Você planeja implantar a autenticação 802.1X para acesso com fio usando NPS. Você não quer implantar certificados de cliente e exige que os usuários se autentiquem com suas credenciais do AD enquanto protege a autenticação dentro de um túnel TLS. O que você deve configurar no NPS?

A opção correta é configurar PEAP com EAP-MSCHAPv2 e instalar um certificado de servidor no NPS. O PEAP (Protected Extensible Authentication Protocol) cria um túnel TLS para proteger a autenticação, e o EAP-MSCHAPv2 permite que os usuários se autentiquem com suas credenciais do Active Directory sem a necessidade de certificados de cliente. O certificado de servidor com a EKU (Enhanced Key Usage) de Autenticação de Servidor é essencial para que os clientes confiem no NPS e estabeleçam o túnel TLS. As outras opções estão incorretas porque: EAP-TLS exige certificados de cliente, o que vai contra o requisito de não implantá-los. PEAP-TLS ainda requer certificados, mesmo que as senhas sejam usadas, e é uma variação do PEAP que geralmente envolve certificados de cliente. EAP-MD5 é um método de autenticação fraco e não fornece a proteção de túnel TLS necessária para proteger as senhas.