Authentification WiFi WPA2-Enterprise avec NPS et Active Directory

🔄 Mise à jour du 27 octobre 2026 — Après la mise à jour cumulative Windows 11 d’octobre 2026 (KB5127648), les laptops configurés selon cet article ne se connectent plus au WiFi d’entreprise. La cause et le correctif sont détaillés en fin d’article.

👉 Aller directement à l’update et au correctif

Vous en avez assez de gérer une clé WiFi partagée que tout le monde connaît, que vous n’osez jamais changer de peur de devoir reconfigurer tous les appareils ? La solution propre, c’est WPA2-Enterprise — chaque utilisateur s’authentifie avec ses propres credentials Active Directory, sans jamais saisir de mot de passe WiFi. Le laptop joint au domaine se connecte automatiquement, de manière transparente, dès que le câble Ethernet est débranché.

Dans cet article, nous allons transformer un SSID existant en WPA2-Enterprise en nous appuyant sur NPS (Network Policy Server) comme serveur RADIUS, Active Directory pour la gestion des utilisateurs, et une GPO pour automatiser la connexion sur les laptops du domaine. Nous utiliserons des bornes Cisco Aironet en mode autonome.

Architecture cible

Laptop (domaine) → AP Cisco (WPA2-Enterprise) → NPS/RADIUS → Active Directory
                                                      ↓
                                          "Utilisateur dans GG_WIFI_RADIUS ?" 
                                                      ↓
                                              Accès accordé ✅

Prérequis

• Windows Server avec le rôle NPS installé
• Un domaine Active Directory opérationnel
• Une PKI interne (Active Directory Certificate Services) pour émettre le certificat serveur
• Des bornes Cisco Aironet en mode autonome (IOS 15.x)
• Un firewall/routeur gérant la segmentation VLAN
• Le SSID cible existe déjà en WPA2-PSK

Segmentation réseau dans notre exemple

Étape 1 — Prérequis réseau : autoriser le trafic RADIUS

Avant toute configuration, il faut s’assurer que les bornes WiFi peuvent communiquer avec le serveur NPS. Le protocole RADIUS utilise UDP/1812 (authentification) et UDP/1813 (accounting).

Sur votre firewall, créez une règle :

Source      : VLAN100 (bornes WiFi)
Destination : IP du serveur NPS
Ports       : UDP 1812, UDP 1813
Action      : ACCEPT
NAT         : OFF (jamais de NAT sur du trafic interne)

⚠️ Important : Le firewall étant stateful, la règle retour (NPS → bornes) est gérée automatiquement. Vous n’avez pas besoin de créer une règle dans l’autre sens.

Étape 2 — Certificat serveur sur NPS

Le protocole PEAP nécessite un certificat serveur sur NPS pour chiffrer le tunnel d’authentification. Nous allons demander ce certificat à notre PKI interne — les laptops du domaine lui feront automatiquement confiance via l’AD.

Sur le serveur NPS, ouvrez une console MMC :

Fichier → Ajouter un composant logiciel enfichable → Certificats → Compte ordinateur → Ordinateur local

Naviguez vers Certificats → Personnel → clic droit → Toutes les tâches → Demander un nouveau certificat

Sélectionnez le template “Serveur RAS et IAS” et cliquez Inscrire.

💡 Si le template est indisponible : Sur le serveur CA, ouvrez certsrv.msc → Modèles de certificats → Gérer → trouvez “Serveur RAS et IAS” → Propriétés → Sécurité → ajoutez le compte machine du serveur NPS (SERVEUR-NPS$) avec les permissions Lire et Inscrire. Revenez ensuite dans certsrv.msc → Modèles de certificats → Nouveau → Modèle de certificat à délivrer → sélectionnez “Serveur RAS et IAS”.

⚠️ Erreur fréquente : Si vous tentez de configurer PEAP sans certificat installé, NPS affiche l’erreur ci-dessous. Ne passez pas à l’étape suivante tant que le certificat n’est pas en place.

Le certificat se renouvellera automatiquement via l’auto-enrollment AD — aucune intervention manuelle requise.

Étape 3 — Préparation Active Directory

Créer le groupe de sécurité

Dans Active Directory Users and Computers, créez un groupe :

• Nom : GG_WIFI_RADIUS
• Type : Groupe de sécurité Global
• Membres : les utilisateurs autorisés à se connecter au WiFi d’entreprise

💡 Utilisez un groupe Global (et non Local de domaine) — NPS peut évaluer les groupes globaux dans ses politiques réseau.

Créer une OU dédiée aux laptops

Si vos laptops et postes fixes sont dans la même OU, créez une sous-OU dédiée :

STATIONS
└── PC_PORTABLES   ← nouvelle sous-OU

Déplacez les comptes ordinateurs des laptops dans PC_PORTABLES. La GPO WiFi sera appliquée uniquement à cette OU — inutile de pousser un profil WiFi sur des postes fixes.

Étape 4 — Configuration NPS

4.1 Déclarer les bornes comme clients RADIUS

Dans la console NPS, naviguez vers RADIUS Clients and Servers → RADIUS Clients → New et créez une entrée pour chaque borne WiFi :

⚠️ Attention Cisco : Les bornes Cisco Aironet autonomes n’acceptent pas certains caractères spéciaux dans le shared secret. Utilisez uniquement des lettres, chiffres, tirets et underscores. Limitez la longueur à 12 caractères maximum pour éviter les problèmes de compatibilité.

4.2 Créer la stratégie réseau WiFi

Dans NPS → Policies → Network Policies → New :

Onglet Vue d’ensemble :

• Nom : WIFI-ENTREPRISE
• Type de serveur d’accès réseau : Non spécifié
• Permission d’accès : Accorder l'accès

Onglet Conditions :

• Groupes Windows → ajoutez GG_WIFI_RADIUS
• Type de port NAS → Sans fil - IEEE 802.11

Onglet Contraintes :

L’onglet Contraintes permet de configurer les délais, restrictions horaires et le type de port NAS. Laissez les délais par défaut et configurez uniquement le Type de port NAS :

Ensuite dans Méthodes d’authentification :

• Ajoutez Microsoft : PEAP (Protected EAP)
• Cliquez Modifier → sélectionnez le certificat du serveur NPS
• Méthode EAP : Mot de passe sécurisé (EAP-MSCHAP version 2)

Une fois le certificat correctement installé, les propriétés EAP Protégé se présentent ainsi avec le certificat du serveur NPS sélectionné :

Onglet Paramètres :

Avant modification, les attributs RADIUS contiennent des valeurs orientées VPN à corriger :

• Supprimez l’attribut Framed-Protocol
• Modifiez Service-Type de Framed vers Login

4.3 Vérifier l’ordre des stratégies

NPS évalue les stratégies de haut en bas et s’arrête à la première qui correspond. Vérifiez que votre stratégie WiFi n’est pas masquée par une stratégie plus générale :

⚠️ Piège classique : Si vous avez déjà une stratégie NPS pour le VPN, assurez-vous qu’elle a une condition Type de port NAS → Virtuel (VPN) dans ses Conditions (pas seulement dans les Contraintes). Sans cette condition, elle interceptera toutes les requêtes RADIUS avant votre stratégie WiFi. Voici la configuration correcte :

Étape 5 — Configuration des bornes Cisco Aironet

5.1 Déclarer le serveur RADIUS

Connectez-vous sur l’interface web de la borne → Security → Server Manager

Dans la section Corporate Servers, renseignez les informations du serveur NPS :

Une fois validé, le serveur apparaît dans la liste :

Cliquez Apply, puis dans Default Server Priorities → EAP Authentication → Priority 1 → sélectionnez votre serveur NPS.

5.2 Configurer le SSID en WPA2-Enterprise

Security → SSID Manager → [votre SSID]

Le SSID Manager permet de voir et configurer tous vos SSIDs avec leur VLAN associé et les radios actives :

Dans Client Authentication Settings → Methods Accepted, voici l’état initial avant modification :

Modifiez comme suit :

• ✅ Open Authentication → dropdown : with EAP
• ✅ Network EAP → dropdown : < NO ADDITION >

💡 Comportement Cisco : Sur les Aironet autonomes, Open Authentication doit rester coché en même temps que Network EAP. C’est contre-intuitif mais c’est la façon dont Cisco implémente le 802.1X — Open Authentication gère l’association 802.11, Network EAP gère l’authentification EAP/RADIUS. Les deux ensemble = WPA2-Enterprise.

Voici la configuration finale correcte :

Dans Client Authenticated Key Management :

• Key Management : Mandatory
• Enable WPA : WPA2 (sans dot11r si vos clients ont des problèmes de connexion)
• WPA Pre-shared Key : videz ce champ

Dans la section AP Authentication, créez un profil EAP avec la méthode PEAP et assignez-le dans Authentication Methods Profile :

Cliquez Apply puis sauvegardez la config :

write memory

5.3 Vérifier la connectivité borne → NPS

Avant de tester l’authentification, vérifiez la configuration réseau de la borne :

Testez ensuite la connectivité vers le serveur NPS depuis le CLI de la borne. En cas de règle firewall manquante, le ping échoue :

Après correction de la règle firewall, le ping doit retourner 100% de succès :

Pour déboguer l’authentification RADIUS en temps réel :

debug radius authentication

Pour voir les clients associés :

show dot11 associations

Un client en cours d’authentification 802.1X apparaît avec le statut EAP-Assoc — c’est le signe que tout fonctionne correctement.

Étape 6 — GPO : profil WiFi automatique sur les laptops

La GPO va pousser le profil WiFi sur tous les laptops de l’OU PC_PORTABLES. Résultat : connexion automatique sans aucune saisie de mot de passe.

6.1 Créer la GPO

Dans la Group Policy Management Console :

• Clic droit sur l’OU PC_PORTABLES → Créer un objet GPO dans ce domaine et le lier ici
• Nom : WIFI_ENTREPRISE

Dans le filtrage de sécurité de la GPO :

• Conservez Utilisateurs authentifiés (nécessaire pour que la GPO ordinateur s’applique)
• Ajoutez optionnellement GG_WIFI_RADIUS pour restreindre davantage

⚠️ Piège : Si vous supprimez Utilisateurs authentifiés et ne mettez que GG_WIFI_RADIUS, la GPO ne descendra pas — les GPO ordinateur s’appliquent avec le compte machine, pas le compte utilisateur.

6.2 Configurer le profil WiFi

Éditez la GPO → Configuration ordinateur → Paramètres Windows → Paramètres de sécurité → Réseaux sans fil (IEEE 802.11)

Clic droit → Créer une nouvelle stratégie Windows Vista ou ultérieure

La stratégie créée se présente ainsi :

Cliquez Ajouter pour créer le profil SSID :

Onglet Connexion :

• Nom de profil : le nom de votre SSID
• SSID : le nom exact de votre SSID (cliquez Ajouter)
• ✅ Se connecter automatiquement lorsque ce réseau est à portée
• ✅ Se connecter à un réseau favori prioritaire si cela est possible

Onglet Sécurité :

• Authentification : WPA2-Enterprise
• Chiffrement : AES-CCMP
• Méthode : Microsoft : PEAP (Protected EAP)
• Mode d’authentification : Authentification de l'utilisateur ou de l'ordinateur

Cliquez Propriétés à côté de PEAP. La fenêtre s’ouvre avec la liste des CA de confiance :

Configurez comme suit :

• ✅ Vérifier l’identité du serveur en validant le certificat
• Connexion à ces serveurs : NOM-SERVEUR-NPS.domaine.local
• Notifications : Ne pas demander à l'utilisateur d'autoriser de nouveaux serveurs
• Méthode EAP : Mot de passe sécurisé (EAP-MSCHAP version 2)

Dans la liste des CA, repérez et cochez vos CA internes (cochez les deux si vous avez une CA racine et une CA subordonnée) :

6.3 Forcer la préférence Ethernet sur WiFi

Dans la même GPO → Configuration ordinateur → Modèles d’administration → Réseau → Windows Connection Manager

Paramètre “Réduire le nombre de connexions simultanées à Internet ou à un domaine Windows” → Activé → option : 3 - Empêcher la connexion Wi-Fi lors d'une connexion Ethernet

Résultat : câble branché = WiFi inactif / câble débranché = connexion WiFi automatique.

6.4 Neutraliser l’enforcement NTLMv1 (depuis octobre 2026)

Depuis la mise à jour Windows d’octobre 2026, PEAP-MSCHAPv2 est bloqué par défaut sur Windows 11 sans Credential Guard. Ajoutez directement ce paramètre dans la même GPO pour que vos laptops restent fonctionnels — les détails sont dans la section Update octobre 2026.

Étape 7 — Tests et validation

Appliquer la GPO

Sur un laptop de l’OU PC_PORTABLES :

gpupdate /force

Vérifiez que la GPO est bien appliquée :

gpresult /r

La stratégie WIFI_ENTREPRISE doit apparaître dans les Objets de stratégie de groupe appliqués.

Test de connexion

1. Débranchez le câble Ethernet
2. Redémarrez le laptop
3. À l’ouverture de session, observez la connexion WiFi automatique

Validation côté NPS

Dans l’Observateur d’événements sur le serveur NPS → Journaux Windows → Sécurité :

Les champs clés à vérifier dans un 6272 réussi :

• NetworkPolicyName : doit afficher le nom de votre stratégie WiFi
• AuthenticationType : doit afficher PEAP
• EAPType : doit afficher EAP-MSCHAP version 2

Erreurs courantes et solutions

Plus de WiFi d’entreprise après une mise à jour Windows (octobre 2026)

Le WiFi invité (PSK) fonctionne, le WiFi d’entreprise ne se connecte plus sur plusieurs laptops depuis la dernière cumulative. Voir la section Update octobre 2026.

ReasonCode 66 — Méthode d’authentification non activée

La stratégie NPS matchée ne correspond pas à la méthode EAP envoyée par le client. Vérifiez l’ordre des stratégies NPS et les conditions Type de port NAS.

“Absence d’authentificateur” sur le laptop

La borne WiFi n’agit pas comme authentificateur 802.1X. Sur Cisco Aironet, vérifiez que Open Authentication with EAP ET Network EAP sont cochés, et qu’un profil EAP PEAP est bien assigné dans AP Authentication. Voici l’état incorrect à corriger — la section AP Authentication sans profil assigné :

Shared secret invalide (Cisco)

Les bornes Cisco Aironet n’acceptent pas les caractères ?, $, +, [. L’erreur se manifeste ainsi :

Utilisez un secret alphanumérique de 12 caractères maximum, en tout cas pour ma génération de bornes aironet qui est un peu viellissante je vous l’accorde.

GPO qui ne descend pas

Vérifiez que Utilisateurs authentifiés est dans le filtrage de sécurité de la GPO. Les GPO ordinateur s’appliquent avec le compte machine — si seul GG_WIFI_RADIUS est présent, la GPO ne s’appliquera pas.

Laptop sans port Ethernet

Problème classique de bootstrap : sans Ethernet, impossible de récupérer la GPO WiFi. Solution : utiliser un adaptateur USB-Ethernet temporairement pour faire descendre la GPO.

Borne ne joignant pas le serveur NPS

Vérifiez les règles de votre firewall inter-VLAN (UDP 1812/1813) et testez la connectivité depuis le CLI de la borne avec un ping. Voir les screenshots de la section 5.3.

Cas particuliers

Laptops sans carte WiFi 5GHz

Certaines cartes WiFi entrée de gamme (ex: Realtek RTL8723DE) ne supportent que le 2.4GHz et sont limitées à 72Mbits en 802.11n. Si la carte est sur un slot M.2 ou mini-PCIe, un remplacement par une carte dual-band (Intel AC-7260/8260/9260) résout le problème. Si la carte est soudée, un adaptateur USB WiFi dual-band est la seule option.

Cohabitation avec un VPN RADIUS existant

Si NPS gère déjà l’authentification VPN, assurez-vous que la stratégie VPN a une condition Type de port NAS → Virtuel (VPN) dans ses Conditions (pas seulement dans les Contraintes). Sans ça, elle interceptera les requêtes WiFi avant la stratégie dédiée.

Update octobre 2026

KB5127648 et PEAP-MSCHAPv2

Pourquoi on republie cet article

Le 13 octobre 2026, Microsoft a publié la mise à jour de sécurité KB5127648 pour Windows 11 (24H2, 25H2, 26H2), et KB5126646 pour Windows Server 2025. Le lendemain de son installation, plus aucun laptop de notre infra perso ne se connectait au WiFi d’entreprise :

• le SSID invité en WPA2-PSK fonctionnait normalement → les bornes n’étaient pas en cause ;
• le problème touchait tous les laptops passés sur la cumulative ;
• l’authentification 802.1X démarrait mais n’aboutissait jamais.

Toute la configuration décrite plus haut (PEAP-MSCHAPv2 via NPS) était donc cassée par la mise à jour, sans aucune modification de notre côté. Cet article méritait d’être mis à jour.

La cause : l’enforcement NTLMv1 activé par défaut

Ce n’est pas un bug mais un changement annoncé par Microsoft dans le KB5066470 (août 2025), dans le cadre de l’abandon progressif de NTLM.

Une valeur de registre, BlockNtlmv1SSO, contrôle le blocage des credentials dérivés de NTLMv1 utilisés pour le Single Sign-On :

Jusqu’en octobre 2026, une valeur absente équivalait au mode Audit. Depuis KB5127648, une valeur absente équivaut au mode Enforce, à deux conditions :

• Credential Guard est désactivé sur le poste ;
• la valeur BlockNtlmv1SSO n’a jamais été définie.

La mise à jour ne crée pas la valeur dans le registre : rien ne change visiblement sur le poste, d’où la difficulté du diagnostic. Or MS-CHAPv2 repose sur ce mécanisme : PEAP-MSCHAPv2, EAP-MSCHAPv2, WiFi comme Ethernet 802.1X ou VPN, tout est concerné.

Pour confirmer sur un poste : Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → NTLM → Operational.

Le fix immédiat : repasser en mode Audit

Sur un poste, en invite de commandes administrateur :

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Aucun redémarrage n’est nécessaire. Débranchez l’Ethernet : le laptop se reconnecte au WiFi d’entreprise.

Le déploiement par GPO

Dans la GPO WIFI_ENTREPRISE créée à l’étape 6 :

Configuration ordinateur → Préférences → Paramètres Windows → Registre → Nouveau → Élément Registre

⚠️ Bootstrap : un laptop déjà cassé ne récupérera pas la GPO par le WiFi. Branchez-le en Ethernet (ou adaptateur USB-Ethernet) le temps d’un gpupdate /force, ou appliquez la commande reg add en local.

💡 Ne désinstallez pas KB5127648. La désinstallation fonctionne, mais elle retire aussi les autres correctifs de sécurité du mois. Le passage en Audit est ciblé et réversible.

La vraie solution : abandonner MS-CHAPv2

Repasser en Audit est un pansement : on réautorise un mécanisme que Microsoft est en train de supprimer. La recommandation de Microsoft est de migrer vers une authentification par certificat, EAP-TLS ou PEAP-TLS.

Bonne nouvelle : si vous avez suivi cet article, la PKI interne est déjà en place pour le certificat NPS. La migration consiste à :

1. déployer un certificat ordinateur sur les laptops par auto-enrollment (GPO) ;
2. ajouter EAP-TLS comme méthode d’authentification dans la stratégie réseau NPS ;
3. basculer le profil WiFi de la GPO de PEAP-MSCHAPv2 vers Carte à puce ou autre certificat ;
4. une fois validé, remettre BlockNtlmv1SSO à 1 (Enforce).

Ce sera l’objet d’un prochain article.

Sources

• Microsoft — KB5066470 : changements NTLMv1 dans Windows 11 et Windows Server 2025
• Message Center MC1508562 — NTLMv1 hardening changes

Voila !

Votre infrastructure WiFi est maintenant sécurisée avec WPA2-Enterprise. Plus de clé PSK partagée à gérer, plus de risque qu’un ex-employé conserve l’accès WiFi — chaque connexion est authentifiée individuellement avec les credentials AD. La révocation d’accès se fait en un clic depuis Active Directory, et les logs NPS permettent de tracer qui s’est connecté, quand, et depuis quelle borne.

La même infrastructure NPS peut être étendue pour sécuriser les ports Ethernet via 802.1X sur vos switches managés — mais ça, ce sera l’objet d’un prochain article ou pas 😉