Aggiungere Wi-Fi impostazioni per i dispositivi Windows in Intune

Nota

Intune potrebbe supportare più impostazioni rispetto a quelle elencate in questo articolo. Non tutte le impostazioni sono documentate e non verranno documentate. Per visualizzare le impostazioni che è possibile configurare, creare un criterio di configurazione del dispositivo e selezionare Catalogo impostazioni. Per altre informazioni, vai al catalogo delle impostazioni.

Puoi creare un profilo con impostazioni WiFi specifiche. Quindi, distribuisci questo profilo nei dispositivi client Windows. Microsoft Intune offre molte funzionalità, tra cui l'autenticazione nella rete, l'utilizzo di una chiave già condivisa e altro ancora.

Questo articolo descrive alcune di queste impostazioni.

Prima di iniziare

Profilo di base

I profili di base o personali usano WPA/WPA2 per proteggere la connessione Wi-Fi nei dispositivi. In genere, WPA/WPA2 viene utilizzato nelle reti domestiche o nelle reti personali. Puoi anche aggiungere una chiave già condivisa per autenticare la connessione.

  • Tipo di Wi-Fi: Seleziona Di base.

  • Nome Wi-Fi (SSID): abbreviazione di Service Set Identifier. Questo valore è il nome reale della rete wireless a cui si connettono i dispositivi. Tuttavia, gli utenti vedono solo il nome della connessione configurato quando scelgono la connessione.

  • Nome connessione: immettere un nome descrittivo per questa connessione Wi-Fi. Il testo immesso è il nome che gli utenti vedono quando esplorano le connessioni disponibili nel dispositivo. Immettere ad esempio ContosoWiFi.

  • Connettiti automaticamente quando sei nel raggio d'azione: quando Sì, i dispositivi si connettono automaticamente quando si trovano nel raggio di questa rete. Se No, i dispositivi non si connettono automaticamente.

    • Connettiti alla rete preferita, se disponibile: se i dispositivi si trovano nel raggio di una rete preferita, seleziona Sì per usare la rete preferita. Selezionare No per usare la rete Wi-Fi in questo profilo di configurazione.

      Ad esempio, è necessario creare una rete Wi-Fi ContosoCorp e usare ContosoCorp all'interno di questo profilo di configurazione. Anche una rete ContosoGuest Wi-Fi è nel raggio d'azione. Quando i dispositivi aziendali sono nel raggio d'azione, si desidera che si connettano automaticamente a ContosoCorp. In questo scenario, impostare la proprietà Connetti a una rete preferita, se disponibile , su No.

    • Connettiti a questa rete, anche quando non trasmette il suo SSID: seleziona Sì per connetterti automaticamente alla rete, anche quando la rete è nascosta. Ciò significa che il suo identificatore del set di servizi (SSID) non viene trasmesso pubblicamente. Selezionare No se non si desidera che il profilo di configurazione si connetta alla rete nascosta.

  • Limite connessioni a consumo: un amministratore può scegliere la modalità di misurazione del traffico di rete. Le applicazioni possono quindi modificare il comportamento del traffico di rete in base a questa impostazione. Le opzioni disponibili sono:

    • Senza restrizioni: impostazione predefinita. La connessione non è a consumo e non ci sono restrizioni al traffico.
    • Fisso: utilizzare questa opzione se la rete è configurata con un limite fisso per il traffico di rete. Dopo il raggiungimento di questo limite, l'accesso alla rete è vietato.
    • Variabile: utilizza questa opzione se il traffico di rete viene addebitato per byte (costo per byte).

  • Tipo di sicurezza wireless: immettere il protocollo di sicurezza utilizzato per autenticare i dispositivi nella rete. Le opzioni disponibili sono:

    • Aperto (nessuna autenticazione): utilizza questa opzione solo se la rete non è protetta.

    • WPA/WPA2-Personal: un'opzione più sicura ed è comunemente utilizzata per la connettività Wi-Fi. Per una maggiore sicurezza, puoi anche immettere una password per una chiave già condivisa o una chiave di rete.

      • Chiave precondivisa (PSK): facoltativa. Visualizzato quando si sceglie WPA/WPA2-Personale come tipo di protezione. Quando la rete dell'organizzazione è impostata o configurata, viene configurata anche una password o una chiave di rete. Immettere la password o la chiave di rete come valore PSK. Immettere una stringa ASCII di 8-63 caratteri o usare 64 caratteri esadecimali.

        Importante

        La PSK è la stessa per tutti i dispositivi a cui viene assegnato il profilo. Se la chiave viene compromessa, può essere usata da qualsiasi dispositivo per connettersi alla rete Wi-Fi. Mantieni i tuoi PSK al sicuro per evitare l'accesso non autorizzato.

  • Impostazioni proxy aziendali: selezionare questa opzione per usare le impostazioni proxy all'interno dell'organizzazione. Le opzioni disponibili sono:

    • Nessuna: non vengono configurate impostazioni proxy.

    • Configurazione manuale: immettere l'indirizzo IP del server proxy e il relativo numero di porta.

    • Configurazione automatica: immettere l'URL che punta a uno script di configurazione automatica del proxy (PAC). Immettere ad esempio http://proxy.contoso.com/proxy.pac.

      Per altre informazioni sui file PAC, vedere File di configurazione automatica del proxy (PAC) (apre un sito non Microsoft).

Profilo aziendale

I profili aziendali utilizzano il protocollo EAP (Extensible Authentication Protocol) per autenticare le connessioni Wi-Fi. EAP viene spesso utilizzato dalle aziende, in quanto è possibile utilizzare i certificati per autenticare e proteggere le connessioni. Inoltre, configurare altre opzioni di sicurezza.

  • Tipo di Wi-Fi: Seleziona Enterprise.

  • Nome Wi-Fi (SSID): abbreviazione di Service Set Identifier. Questo valore è il nome reale della rete wireless a cui si connettono i dispositivi. Tuttavia, gli utenti vedono solo il nome della connessione configurato quando scelgono la connessione.

  • Nome connessione: immettere un nome descrittivo per questa connessione Wi-Fi. Il testo immesso è il nome che gli utenti vedono quando esplorano le connessioni disponibili nel dispositivo. Immettere ad esempio ContosoWiFi.

  • Connettiti automaticamente quando sei nel raggio d'azione: quando Sì, i dispositivi si connettono automaticamente quando si trovano nel raggio di questa rete. Se No, i dispositivi non si connettono automaticamente.

    • Connettiti alla rete preferita, se disponibile: se i dispositivi si trovano nel raggio di una rete preferita, seleziona Sì per usare la rete preferita. Selezionare No per usare la rete Wi-Fi in questo profilo di configurazione.

      Ad esempio, è necessario creare una rete Wi-Fi ContosoCorp e usare ContosoCorp all'interno di questo profilo di configurazione. Anche una rete ContosoGuest Wi-Fi è nel raggio d'azione. Quando i dispositivi aziendali sono nel raggio d'azione, si desidera che si connettano automaticamente a ContosoCorp. In questo scenario, impostare la proprietà Connetti a una rete preferita, se disponibile , su No.

  • Connettiti a questa rete, anche quando non trasmette il suo SSID: seleziona Sì per il profilo di configurazione per connetterti automaticamente alla rete, anche quando la rete è nascosta (ovvero, il suo SSID non viene trasmesso pubblicamente). Selezionare No se non si desidera che il profilo di configurazione si connetta alla rete nascosta.

  • Limite connessioni a consumo: un amministratore può scegliere la modalità di misurazione del traffico di rete. Le applicazioni possono quindi modificare il comportamento del traffico di rete in base a questa impostazione. Le opzioni disponibili sono:

    • Senza restrizioni: impostazione predefinita. La connessione non è a consumo e non ci sono restrizioni al traffico.
    • Fisso: utilizzare questa opzione se la rete è configurata con un limite fisso per il traffico di rete. Dopo il raggiungimento di questo limite, l'accesso alla rete è vietato.
    • Variabile: utilizza questa opzione se il traffico di rete ha un costo per byte.

  • Modalità di autenticazione: seleziona la modalità di autenticazione del profilo Wi-Fi con il server Wi-Fi. Le opzioni disponibili sono:

    • Non configurato: Intune non modifica o aggiorna questa impostazione. Per impostazione predefinita, viene utilizzata l'autenticazione dell'utente o del computer .
    • Utente: l'account utente connesso al dispositivo esegue l'autenticazione nella rete Wi-Fi.
    • Computer: le credenziali del dispositivo vengono autenticate nella rete Wi-Fi.
    • Utente o computer: quando un utente ha effettuato l'accesso al dispositivo, le credenziali utente vengono autenticate nella rete Wi-Fi. Se nessun utente è connesso, le credenziali del dispositivo vengono autenticate.
    • Guest: nessuna credenziale è associata alla rete Wi-Fi. L'autenticazione è aperta o gestita esternamente, ad esempio tramite una pagina Web.

  • Memorizza le credenziali a ogni accesso: selezionare questa opzione per memorizzare nella cache le credenziali utente o se gli utenti devono immetterle ogni volta che si connettono al Wi-Fi. Le opzioni disponibili sono:

    • Non configurato: Intune non modifica o aggiorna questa impostazione. Per impostazione predefinita, il sistema operativo potrebbe abilitare questa funzionalità e memorizzare nella cache le credenziali.
    • Abilita: memorizza nella cache le credenziali utente immesse la prima volta che gli utenti si connettono alla rete Wi-Fi. Le credenziali memorizzate nella cache vengono usate per le connessioni future e gli utenti non devono immetterle di nuovo.
    • Disabilita: le credenziali utente non vengono memorizzate o memorizzate nella cache. Quando i dispositivi si connettono al Wi-Fi, gli utenti devono immettere ogni volta le credenziali.

  • Periodo di autenticazione: immettere il numero di secondi che i dispositivi devono attendere dopo il tentativo di autenticazione, da 1 a 3600. Se il dispositivo non si connette entro l'orario di accesso, l'autenticazione non riesce. Se si lascia vuoto o vuoto questo valore, 18 vengono usati i secondi.

  • Periodo di ritardo del tentativo di autenticazione: immettere il numero di secondi tra un tentativo di autenticazione non riuscito e il tentativo di autenticazione successivo, da 1 a 3600. Se si lascia vuoto o vuoto questo valore, 1 viene usato secondo.

  • Periodo di inizio: immettere il numero di secondi di attesa prima di inviare un messaggio EAPOL-Start, da 1 a 3600. Se si lascia vuoto o vuoto questo valore, 5 vengono usati i secondi.

  • Avvio EAPOL massimo: immettere il numero di messaggi EAPOL-Start, da 1 a 100. Se si lascia vuoto questo valore, viene inviato un massimo di 3 messaggi.

  • Numero massimo di errori di autenticazione: immettere il numero massimo di errori di autenticazione per questo set di credenziali da autenticare, da 1 a 100. Se si lascia vuoto questo valore, 1 viene utilizzato il tentativo.

  • Single Sign-on (SSO): consente di configurare l'accesso Single Sign-on (SSO), in cui le credenziali vengono condivise per l'accesso al computer e alla rete Wi-Fi. Le opzioni disponibili sono:

    • Disabilita: disabilita il comportamento SSO. L'utente deve eseguire l'autenticazione alla rete separatamente.
    • Abilita prima che l'utente acceda al dispositivo: usare SSO per eseguire l'autenticazione nella rete appena prima del processo di accesso dell'utente.
    • Abilita dopo che l'utente ha effettuato l'accesso al dispositivo: usare SSO per eseguire l'autenticazione nella rete subito dopo il completamento del processo di accesso dell'utente.
    • Tempo massimo per l'autenticazione prima del timeout: immettere il numero massimo di secondi di attesa prima dell'autenticazione nella rete, da 1 a 120 secondi.
    • Consenti a Windows di richiedere all'utente credenziali di autenticazione aggiuntive: Sì consente al sistema Windows di richiedere all'utente altre credenziali, se il metodo di autenticazione lo richiede. Selezionare No per nascondere queste richieste.

  • Abilita memorizzazione nella cache della chiave master pairwise (PMK): selezionare Sì per memorizzare nella cache la chiave PMK utilizzata nell'autenticazione. Questa memorizzazione nella cache consente in genere di completare più rapidamente l'autenticazione alla rete. Selezionare No per forzare l'handshake di autenticazione quando ci si connette ogni volta alla rete Wi-Fi.

    • Tempo massimo di archiviazione di una chiave master nella cache: immettere il numero di minuti di archiviazione di una chiave master a coppie (PMK) nella cache, da 5 a 1440 minuti.
    • Numero massimo di chiavi PMK archiviate nella cache: immettere il numero di chiavi archiviate nella cache, da 1 a 255.
    • Abilita preautenticazione: la preautenticazione consente al profilo di autenticarsi a tutti i punti di accesso per la rete nel profilo prima di connettersi. Quando i dispositivi si spostano tra punti di accesso, la preautenticazione riconnette più rapidamente l'utente o i dispositivi. Selezionare Sì per il profilo per eseguire l'autenticazione a tutti i punti di accesso per questa rete che si trovano nel raggio d'azione. Selezionare No per richiedere all'utente o al dispositivo di eseguire l'autenticazione in ciascun punto di accesso separatamente.
    • Numero massimo di tentativi di preautenticazione: immettere il numero di tentativi di preautenticazione, da 1 a 16.

  • Tipo EAP: per autenticare le connessioni wireless protette, selezionare il tipo di protocollo EAP (Extensible Authentication Protocol). Le opzioni disponibili sono:

    • EAP-SIM

    • EAP-TLS: immettere anche:

      • Nomi dei server dei certificati: immettere uno o più nomi comuni utilizzati nei certificati emessi dall'autorità di certificazione (CA) attendibile. Se si immettono queste informazioni, è possibile ignorare la finestra di dialogo di attendibilità dinamica visualizzata nei dispositivi degli utenti quando si connettono a questa rete Wi-Fi.

      • Certificati radice per la convalida del server: selezionare uno o più profili di certificati radice attendibili esistenti. Quando il client si connette alla rete, questi certificati vengono utilizzati per stabilire una catena di attendibilità con il server. Se il server di autenticazione usa un certificato pubblico già installato nel dispositivo, non è necessario includere un certificato radice.

      • Metodo di autenticazione: selezionare il metodo di autenticazione usato dai client del dispositivo. Le opzioni disponibili sono:

        • Certificato SCEP: selezionare il profilo del certificato client SCEP distribuito anche nel dispositivo. Questo certificato è l'identità presentata dal dispositivo al server per autenticare la connessione.
        • Certificato PKCS: selezionare il profilo del certificato client PKCS e il certificato radice attendibile distribuiti anche nel dispositivo. Il certificato client è l'identità presentata dal dispositivo al server per autenticare la connessione.
        • Credenziali derivate: usare un certificato derivato dalla smart card di un utente. Per altre informazioni, vedere Usare le credenziali derivate in Microsoft Intune.

    • EAP-TTLS: immettere anche:

      • Nomi dei server dei certificati: immettere uno o più nomi comuni utilizzati nei certificati emessi dall'autorità di certificazione (CA) attendibile. Se si immettono queste informazioni, è possibile ignorare la finestra di dialogo di attendibilità dinamica visualizzata nei dispositivi degli utenti quando si connettono a questa rete Wi-Fi.

      • Certificati radice per la convalida del server: selezionare uno o più profili di certificati radice attendibili esistenti. Quando il client si connette alla rete, questi certificati vengono utilizzati per stabilire una catena di attendibilità con il server. Se il server di autenticazione usa un certificato pubblico già installato nel dispositivo, non è necessario includere un certificato radice.

      • Metodo di autenticazione: selezionare il metodo di autenticazione usato dai client del dispositivo. Le opzioni disponibili sono:

        • Nome utente e password: Richiedere all'utente un nome utente e una password per autenticare la connessione. Immetti anche:

          • Metodo non EAP (identità interna): scegliere la modalità di autenticazione della connessione. Assicurarsi di scegliere lo stesso protocollo utilizzato dalla rete Wi-Fi.

            Opzioni: Password non crittografata (PAP),Challenge Handshake (CHAP),Microsoft CHAP (MS-CHAP) e Microsoft CHAP versione 2 (MS-CHAP v2)

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Certificato SCEP: selezionare il profilo del certificato client SCEP distribuito anche nel dispositivo. Questo certificato è l'identità presentata dal dispositivo al server per autenticare la connessione.

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Certificato PKCS: selezionare il profilo del certificato client PKCS e il certificato radice attendibile distribuiti anche nel dispositivo. Il certificato client è l'identità presentata dal dispositivo al server per autenticare la connessione.

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Credenziali derivate: usare un certificato derivato dalla smart card di un utente. Per altre informazioni, vedere Usare le credenziali derivate in Microsoft Intune.

    • EAP protetto (PEAP): immettere anche:

      • Nomi dei server dei certificati: immettere uno o più nomi comuni utilizzati nei certificati emessi dall'autorità di certificazione (CA) attendibile. Se si immettono queste informazioni, è possibile ignorare la finestra di dialogo di attendibilità dinamica visualizzata nei dispositivi degli utenti quando si connettono a questa rete Wi-Fi.

      • Certificati radice per la convalida del server: selezionare uno o più profili di certificati radice attendibili esistenti. Quando il client si connette alla rete, questi certificati vengono utilizzati per stabilire una catena di attendibilità con il server. Se il server di autenticazione usa un certificato pubblico già installato nel dispositivo, non è necessario includere un certificato radice.

      • Eseguire la convalida del server: se impostato su Sì, nella fase 1 di negoziazione PEAP, i dispositivi convalidano il certificato e verificano il server. Selezionare No per bloccare o impedire la convalida. Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

        Se si seleziona Sì, configura anche:

        • Disabilitare le richieste dell'utente per la convalida del server: se impostato su Sì, nella fase 1 della negoziazione PEAP le richieste dell'utente di autorizzare nuovi server PEAP per le autorità di certificazione attendibili non vengono visualizzate. Selezionare No per visualizzare i prompt. Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

      • Richiedi binding crittografico: Sì impedisce le connessioni ai server PEAP che non utilizzano il cryptobinding durante la negoziazione PEAP. No , non richiede la cryptobinding. Se impostata su Non configurato, Intune non modifica o aggiorna questa impostazione.

      • Metodo di autenticazione: selezionare il metodo di autenticazione usato dai client del dispositivo. Le opzioni disponibili sono:

        • Nome utente e password: Richiedere all'utente un nome utente e una password per autenticare la connessione. Immetti anche:

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Certificato SCEP: selezionare il profilo del certificato client SCEP distribuito anche nel dispositivo. Questo certificato è l'identità presentata dal dispositivo al server per autenticare la connessione.

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Certificato PKCS: selezionare il profilo del certificato client PKCS e il certificato radice attendibile distribuiti anche nel dispositivo. Il certificato client è l'identità presentata dal dispositivo al server per autenticare la connessione.

          • Privacy delle identità (identità esterna): immettere il testo inviato in risposta a una richiesta di identità EAP. Il testo può essere qualsiasi valore. Durante l'autenticazione, questa identità anonima viene inizialmente inviata. Quindi, la vera identificazione viene inviata in un tunnel sicuro.

        • Credenziali derivate: usare un certificato derivato dalla smart card di un utente. Per altre informazioni, vedere Usare le credenziali derivate in Microsoft Intune.

  • Impostazioni proxy aziendale: selezionare questa opzione per usare le impostazioni proxy all'interno dell'organizzazione. Le opzioni disponibili sono:

    • Nessuna: non vengono configurate impostazioni proxy.

    • Configurazione manuale: immettere l'indirizzo IP del server proxy e il relativo numero di porta.

    • Configurazione automatica: immettere l'URL che punta a uno script di configurazione automatica del proxy (PAC). Immettere ad esempio http://proxy.contoso.com/proxy.pac.

      Per altre informazioni sui file PAC, vedere File di configurazione automatica del proxy (PAC) (apre un sito non Microsoft).

  • Forza Wi-Fi profilo a essere conforme allo Standard FIPS (Federal Information Processing ): selezionare Sì durante la convalida in base allo standard FIPS 140-2. Questo standard è richiesto per tutte le agenzie governative federali degli Stati Uniti che utilizzano sistemi di sicurezza basati sulla crittografia per proteggere le informazioni sensibili ma non classificate archiviate digitalmente. Seleziona No se non sei conforme a FIPS.

Utilizzare un file di impostazioni importato

Per le impostazioni non disponibili in Intune, è possibile esportare Wi-Fi impostazioni da un altro dispositivo Windows. Questa esportazione crea un file XML con tutte le impostazioni. Quindi, importare questo file in Intune e usarlo come profilo Wi-Fi. Per informazioni sull'importazione del file XML, vedere Esportare e importare Wi-Fi impostazioni per dispositivi Windows.

  • Last updated on