Windows Server Üzerinde NPS (Network Policy Server) ile RADIUS Kimlik Doğrulama

NPS (Network Policy Server), Windows Server’ın RADIUS (Remote Authentication Dial-In User Service) rolüdür. VPN, Wi-Fi (802.1X), kablolu erişim ve ağ cihazları için merkezi kimlik doğrulama (Authentication), yetkilendirme (Authorization) ve hesaplama (Accounting) sağlar. Bu rehberde kurulum, sertifika yapılandırması, Connection Request Policy ve Network Policy tasarımı, EAP türleri ve sorun giderme adımlarını bulacaksınız.

Ön Koşullar

• Windows Server 2019/2022, etki alanına üye (AD DS).
• İstemciler: Wi-Fi denetleyici/AP, VPN sunucusu, kablolu 802.1X anahtarlar veya firewall.
• Gerekirse AD CS ile iç sertifika otoritesi (EAP-TLS/PEAP için).
• Firewall’da UDP 1812 (Auth) ve 1813 (Accounting) açık.

Rol Kurulumu

Server Manager → Add Roles and Features → Network Policy and Access Services → Network Policy Server
# veya PowerShell
Install-WindowsFeature NPAS -IncludeManagementTools

NPS’i Etki Alanına Kaydetme

AD kullanıcı/grup özniteliklerini kullanabilmek için NPS’i AD’ye kaydedin:

# NPS Konsolu: NPS (Local) → Register server in Active Directory
# PowerShell
netsh ras add registeredserver

RADIUS İstemcileri Ekleme

AP, VPN, switch gibi cihazlar NPS’te “RADIUS Client” olarak tanımlanır.

1. NPS Konsolu → RADIUS Clients and Servers → RADIUS Clients → New.
2. Friendly name, Address (IP / DNS) girin.
3. Güçlü bir Shared secret belirleyin (NAS üzerinde aynı olmalı).

Sertifika ve EAP Türleri

• PEAP-MSCHAPv2: En yaygın; sunucu sertifikası gerekir. İstemcide kullanıcı adı/şifre ile TLS tüneli içinde kimlik doğrular.
• EAP-TLS: En güvenli; hem sunucuda hem istemcide sertifika gerekir (cihaz/ kullanıcı sertifikası).

Sunucu sertifikasını AD CS’den şablonla dağıtın (Computer türü, Server Authentication). İstemci sertifikalarını GPO ile otomatik kaydetme (auto-enrollment) etkinleştirin.

Connection Request Policy (CRP) ve Network Policy (NP)

CRP isteğin NPS’te mi sonlanacağını yoksa başka RADIUS’a mı yönleneceğini belirler. NP ise kimlik doğrulama koşulları ve izinleri tanımlar.

Örnek: Wi-Fi 802.1X (WPA2-Enterprise, PEAP)

1. CRP: Conditions → NAS Port Type = Wireless – IEEE 802.11, Authentication Provider: Local NPS.
2. NP: Conditions → Windows Groups = WiFi_Users, NAS Port Type = Wireless.
3. Constraints → Authentication Methods → Microsoft: Protected EAP (PEAP) → MSCHAPv2.
4. Settings → RADIUS Attributes ile VLAN ataması (Tunnel-Type=VLAN, Tunnel-Medium-Type=802, Tunnel-Pvt-Group-ID=VLAN_ID).

Örnek: VPN (IKEv2/SSTP) için NPS

1. RADIUS Client: VPN sunucusunu ekleyin.
2. CRP: NAS Port Type = Virtual (VPN).
3. NP: Condition = Windows Group = VPN_Users; Constraint = MS-CHAPv2 veya EAP-TLS.
4. Accounting: NPS → Accounting → Log to a text file veya SQL (isteğe bağlı).

GPO ile 802.1X İstemci Dağıtımı (Özet)

1. Group Policy Management → yeni GPO.
2. User/Computer Config → Policies → Windows Settings → Security Settings → Wireless Network (IEEE 802.11) Policies.
3. Yeni profil: SSID, Security = WPA2-Enterprise, Authentication = PEAP veya EAP-TLS, validate server cert = ON.

PowerShell/Netsh ile Hızlı Kontrol

# NPS servis durumu
Get-Service IAS

# CRP/NP özet export
netsh nps show crp
netsh nps show np

# RADIUS client liste
netsh nps show client

En İyi Güvenlik Uygulamaları

• Shared secret uzun ve rastgele olsun; düzenli değiştirin.
• PEAP kullanıyorsanız istemcilerde sunucu sertifikasını doğrulama zorunlu olsun.
• EAP-TLS senaryosunda auto-enrollment ile cihaz/kullanıcı sertifikalarını dağıtın.
• NPS’i yalnızca kurumsal CA’nın kök/ara sertifikalarına güvenecek şekilde yapılandırın.
• Audit: NPS accounting loglarını merkezi SIEM’e gönderin.

Log ve Sorun Giderme

• Event Viewer → Custom Views → Server Roles → Network Policy and Access Services.
• Accounting Logs: %SystemRoot%\System32\LogFiles.
• Hata örnekleri: Reason Code 16 (yanlış shared secret), Reason Code 23 (sertifika zinciri), Reason Code 66 (EAP uyumsuzluğu).

Yüksek Erişilebilirlik (Opsiyonel)

Birden fazla NPS örneği kurup NAS üzerinde Primary/Secondary RADIUS tanımlayın. CRP/NP yapılarını export/import ile eşitleyin:

# Yapılandırma yedekleme
netsh nps export filename="C:\backup\nps.xml" exportpsk=yes
# Geri yükleme (güvenli ortamda)
netsh nps import filename="C:\backup\nps.xml"

Sonuç

NPS ile RADIUS kimlik doğrulama, ağ erişimini merkezi, denetlenebilir ve ölçeklenebilir hale getirir. Doğru CRP/NP kurgusu, sertifika altyapısı ve güvenlik ilkeleriyle Wi-Fi, VPN ve kablolu erişimlerinizde tutarlı bir Zero Trust yaklaşımının temelini atabilirsiniz.