NPS kullanarak kablolu erişim için 802.1X kimlik doğrulaması dağıtmayı planlıyorsunuz. İstemci sertifikaları dağıtmak istemiyorsunuz ve kullanıcıların AD kimlik bilgileriyle kimlik doğrulaması yapmasını, aynı zamanda kimlik doğrulamasını bir TLS tüneli içinde korumasını istiyorsunuz. NPS üzerinde ne yapılandırmalısınız?

Doğru cevap, PEAP'yi EAP-MSCHAPv2 ile yapılandırmak ve istemciler tarafından güvenilen bir sunucu sertifikasını (Sunucu Kimlik Doğrulaması EKU ile) NPS üzerine yüklemektir. PEAP (Protected Extensible Authentication Protocol), bir TLS tüneli oluşturarak kimlik doğrulamasını korur ve bu tünel içinde EAP-MSCHAPv2 gibi daha zayıf bir kimlik doğrulama yöntemi güvenli bir şekilde kullanılabilir. Kullanıcılar AD kimlik bilgileriyle kimlik doğrulaması yapabilir ve istemci sertifikası dağıtımına gerek kalmaz. EAP-TLS, istemci sertifikaları gerektirdiğinden sorudaki "istemci sertifikaları dağıtmak istemiyorsunuz" koşulunu karşılamaz. PEAP-TLS diye bir protokol yoktur; PEAP, TLS'yi bir tünel olarak kullanır. EAP-MD5, güvenli değildir ve parola kimlik doğrulamasını korumak için bir TLS tüneli sağlamaz, bu da sorunun "kimlik doğrulamasını bir TLS tüneli içinde korumasını" gereksinimini karşılamaz.