Вы планируете развернуть аутентификацию 802.1X для проводного доступа с использованием NPS. Вы не хотите развертывать клиентские сертификаты и требуете, чтобы пользователи аутентифицировались с помощью своих учетных данных AD, при этом защищая аутентификацию внутри туннеля TLS. Что вы должны настроить на NPS?

Правильный ответ — настройка PEAP с EAP-MSCHAPv2 и установка серверного сертификата (с EKU Server Authentication) на NPS, которому доверяют клиенты. PEAP (Protected Extensible Authentication Protocol) создает зашифрованный TLS-туннель, внутри которого EAP-MSCHAPv2 безопасно передает учетные данные пользователя Active Directory. Это соответствует требованиям задачи: аутентификация по учетным данным AD, защита внутри TLS-туннеля и отсутствие необходимости развертывания клиентских сертификатов. EAP-TLS требует развертывания клиентских сертификатов, что противоречит условию задачи. PEAP-TLS не является стандартным протоколом; PEAP обычно использует внутренний метод, такой как MSCHAPv2. EAP-MD5 не обеспечивает защищенный TLS-туннель и не считается безопасным для передачи паролей, так как он уязвим для атак.