi_deploy bat
Dus nu ik een reboot gemaakt heb, en 1x ingelogd ben heeft die de script doorgelezen en ben verbonden met onze corporate wifi.

nu werkt dit hopelijk overal zo.

[Eagle Creek]

Network broadcast : Connect even if this network is not broadcasting

Vanuit security perspectief raad ik je aan om dit úit te zetten (in je XML van true op false).
Het is overigens ook niet nodig, tenzij jullie je SSID verbergen, wat ik niet verwacht.'

Als je wel je SSID verbergt vraag ik me af waarom je dat doet en raad ik je af het niet te doen.

[ Voor 20% gewijzigd door Eagle Creek op 11-10-2023 09:36 ]

[theduke1989]

Eagle Creek schreef op woensdag 11 oktober 2023 @ 09:32:
[...]

Vanuit security perspectief raad ik je aan om dit úit te zetten (in je XML van true op false).
Het is overigens ook niet nodig, tenzij jullie je SSID verbergen, wat ik niet verwacht.'

Als je wel je SSID verbergt vraag ik me af waarom je dat doet en raad ik je af het niet te doen.

Klopt, we gaan dit uitzetten en kijken naar een ander manier.
Omdat het ook toegepast wordt op onze servers, en dat zeker nier de bedoeling is.

[Eagle Creek]

theduke1989 schreef op woensdag 11 oktober 2023 @ 10:19:
[...]


Klopt, we gaan dit uitzetten en kijken naar een ander manier.
Omdat het ook toegepast wordt op onze servers, en dat zeker nier de bedoeling is.

Begrijp ik te lezen dat je je servers aanbiedt via wifi?
En wat bedoel je met "een andere manier"? Het staat uit of aan, meer smaken zijn er niet.

Wat probeer je precies te bereiken?

[ Voor 16% gewijzigd door Eagle Creek op 11-10-2023 11:42 ]