NPS를 사용하여 유선 액세스용 802.1X 인증을 배포할 계획입니다. 클라이언트 인증서를 배포하고 싶지 않으며, TLS 터널 내에서 인증을 보호하면서 사용자가 AD 자격 증명으로 인증하도록 요구합니다. NPS에서 무엇을 구성해야 합니까?

정답은 EAP-MSCHAPv2와 함께 PEAP를 구성하고 클라이언트가 신뢰하는 서버 인증서(서버 인증 EKU 포함)를 NPS에 설치하는 것입니다. PEAP(Protected Extensible Authentication Protocol)는 TLS 터널을 생성하여 인증 프로세스를 보호합니다. 이 터널 내에서 MSCHAPv2(Microsoft Challenge Handshake Authentication Protocol version 2)는 클라이언트 인증서를 배포하지 않고도 사용자가 AD 자격 증명으로 인증할 수 있도록 합니다. 서버 인증서는 NPS 서버의 ID를 클라이언트에 증명하고 TLS 터널을 설정하는 데 필수적입니다. EAP-TLS는 클라이언트 인증서를 요구하므로 문제의 요구 사항과 일치하지 않습니다. PEAP-TLS는 존재하지 않는 프로토콜이며, PEAP가 암호를 사용하는 경우에도 서버 인증서는 TLS 터널을 위해 필요합니다. EAP-MD5는 보호된 암호 인증을 지원하지만, TLS 터널을 제공하지 않아 인증 프로세스를 보호하지 못합니다.