Windows域环境集成802.1X需AD、NPS、网络设备与客户端协同，支持计算机证书+用户凭据双因素认证；通过AD CS自动颁发证书、NPS策略配置VLAN/RADIUS属性、组策略统一分发802.1X设置，并依日志逐层排查时间同步、防火墙、密钥一致性等故障。
在windows域环境中集成802.1x网络准入认证，核心是让终端设备（尤其是域成员计算机）在接入有线或无线网络前，通过radius服务器完成身份验证，确保只有合规、授权的设备能获得网络访问权限。这需要active directory、nps（网络策略服务器）、交换机/无线控制器与客户端配置协同工作。
域用户与计算机双因素认证支持
802.1X在域环境中可同时验证用户凭据（如登录域账号）和计算机证书（如域加入时自动注册的Machine Certificate），实现“人+机”双重准入。关键在于：启用计算机认证需在NPS策略中勾选“Microsoft: 安全通道”或“Microsoft: 智能卡或其他证书”，并确保域内所有客户端已部署有效的计算机证书（通常由AD CS自动颁发）。
- 域控需运行AD CS角色，启用“计算机”模板的自动注册策略（组策略路径：计算机配置 → 策略 → Windows设置 → 安全设置 → 公钥策略 → 自动证书申请策略）
- NPS服务器必须导入AD CS根证书，以验证客户端证书链有效性
- 若仅用用户名密码（EAP-MSCHAPv2），需在NPS中启用“不使用证书的身份验证方法”，但安全性低于证书方式
客户端（Windows 10/11）的自动802.1X配置分发
避免逐台手动配置，应通过组策略统一部署网络连接策略。重点配置项包括：启用“IEEE 802.1X身份验证”、指定EAP类型、设定“启动时进行身份验证”（对计算机认证生效）、以及允许失败后回退到无认证模式（测试期可开启，上线后建议禁用）。
- 路径：计算机配置 → 策略 → Windows设置 → 安全设置 → 802.1X身份验证策略
- 创建新策略，绑定到“Domain Computers”安全组；选择“有线网络”或“无线网络”场景模板
- 勾选“为计算机执行身份验证”，并指定“使用计算机凭据进行身份验证”
- 若需用户登录后再次认证（如访客账号），可额外配置“为用户执行身份验证”策略
NPS策略与RADIUS属性精准控制准入行为
NPS不仅是认证网关，更是策略执行点。通过RADIUS属性（如Filter-Id、Tunnel-Private-Group-ID、Session-Timeout）可动态下发VLAN、带宽限制、ACL或会话时长，实现基于角色的网络访问控制（RBAC）。
- 在NPS“网络策略”中，添加条件如“Windows组 = Domain Computers”或“Calling-Station-ID 匹配 MAC地址段”，区分设备类型
- 在“设置”页勾选“将用户分配给指定VLAN”，输入VLAN ID（需交换机启用RADIUS VLAN分配并信任NPS服务器）
- 添加RADIUS属性：Tunnel-Type=VLAN、Tunnel-Medium-Type=802, Tunnel-Private-Group-ID="100"，对应接入层交换机的VLAN 100
- 启用“记帐”功能，记录认证成功/失败日志，便于排查（日志路径：%SystemRoot%\System32\LogFiles\INAS\）
常见故障定位要点
认证失败往往不是单点问题，需从前端设备、传输路径到后端服务逐层验证。重点关注事件查看器中的“Security”和“Microsoft-Windows-NetworkAccessProtection-Client/Operational”日志，以及NPS服务器上的“Network Policy and Access Services”日志。
- 客户端提示“无法连接到此网络”或“身份验证失败”：检查系统时间是否与域控偏差＞5分钟（Kerberos要求），以及本地防火墙是否放行UDP 1812/1813
- NPS日志显示“拒绝访问”且原因码为67（用户被拒绝）：确认用户/计算机账户未被禁用，且所属组满足NPS策略条件
- 交换机侧show dot1x interface 显示“Authenticator state = HELD”：说明客户端未发起EAP-start，检查客户端802.1X策略是否启用、网卡驱动是否支持、物理链路是否UP
- 认证通过但未下发VLAN：确认交换机RADIUS服务器密钥与NPS一致，且已配置radius-server vsa send accounting
