Vous prévoyez de déployer l'authentification 802.1X pour l'accès filaire à l'aide de NPS. Vous ne souhaitez pas déployer de certificats clients et vous exigez que les utilisateurs s'authentifient avec leurs informations d'identification AD tout en protégeant l'authentification dans un tunnel TLS. Que devez-vous configurer sur le NPS ?

La bonne réponse est de configurer PEAP avec EAP-MSCHAPv2 et d'installer un certificat de serveur sur le NPS. PEAP (Protected Extensible Authentication Protocol) permet d'encapsuler EAP-MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) dans un tunnel TLS chiffré. Cela répond à l'exigence de protéger l'authentification dans un tunnel TLS tout en utilisant les informations d'identification Active Directory des utilisateurs. Un certificat de serveur est requis sur le NPS pour établir le tunnel TLS, et ce certificat doit être approuvé par les clients. EAP-TLS est incorrect car il nécessite des certificats clients, ce qui est explicitement exclu par la question. PEAP-TLS est également incorrect car il nécessite des certificats clients pour l'authentification mutuelle, et l'affirmation qu'aucun certificat n'est requis avec des mots de passe est fausse. EAP-MD5 est incorrect car bien qu'il utilise des mots de passe, il ne fournit pas de tunnel TLS pour protéger l'authentification, ce qui le rend vulnérable aux attaques par relecture et aux attaques de l'homme du milieu.