U bent van plan om 802.1X-authenticatie voor bekabelde toegang te implementeren met behulp van NPS. U wilt geen clientcertificaten implementeren en u wilt dat gebruikers authenticeren met hun AD-referenties, terwijl de authenticatie wordt beschermd binnen een TLS-tunnel. Wat moet u configureren op de NPS?

De juiste optie is om PEAP (Protected Extensible Authentication Protocol) te configureren met EAP-MSCHAPv2 en een servercertificaat met de Server Authentication EKU (Extended Key Usage) op de NPS te installeren dat door clients wordt vertrouwd. PEAP-MSCHAPv2 voldoet aan de vereisten: het gebruikt AD-referenties voor authenticatie en creëert een TLS-tunnel om de authenticatie te beschermen, zonder dat clientcertificaten nodig zijn. Het servercertificaat is essentieel voor het opzetten van de TLS-tunnel en het verifiëren van de NPS-server. EAP-TLS vereist clientcertificaten, wat de vraag expliciet uitsluit. PEAP-TLS is geen standaard EAP-methode; PEAP gebruikt doorgaans een innerlijke methode zoals EAP-MSCHAPv2 of EAP-TLS. De bewering dat er geen certificaten nodig zijn bij gebruik van wachtwoorden is onjuist voor een beschermde TLS-tunnel. EAP-MD5 biedt geen beschermde tunnel en is kwetsbaar voor aanvallen, waardoor het ongeschikt is voor veilige authenticatie.