Sie planen, die 802.1X-Authentifizierung für den kabelgebundenen Zugriff mithilfe von NPS bereitzustellen. Sie möchten keine Client-Zertifikate bereitstellen und verlangen, dass sich Benutzer mit ihren AD-Anmeldeinformationen authentifizieren, während die Authentifizierung innerhalb eines TLS-Tunnels geschützt wird. Was sollten Sie auf dem NPS konfigurieren?

Die korrekte Option ist, PEAP mit EAP-MSCHAPv2 zu konfigurieren und ein Serverzertifikat (mit Serverauthentifizierungs-EKU) auf dem NPS zu installieren, dem die Clients vertrauen. PEAP (Protected Extensible Authentication Protocol) erstellt einen TLS-Tunnel, um die Authentifizierung zu schützen, und EAP-MSCHAPv2 ermöglicht die Authentifizierung mit Benutzeranmeldeinformationen, ohne dass Client-Zertifikate erforderlich sind. Das Serverzertifikat ist für die Einrichtung des TLS-Tunnels unerlässlich, um die Identität des Servers gegenüber den Clients zu bestätigen. EAP-TLS erfordert Client-Zertifikate, was der Anforderung widerspricht, keine Client-Zertifikate bereitzustellen. PEAP-TLS erfordert ebenfalls Client-Zertifikate, und die Aussage, dass keine Zertifikate erforderlich sind, wenn Passwörter verwendet werden, ist falsch. EAP-MD5 ist eine ältere, unsichere Methode, die keine geschützte Passwortauthentifizierung bietet und anfällig für Angriffe ist.