Salut    
 
Je suis actuellement en stage et j'ai une mission. Je dois sécuriser le réseau et déployer un système qui permet d'accepter ou refuser la connexion au réseau d'un PC si il se connecte à une prise réseau ou au Wi-Fi.  
Je m'explique.
 
L'idée est de délivrer des certificats aux PC. Si le PC qui se connecte au réseau (en Wi-Fi ou câblé) possède le certificat, il est accepté, s'il ne le possède pas, on lui refuse l'accès.
 
Je pensais mettre en place (A noter que je travaille sur des machines virtuelles avec le logiciel Hyper-V) :  
 
- Un AD avec une OU "PC certificats" par exemple où figurent les PC connectés au domaine (donc ceux étant autorisé à accéder au réseau)
- Le rôle ADCS qui jouera le rôle d’autorité de certification racine pour la délivrance des certificats
- Une GPO ordinateur que j'applique à l'OU "PC certificats" qui délivre les certificats aux PC de l'OU
- Le rôle NPS qui joue le rôle de Radius qui va vérifier la validité du certificat et accepter ou non la connexion au réseau
 
Je pensais mettre tous ces rôles sur un seul et même serveur. Est-ce la meilleure solution?  
 
Qu'est ce que vous pensez de cette mise en place? Cela peut-il fonctionner?
 
Merci d'avance à ceux qui prendra le temps de checker,  
 
Bonne journée

si c'est pour du maquetage, cela peut aller
Mais il faut securiser et doubler la solution pour sa mise en production.
2 serveur AD, 2 serveurs pour les certificat et 2 nps

+1 pas en prod.
Et jamais de PKI à un seul tier, au moins root CA + issuing

Je vous remercie. Pour l'instant c'est en labo effectivement, mais le but est par la suite de le mettre en production. Dans ce cas-ci, il faut doubler la solution pour le fail-over?

Ca dépend. Pour la PKI, même en labo, il faut isoler le rôle (je dirais pareil pour l'AD) si tu veux avoir quelque chose de pertinent.
 
AD * 2
PKI root + PKI intermédiaire *2
NPS *2 ? (j'ai plus en mémoire le failover NPS)
 
Au moins 7 serveurs on dirait. A moins que tu ai un équipement réseau qui proposerait un service similaire.
 

C'est noté, je vais voir ce que je peux faire. Je vais d'abord mettre en place le système sans prendre en compte la haute dispo, puis je verrais par la suite comment l'implémenter.
 
Merci beaucoup