Heslo k firemní Wi-Fi napsané na lístečku u tiskárny, sdílené v e-mailu a známé každému, kdo kdy ve firmě pracoval – tak vypadá bezdrátová síť ve většině malých kanceláří. Pokud už firemní notebooky a telefony spravujete přes Microsoft Intune, můžete Wi-Fi profil na zařízení poslat automaticky a místo sdíleného hesla použít certifikáty. Zaměstnanec se pak k síti připojí bez zadávání čehokoli a po odchodu z firmy ztratí přístup sám. V článku vysvětlíme, jak Wi-Fi profily a certifikáty v Intune fungují, co k nim potřebujete a jak je nasadit krok za krokem.

Proč řešit firemní Wi-Fi přes Intune

Wi-Fi profil v Intune je konfigurační profil, který do zařízení zapíše název sítě (SSID), typ zabezpečení a způsob přihlášení. Zařízení se pak připojí samo, jakmile je v dosahu. Uživatel nic nevyplňuje a heslo ani nemusí znát.

Pro malou firmu to řeší tři praktické problémy:

• Heslo neputuje po firmě. Nové zařízení dostane přístup automaticky po registraci do Intune, takže heslo nikdo nediktuje do telefonu ani neposílá v Teams.
• Snadná změna nastavení. Když vyměníte access pointy nebo změníte heslo, upravíte jeden profil a změna se rozešle na všechna zařízení.
• Odchod zaměstnance. U certifikátového přihlášení zařízení po vyřazení ze správy ztratí profil i certifikát. Nemusíte kvůli jednomu odchodu měnit heslo celé firmě.

Pokud s Intune teprve začínáte, přečtěte si nejdřív náš přehled konfiguračních profilů v Microsoft Intune. Wi-Fi profil je jen jeden z jejich typů.

Sdílené heslo, nebo certifikáty? Dvě cesty k firemní Wi-Fi

Intune umí doručit dva typy Wi-Fi profilů. Volba závisí hlavně na tom, jak velkou firmu máte a jak citlivá data po síti tečou.

Základní profil se sdíleným heslem (WPA2/WPA3-Personal)

Profil obsahuje SSID a předsdílený klíč, tedy klasické heslo k Wi-Fi. Nasazení zabere pár minut a nepotřebujete žádnou další infrastrukturu. Nevýhodou je, že heslo je pořád jedno pro všechny. Kdo má na notebooku práva administrátora, dokáže si ho z uloženého profilu přečíst. Při odchodu zaměstnance proto heslo stejně musíte změnit.

Podnikový profil s certifikáty (WPA2/WPA3-Enterprise, EAP-TLS)

Každé zařízení nebo uživatel dostane vlastní certifikát a přihlašuje se jím k síti přes standard 802.1X. Access point ověření předá serveru RADIUS, který certifikát zkontroluje. Žádné heslo neexistuje, takže ho nikdo nemůže vynést. Přístup lze navíc odebrat jednomu konkrétnímu zařízení. Microsoft popisuje všechna nastavení v dokumentaci Wi-Fi profilů v Intune.

Kritérium	Sdílené heslo (Personal)	Certifikáty (Enterprise, EAP-TLS)
Náročnost nasazení	Nízká, desítky minut	Střední, RADIUS a certifikační autorita
Odchod zaměstnance	Nutná změna hesla všem	Odebrání jednoho zařízení
Ochrana proti falešnému AP	Slabá	Silná (vzájemné ověření)
Další náklady	Žádné	Licence Cloud PKI nebo server, RADIUS
Vhodné pro	Do cca 10 lidí, menší riziko	Advokáti, zdravotnictví, účetní, 10+ lidí

Nezávisle na zvolené cestě patří hosté a soukromé telefony do samostatné sítě. Jak oddělit firemní, hostovskou a IoT síť, popisujeme v článku o segmentaci firemní sítě pomocí VLAN.

Co budete potřebovat

Pro základní profil stačí Intune (obsažený například v Microsoft 365 Business Premium) a zařízení zaregistrovaná do správy. Pro certifikátovou variantu potřebujete tři další díly skládačky.

1. Certifikační autoritu

Certifikáty musí někdo vydávat. Máte dvě možnosti:

• Microsoft Cloud PKI – certifikační autorita hostovaná přímo v Intune. Nahrazuje vlastní server s certifikační autoritou, službu NDES i konektor Intune. Je to ale placený doplněk nad rámec licence Intune Plan 1, dostupný samostatně nebo v Intune Suite. Podrobnosti uvádí dokumentace Microsoft Cloud PKI.
• Vlastní certifikační autorita (AD CS) – pokud už ve firmě běží Windows Server s doménou. Pro certifikáty SCEP potřebujete službu NDES a Certificate Connector for Microsoft Intune, pro PKCS stačí konektor. Přehled porovnává článek Microsoftu o certifikátech v Intune.

Firmám, které už vlastní server nemají a jsou celé v cloudu, obvykle doporučujeme Cloud PKI. Stavět kvůli Wi-Fi nový server s certifikační autoritou se v malé firmě nevyplatí.

2. Server RADIUS

Ten ověřuje certifikát ve chvíli, kdy se zařízení připojuje. Cloud PKI sám RADIUS neposkytuje. Použít můžete Windows Server se službou NPS, RADIUS zabudovaný v některých síťových řešeních nebo cloudovou službu RADIUS. U firem čistě v Entra ID bez lokální domény bývá cloudový RADIUS nejjednodušší, protože NPS je navázaný na účty v Active Directory.

3. Access pointy s podporou WPA2/WPA3-Enterprise

Běžné kancelářské access pointy to umí, levné domácí routery často ne. Na co se při výběru dívat, shrnuje náš průvodce jak vybrat firemní access point.

Nastavení krok za krokem

Následující postup platí pro certifikátovou variantu s Cloud PKI a EAP-TLS ve Windows. Pro iOS, macOS a Android je logika stejná, liší se jen platforma, kterou při vytváření profilů zvolíte.

Krok 1: Vytvořte certifikační autoritu a profil důvěryhodného certifikátu

V centru pro správu Intune (Správa tenanta, Cloud PKI) vytvořte kořenovou a vydávající certifikační autoritu. Stáhněte jejich veřejné certifikáty a nahrajte je jako profil důvěryhodného certifikátu (Trusted certificate). Bez něj zařízení vydávající autoritě nevěří a další profily selžou. Pokud server RADIUS používá certifikát od jiné autority, nahrajte i ten.

Krok 2: Přidejte profil certifikátu SCEP

Profil SCEP říká zařízení, kde si má certifikát vyžádat a jak má vypadat. Nastavte:

• Typ certifikátu – uživatel, nebo zařízení. Pro Wi-Fi v kanceláři je praktičtější certifikát zařízení, protože se notebook připojí ještě před přihlášením uživatele.
• Formát názvu subjektu – například název zařízení nebo jeho ID z Entra ID, aby RADIUS poznal, komu certifikát patří.
• Rozšířené použití klíče – ověření klienta (Client Authentication).
• Platnost a práh obnovení – rozumný kompromis je platnost jeden rok a obnovení po uplynutí 80 % doby.
• Adresa SCEP serveru – zkopírujte ji z vlastností vydávající autority v Cloud PKI.

Krok 3: Vytvořte podnikový Wi-Fi profil

V části Zařízení, Konfigurace vytvořte nový profil pro Windows, šablonu Wi-Fi a typ Enterprise. Vyplňte SSID, zvolte automatické připojení a jako typ EAP vyberte EAP-TLS. Nejdůležitější jsou dvě políčka:

• Certificate server names – názvy z certifikátu vašeho serveru RADIUS.
• Root certificates for server validation – profil důvěryhodného certifikátu z kroku 1.

Jako klientský certifikát pak vyberte profil SCEP z kroku 2. Přesný význam všech voleb najdete v referenci nastavení Wi-Fi pro Windows.

Krok 4: Přiřaďte profily a otestujte na pilotní skupině

Všechny tři profily (důvěryhodný certifikát, SCEP, Wi-Fi) přiřaďte stejné skupině. Pokud certifikát dostane skupina zařízení a Wi-Fi profil skupina uživatelů, často se nepropojí. Začněte dvěma až třemi zařízeními, ověřte připojení v kanceláři a v logu serveru RADIUS. Teprve pak profil rozšiřte na celou firmu a staré sdílené heslo vypněte.

Nejčastější chyby, které vidíme v praxi

• Chybí ověření serveru. Když nevyplníte názvy serveru a kořenový certifikát, zařízení může důvěřovat komukoli. Útočník s falešným access pointem pak dokáže zachytit přihlášení. Na tuto hrozbu upozorňuje i NIST SP 800-153, doporučení pro zabezpečení bezdrátových sítí.
• PEAP s heslem z Microsoft 365. Přihlášení jménem a heslem přes PEAP je méně bezpečné než certifikáty a s cloudovými účty bez lokální domény většinou ani nefunguje.
• Nepropojené skupiny. Certifikát a Wi-Fi profil musí mířit na stejné zařízení. Jinak zůstane profil ve stavu „Chyba“ nebo „Čeká“.
• Zapomenutá obnova certifikátů. Bez nastaveného prahu obnovení se po roce celá firma najednou odpojí.
• Stará síť zůstala zapnutá. Pokud po přechodu na certifikáty necháte běžet i původní síť se sdíleným heslem, bezpečnostní přínos se ztrácí.

Co se stane, když zaměstnanec odejde nebo ztratí notebook

Po vyřazení zařízení z Intune (Vyřadit nebo Vymazat) se Wi-Fi profil i certifikát ze zařízení odstraní. U Cloud PKI můžete navíc certifikát ručně odvolat, takže ho server RADIUS odmítne i v případě, že se zařízení k Intune delší dobu nepřihlásí. Odchod zaměstnance tak nevyžaduje změnu hesla pro všechny ostatní. Celý postup při odchodu člověka z firmy shrnuje náš článek o offboardingu zaměstnance v Microsoft 365.

Wi-Fi profil také dobře doplňuje podmíněný přístup. Ten chrání firemní data v cloudu, zatímco certifikát chrání samotnou síť v kanceláři.

Jak to řešíme u klientů IT Doma

U firem do deseti lidí s běžnými daty obvykle začínáme základním profilem se silným heslem v Intune a oddělenou sítí pro hosty. Heslo měníme při každém odchodu zaměstnance a díky Intune to znamená jednu úpravu profilu místo obcházení všech počítačů.

Advokátním kancelářím, ordinacím a účetním firmám, kde po síti tečou citlivá data, nastavujeme certifikáty přes Cloud PKI a cloudový RADIUS. Přechod obvykle zvládneme za jeden den bez výpadku, protože stará síť běží souběžně až do ověření pilotu. Obecné zásady najdete také v článku jak zabezpečit firemní Wi-Fi v 7 krocích.

Často kladené otázky

Potřebuji pro Wi-Fi profil v Intune další licenci?

Pro základní Wi-Fi profil se sdíleným heslem ne, stačí licence s Intune, například Microsoft 365 Business Premium. Pro certifikáty z Microsoft Cloud PKI potřebujete placený doplněk nad rámec Intune Plan 1, případně vlastní certifikační autoritu na Windows Serveru.

Funguje Wi-Fi profil z Intune i na iPhonech a Androidech?

Ano. Intune umí Wi-Fi profily a certifikáty pro Windows, macOS, iOS/iPadOS i Android Enterprise. Na firemních iPhonech zaregistrovaných přes Apple Business Manager se profil nainstaluje automaticky.

Uvidí zaměstnanec heslo k Wi-Fi, když ho pošlu přes Intune?

Běžný uživatel heslo v nastavení neuvidí. Kdo má ale na počítači práva administrátora, umí si uložený klíč přečíst. Proto u sdíleného hesla počítejte s jeho změnou při odchodu zaměstnance. U certifikátů žádné heslo neexistuje.

Co je lepší pro malou firmu, SCEP, nebo PKCS?

U firem v cloudu s Microsoft Cloud PKI se používá SCEP, protože privátní klíč vzniká přímo v zařízení a nikam se nepřenáší. PKCS dává smysl hlavně tam, kde už běží vlastní certifikační autorita s konektorem Intune.

Potřebuji server RADIUS, i když používám Cloud PKI?

Ano. Cloud PKI certifikáty vydává, ale neověřuje připojení k Wi-Fi. K tomu je potřeba server RADIUS, buď Windows Server se službou NPS, RADIUS v síťovém řešení, nebo cloudová služba RADIUS.

Shrnutí

Wi-Fi profil v Intune odstraní z firmy lístečky s heslem a připojí každé spravované zařízení automaticky. Menším firmám stačí profil se sdíleným heslem, které po odchodu zaměstnance změníte jednou úpravou. Firmy s citlivými daty by měly přejít na certifikáty a EAP-TLS. Každé zařízení pak má vlastní přístup, který lze odebrat zvlášť, a síť je chráněná i proti falešným access pointům.

Chcete nastavit firemní Wi-Fi přes Intune bez experimentování? V rámci správy IT pro firmy vám navrhneme vhodnou variantu, nastavíme access pointy, certifikáty i profily a ověříme vše na pilotu. Napište nám a domluvíme nezávaznou konzultaci.