Strumento di amministrazione

Pacchetti dell'amministratore per Windows XP*

NOTA: per creare ed esportare un pacchetto per un computer in ambiente Microsoft Windows Vista*, è necessario creare il pacchetto su un computer che dispone di Windows Vista. Non è possibile creare un pacchetto per Windows Vista su un computer che dispone di Microsoft Windows XP*.

Profili dell'amministratore

Tali profili sono comuni o condivisi da tutti gli utenti del computer. Gli utenti finali non possono tuttavia modificare questi profili. Possono solo essere modificati usando Strumento di amministrazione che è protetto tramite password.

È tuttavia possibile creare profili Voice over IP (VoIP) per l'esportazione su un'applicazione soft-phone, nonché aggiungere a un pacchetto profili comuni preesistenti e profili VoIP esistenti o creati dall'utente. Esistono due tipi di profili dell'amministratore: Permanente e Pre-accesso/Comune.

Profili permanenti

i profili permanenti sono applicati al momento dell'avvio oppure ogni volta che si esegue l'accesso al computer. Quando l'utente chiude la sessione, il profilo permanente mantiene la connessione wireless finché il computer viene spento o finché un altro utente esegue l'accesso.

Caratteristiche fondamentali di un profilo permanente:

• I seguenti tipi di profili possono essere creati come profili permanenti:
  • Tutti profili che non richiedono l'autenticazione 802.1X (per esempio, Autenticazione aperta con crittografia WEP, Autenticazione aperta senza crittografia).
  • Tutti i profili con l'autenticazione 802.1X che hanno le credenziali salvate: LEAP o EAP-FAST.
  • I profili con impostazioni di protezione che includono l'opzione "Usa il nome utente e la password seguenti".
  • I profili che usano per l'autenticazione il certificato del computer.
  • I profili WPA*-Enterprise che non utilizzano un certificato utente.
  • I profili WPA-Personale.
• I profili permanenti vengono applicati all'accensione del sistema e dopo la chiusura della sessione da parte dell'utente.

NOTA: l'utilità di connessione WiFi supporta i certificati del computer. I certificati non saranno visualizzati nei rispettivi elenchi.

Per creare un profilo permanente:

1. Fare clic su Includi i profili nel pacchetto.
2. Fare clic su Permanente.
3. Fare clic su Aggiungi per aprire la pagina Impostazioni generali.
4. Nome profilo: immettere un nome di profilo descrittivo.
5. Nome rete WiFi (SSID): immettere il nome della rete WiFi.
6. Modalità operativa: Rete (infrastruttura) è l'impostazione predefinita.
7. Tipo profilo amministratore: Permanente: attivo quando nessun utente è connesso è selezionato.
8. Fare clic su Avanti.
9. Fare clic su Protezione aziendale per aprire le Impostazioni protezione. Vedere TLS, TTLS, PEAP, LEAP o EAP-FAST per informazioni su come configurare le impostazioni di protezione delle reti 802.1X.
10. Fare clic su OK.

Pre-accesso/comune

I profili di pre-accesso/comuni sono applicati prima dell'accesso da parte di un utente. Se è installato il supporto per l'Accesso singolo, la connessione viene effettuata prima della sequenza di accesso a Windows (pre-accesso/comune).

Se il supporto per l'Accesso singolo non è installato, il profilo viene applicato una volta che la sessione utente è attiva. I profili di pre-accesso/comuni sono sempre visualizzati in cima all'elenco dei profili. Gli utenti possono sempre assegnare la priorità ai profili che hanno creato, ma non possono cambiare la priorità ai profili di pre-accesso/comuni. Poiché questi profili sono visualizzati all'inizio dell'elenco dei profili, l'utilità di connessione WiFi tenta automaticamente di connettersi ai profili dell'amministratore prima di usare qualunque altro profilo creato dall'utente.

NOTA: soltanto gli amministratori possono creare o esportare profili di pre-accesso/comuni.

Le caratteristiche fondamentali della connessione di pre-accesso sono:

• La connessione di pre-accesso è attiva solo al momento dell'accesso a Windows.
• I seguenti tipi di profili possono essere creati come profili di pre-accesso/comuni:
  • Profili 802.1X PEAP, TTLS o EAP-FAST che usano le credenziali "Usa il nome utente e la password di accesso a Windows" o "Usa il nome utente e la password seguenti" nella configurazione delle impostazioni di protezione del profilo.
  • Profili LEAP che utilizzano le credenziali "Richiedi il nome utente e la password" nella configurazione delle impostazioni di protezione del profilo.
  • Profili 802.1X PEAP o TTLS con certificati dell'utente o del computer (l'utente deve disporre dei diritti amministrativi per usare i certificati del computer).
  • Profili TLS che usano certificati digitali per verificare l'identità di un client e un server.
  • Profili EAP-SIM che usano la scheda SIM (Subscriber Identity Module) per convalidare le credenziali presso la rete.
  • Tutti i profili comuni e basati sull'utente diversi da 802.1X (profili aperti e WEP).
• Verrà applicato un profilo di pre-accesso/comune al momento dell'accesso a Windows da parte dell'utente.

Stato della connessione di pre-accesso/comune

Il supporto dei profili di pre-accesso/comune è installato nel corso di un'installazione personalizzata dell'utilità di connessione WiFi. Per ulteriori informazioni, vedere Installazione o disinstallazione della funzione Accesso singolo.

NOTA: se le funzioni Accesso singolo o Connessione di pre-accesso non sono installate, un amministratore è tuttavia in grado di creare profili di pre-accesso/comuni per l'esportazione su un computer dell'utente.

Qui di seguito è descritto il funzionamento della funzione Connessione di pre-accesso a partire dall'accensione del sistema. Il presupposto è che esista un profilo salvato. Questo profilo salvato ha impostazioni di protezione valide contrassegnate con "Usa il nome utente e la password di accesso a Windows" che sono applicate al momento dell'accesso a Windows.

1. Dopo il riavvio o la riaccensione del sistema, digitare il nome utente di accesso Windows, la password ed il dominio.
2. Fare clic su OK. Nella pagina di stato del profilo di pre-accesso/comune viene visualizzato l'andamento della connessione di rete. Quando la scheda di rete WiFi viene connessa ad un altro punto di accesso, la pagina Stato si chiude e termina il processo di accesso dell'utente a Windows.
   • Se durante la connessione di pre-accesso/comune il punto di accesso corrispondente rifiuta le credenziali, verrà richiesto di immettere le credenziali dell'utente.
   • Immettere le credenziali.
   • Fare clic su OK. Il profilo viene applicato e appare la pagina di Stato che mostra l'andamento dello stato della connessione finché non si esegue l'accesso a Windows.
   • Fare clic su Annulla nella pagina Credenziali per selezionare un altro profilo.

NOTA: a un certificato utente è possibile accedere soltanto da parte di un utente che è stato autenticato sul computer. Quindi, l'utente deve collegarsi al computer una volta (con una connessione cablata, un profilo alternativo o il registro locale) prima di usare un profilo di pre-accesso/comune che prevede l'autenticazione con un certificato utente.

Quando si chiude la sessione, ogni connessione wireless viene interrotta e applicato un profilo permanente (se disponibile). In determinate circostanze è desiderabile mantenere la connessione corrente (per esempio, se è necessario caricare dati specifici dell'utente sul server dopo aver chiuso la sessione o quando si usano profili di roaming).

Per ottenere questa funzionalità, creare un profilo che sia contrassegnato sia di pre-accesso/comune che permanente. Se tale profilo è attivo quando l'utente chiude la sessione, la connessione viene mantenuta.

Per creare un profilo di pre-accesso/comune:

1. Fare clic su Includi i profili nel pacchetto.
2. Fare clic su Pre-accesso/comune.
3. Fare clic su Aggiungi per aprire la pagina Impostazioni generali.
4. Nome profilo: immettere un nome di profilo descrittivo.
5. Nome rete WiFi (SSID): immettere l'identificativo della rete.
6. Modalità operativa: Rete (infrastruttura) è l'impostazione predefinita.
7. Tipo profilo amministratore: Pre-accesso/comune: attivo quando un utente è connesso. Questo profilo è condiviso tra tutti gli utenti. Questo tipo di profilo è già selezionato.
8. Fare clic su Avanti.
9. Fare clic su Avanzate per aprire e configurare le impostazioni avanzate. Vedere Impostazioni avanzate.
10. Fare clic su OK per chiudere la finestra Impostazioni avanzate.
11. Fare clic su Protezione aziendale per aprire le Impostazioni protezione. Vedere EAP-SIM, TLS, TTLS, PEAP, LEAP e EAP-FAST per informazioni sulla configurazione della protezione 802.1X.
12. Fare clic su OK per salvare il profilo e aggiungerlo all'elenco dei profili dell'amministratore.

NOTA: un profilo di pre-accesso/comune viene ignorato se è già stata stabilita una connessione permanente e il profilo è configurato sia con l'opzione di connessione di pre-accesso/comune che con quella persistente.

---

Escludi rete

Gli amministratori possono definire le reti WiFi da escludere dalla connessione. Una volta esclusa la rete, soltanto un amministratore può rimuovere la rete dall'elenco delle esclusioni. La rete esclusa viene visualizzata in Gestione elenco esclusioni ed è contrassegnata con questa icona:

Per escludere una rete WiFi:

1. Fare clic su Includi i profili nel pacchetto.
2. Fare clic su Escludi.
3. Fare clic su Aggiungi per visualizzare Escludi rete (SSID).
4. Nome rete: inserire il nome della rete che si desidera escludere.
5. Fare clic su OK per aggiungere il nome della rete all'elenco.

Per rimuovere una rete WiFi da quelle escluse:

1. Selezionare il nome della rete nell'elenco esclusioni.
2. Fare clic su Rimuovi. La rete viene eliminata dall'elenco

---

Connessione Voice over IP (VoIP)

L'utilità di connessione WiFi supporta le applicazioni soft-phone di terze parti. Le applicazioni soft-phone di terze parti supportano i codec vocali. I codec in genere offrono capacità di compressione che consentono di usare meno larghezza di banda di rete. L'utilità di connessione WiFi supporta i seguenti codec standard International Telecommunications Union (ITU):

Gruppi EAP-FAST A-ID

NOTA: questa funzione non è disponibile se CCXv4 non è selezionato in Impostazioni applicazione di Strumento di amministrazione

Un A-ID (Authority Identifier) è un server RADIUS che fornisce gruppi A-ID con PAC. I gruppi A-ID sono condivisi da tutti gli utenti del computer e permettono ai profili EAP-FAST di supportare più PAC tramite gruppi A-ID multipli.

I gruppi A-ID possono essere preconfigurati dall'amministratore e impostati sul computer di un utente tramite un Pacchetto dell'amministratore. Quando un profilo di rete WiFi incontra un server con un A-ID appartenente allo stesso gruppo specificato nel profilo della rete wireless, usa questa PAC senza avvisare l'utente.

Per aggiungere un gruppo A-ID:

1. Selezionare Includi gruppi A-ID.
2. Fare clic su Aggiungi.
3. Immettere un nuovo nome per il gruppo A-ID.
4. Fare clic su OK. Il gruppo A-ID è aggiunto all'elenco dei gruppi A-ID.

Se il gruppo A-ID è bloccato, allora non è possibile aggiungervi altri A-ID.

Per aggiungere un A-ID a un gruppo A-ID:

1. Selezionare un gruppo dall'elenco dei gruppi A-ID.
2. Fare clic su Aggiungi nella sezione degli A-ID.
3. Selezionare un A-ID.
4. Fare clic su OK. L'A-ID è aggiunto all'elenco.

Dopo la selezione del gruppo A-ID, gli A-ID vengono estratti dalle PAC del server del gruppo A-ID. L'elenco dei gruppi A-ID viene compilato automaticamente.

---

Compiti dell'amministratore

Come ottenere un certificato client

Se non si dispone di alcun certificato per EAP-TLS (TLS) o EAP-TTLS (TTLS), per concedere l'autenticazione è necessario ottenere un certificato del client.

I certificati possono essere gestiti da Internet Explorer o dal Pannello di controllo di Windows.

Windows XP: quando si ottiene il certificato di un client non attivare la protezione avanzata della chiave privata. Se in un certificato si attiva la protezione avanzata della chiave privata, è necessario immettere una password di accesso per il certificato ogni volta che questo certificato viene usato. Se si configura il servizio per l'autenticazione TLS/TTLS è necessario disattivare la protezione avanzata della chiave privata per il certificato. In caso contrario, il servizio 802.1X non riuscirà a effettuare l'autenticazione poiché non vi è un utente collegato per immettere la password.

Note sulle smart card

Dopo aver installato una smart card il certificato viene automaticamente installato sul computer e può essere selezionato dall'archivio personale dei certificati e dall'archivio principale dei certificati.

Impostazione di un client con Autenticazione di rete TLS

Passaggio 1: ottenere un certificato

Per permettere l'autenticazione TLS è necessario che un certificato client valido si trovi nell'archivio locale relativo all'account dell'utente connesso. È necessario inoltre che nell'archivio principale ci sia un certificato di CA più attendibile.

Le informazioni seguenti descrivono due metodi per ottenere un certificato:

• Da un'autorità di certificazione (CA) aziendale implementata su un server Windows 2000.
• Importare un certificato da un file usando la procedura guidata di Internet Explorer per l' importazione dei certificati.

Se non si conosce la procedura per ottenere un certificato da un'autorità di certificazione, rivolgersi all'amministratore per chiedere ulteriori informazioni sulla procedura.

Per installare il certificato sul sistema locale:

1. Ottenere un certificato e salvarlo sul disco locale.
2. Fare clic su Importa. Viene aperta l'Importazione guidata certificati.
3. Fare clic su Avanti.
4. Fare clic su Sfoglia per individuare il certificato sul disco fisso.
5. Fare clic sul certificato esportato.
6. Fare clic su Apri.
7. Fare clic su Avanti.
8. Fare clic su Salva tutti i certificati nel seguente archivio.
9. Fare clic su Sfoglia per aprire Selezione archivio certificati.
10. Fare clic su Mostra archivi fisici.
11. Fare clic su OK.
12. Dall'elenco degli archivi, espandere Autorità di certificazione fonti attendibili.
13. Fare clic su Computer locale.
14. Fare clic su OK.
15. Fare clic su Avanti.
16. Fare clic su Fine per terminare il processo.
17. Riavviare quando il certificato è installato.

Utilizzare Microsoft Management Console (MMC) per verificare che il certificato sia stato installato nell'archivio locale.

1. Nel menu Start, fare clic su Esegui.
2. Immettere MMC.
3. Fare clic su OK per aprire Microsoft Management Console.
4. Fare clic su File.
5. Fare clic su Aggiungi/rimuovi snap-in.
6. Fare clic su Aggiungi per aprire la pagina Aggiungi snap-in autonomo.
7. Fare clic su Certificati.
8. Fare clic su Aggiungi.
9. Fare clic su Account computer.
10. Fare clic su Avanti.
11. Fare clic su Fine.
12. Fare clic su Chiudi.
13. Fare clic su OK.
14. In MMC, fare clic su Certificati (computer locale).
15. Fare clic su Autorità di certificazione fonti attendibili.
16. Fare clic su Certificati.
17. Verificare che il certificato installato sia presente nell'elenco.
18. Fare clic su File.
19. Fare clic su Esci per chiudere MMC.

Ottenere un certificato da un'autorità di certificazione (CA) di Microsoft Windows 2000*:

1. Avviare Internet Explorer e ricercare il servizio HTTP dell'autorità di certificazione, per esempio usando un URL come http://tuoserverdominio.tuodominio/certsrv dove certsrv è il comando che porta all'autorità di certificazione. È possibile anche usare l'indirizzo IP del server. Per esempio, "192.0.2.12/certsrv".
2. Accedere alla CA con lo stesso nome utente e password dell'account utente creato (vedere sopra) sul server di autenticazione. Il nome utente e la password non devono necessariamente coincidere con il nome utente e la password di accesso a Windows dell'utente corrente.
3. Nella pagina iniziale, selezionare Richiedi un certificato ed inviare la richiesta.
4. Scegliere il tipo di richiesta: selezionare Richiesta avanzata.
5. Fare clic su Avanti.
6. Richieste avanzate di certificati: selezionare Invia una richiesta di certificato a questa CA con un modulo.
7. Fare clic su Invia.
8. Richiesta avanzata di certificato: selezionare il modello di certificato Utente.
9. Fare clic su Contrassegna le chiavi come esportabili.
10. Fare clic su Avanti. Utilizzare le impostazioni fornite.
11. Certificato emesso: fare clic su Installa il certificato.

NOTA: se questo è il primo certificato che si è ottenuto, la CA chiederà dapprima se installare un certificato di CA più attendibile nell'archivio principale. Questo non è un certificato attendibile. Il nome del certificato è quello dell'host dell'autorità di certificazione. Fare clic su Sì. Questo certificato è necessario sia per TLS che per TTLS.

12. Se l'installazione del certificato è riuscita verrà visualizzato il messaggio "Certificato installato con successo".
13. Per verificare l'installazione, fare clic su Internet Explorer > Strumenti > Opzioni Internet > Contenuto > Certificati. Il nuovo certificato deve essere installato nella cartella personale.

Importa un certificato da un file

1. Aprire Proprietà Internet (fare clic con il pulsante destro del mouse sull'icona Internet Explorer nel desktop.
2. Selezionare Proprietà.
3. Contenuto: Fare clic su Certificati. Viene visualizzato l'elenco dei certificati installati.
4. Fare clic su Importa per aprire l'Importazione guidata certificati.
5. Selezionare il file.
6. Specificare la password di accesso per il file. Deselezionare Abilita protezione avanzata chiave privata.
7. Archivio certificati: fare clic su Selezionare automaticamente l'archivio certificati secondo il tipo di certificato (per poter accedere al certificato, il certificato deve trovarsi nell'archivio personale degli account utente).
8. Passare a Completamento dell'importazione certificati, quindi fare clic su Fine.

Per configurare un profilo usando l'autenticazione WPA con la crittografia WEP o TKIP usando l'autenticazione TLS:

NOTA: ottenere e installare un certificato del client (vedere il Passaggio 1 o rivolgersi all'amministratore del sistema).

Specificare il certificato utilizzato dall'utilità di connessione WiFi.

1. Nella pagina Profilo, fare clic su Aggiungi per aprire la pagina Impostazioni generali.
2. Nome profilo: immettere un nome di profilo.
3. Nome rete WiFi (SSID): immettere l'identificativo della rete.
4. Modalità operativa: Rete (infrastruttura) è l'impostazione predefinita.
5. Fare clic su Avanti per visualizzare la pagina Impostazioni protezione.
6. Fare clic su Protezione aziendale.
7. Autenticazione di rete: selezionare Apri (operazione consigliata).
8. Crittografia dati: selezionare WEP.
9. Attiva 802.1X: selezionato.
10. Tipo di autenticazione: selezionare TLS.

Passaggio 1 di 2: Utente TLS

1. Ottenere e installare un certificato del client.
2. Per ottenere un certificato selezionare una delle opzioni seguenti:

Nome	Descrizione
Password statica	Immettere le credenziali dell'utente al momento della connessione.
Password per una singola sessione (OTP)	Ottenere la password da una periferica hardware token.
PIN (soft token)	Ottenere la password da un programma soft token.

3. Fare clic su Avanti.

Passaggio 2 di 2: Server TLS

1. Selezionare uno dei seguenti metodi di recupero per le credenziali utente: Convalida il certificato del server o Specificare il nome del server o del certificato.
2. Fare clic su OK. Il profilo viene aggiunto all'elenco dei profili.
3. Fare clic sul nuovo profilo alla fine dell'elenco Profili. Usando la freccia rivolta verso l'alto e quella verso il basso spostare la priorità del nuovo profilo nella posizione desiderata nell'elenco di priorità.
4. Fare clic su Connetti per effettuare la connessione alla rete WiFi selezionata.
5. Fare clic su OK per chiudere l'applicazione.

---

Torna all'inizio

Torna al Sommario