مشکل در مورد پیاده سازی IEEE 802.1x

ا سلام؛
من داخل شبکه خودمان dot1x را برای منظور داینامیک vlan به همراه nap و ca راه اندازی کرده ام و سوئیچ ها تماما سیسکو 2960 برای اکسس و 3750 برای کر می باشد. برای AAA جواب گرفته و guest و redistricted را هم تنظیم کرده ایم.
اما سوال و مشکل اینجاست که وقتی کامپیوتری join به دامین است certificate لازم گرفته شده و احراز هویت چه با یوزر و چه با کامییوتر صورت می گیرد و در نتیجه پورت به vlan مورد نظر اختصاص داده می شود. اما زمانی که سیستم به دامین متصل نشده باشد فقط به vlan guest می رود و چون پورت به vlan مورد نظر اختصاص پیدا نمی کند پس ip مورد نظر را هم نمی گیرد تا بتوان ان را به دامین join کرد و وارد شبکه شود.
من تست کردم دیدم که اگر cretificate مورد نظر را از سرور ca برداشته و به داخل ان سیستم های کلاینت import کنیم مشکل بر طرف می شود و می تواند احراز هویت مورد نظر را انجام دهد.
!!!!!!!!! اما این راه حل درستی نیست که ما certificate را به صورت دستی پخش کنیم و اصلا کلا این کار خودکار سازی و متمرکز کردن احراز هویت و امنیت را زیر سوال می برد؟؟؟ اگر دوستان پیشنهادی دارند لطفا به همراه راه حل اجرای ان ذکر بفرمایید ممنون می شوم. با تشکر

احتمالا" NPS و NAP رو درست پیاده سازی نکردید که به این مشکل خوردین،
بسته به نیاز و امنیت سناریوهای بسیاری رو میشه پیاده کرد که نیاز به اطلاعات دقیقتری داره ولی بخشی از کلیات و ایرادات شما :

در [URL="http://en.wikipedia.org/wiki/X.509"]X.509[/URL] از لحاظ امنیتی تاکید شده در صورت استفاده نکردن از سرورهای trusted و selfsigned، سرور CA، دسترسی فیزیکی و منطقی به هیچ شبکه ای نداشته باشد و حتی نقل و انتقال certificate های آن با floppy disk انجام شه.
[URL]http://social.technet.microsoft.com/wiki/contents/articles/2900.offline-root-certification-authority-ca.aspx[/URL]
[URL]http://technet.microsoft.com/en-us/library/cc754877.aspx[/URL]

استاندارد 802.1x معمولا" برای اکسس پوینتها و دستگاههای بیسیم بکار میره و برای امنیت تا حد امکان access port های switch تون رو روی یک vlan خاص force کنید مگر اینکه سناریو و نیاز سازمان خلاف این باشه که معمولا" هم نیست.
[URL]http://technet.microsoft.com/en-us/library/dd283093(v=ws.10).aspx[/URL]


اینکه میگید اگر عضو دامین نباشه نمیتونه توی NAP احراز شه احتمالا" دلیلش اشتباه تنظیمات NPS و GP تونه که البته سناریویی غیر از این از امنیتتون کم میکنه .
[URL]http://technet.microsoft.com/en-us/library/cc754877.aspx[/URL]
[URL]http://technet.microsoft.com/en-us/library/cc731242(v=ws.10).aspx[/URL]
[URL]http://technet.microsoft.com/en-us/library/cc772491.aspx[/URL]
[URL]http://technet.microsoft.com/en-us/library/8c3c4f91-6601-42ec-9cc2-26f36897ab06[/URL]
اگه جزئیات بیشتری بدین میشه دقیقتر حرف زد،