Windows域环境下实现802.1X认证需部署NPS作为RADIUS服务器，配置交换机/AC指向NPS的IP并匹配密钥，开放UDP 1812/1813端口，绑定监听网卡，启用域用户msNPAllowDialin属性，并在NPS策略中正确设置PEAP-MS-CHAP v2或EAP-TLS条件及顺序。
域环境里怎么让 802.1X 认证走 Active Directory 用户凭证
直接说结论：windows 域环境下实现 802.1x 准入，核心不是“能不能用 ad 账号”，而是“能否让交换机/无线控制器把 eap 请求正确转发给域内的 nps（网络策略服务器）”，且客户端能完成 eap-tls 或 peap-ms-chap v2 握手。nps 是 windows server 内置角色，必须启用并配置为 radius 服务器，不能只靠域控本身处理认证流量。
NPS 服务必须绑定到域控制器或成员服务器，且启用 RADIUS 端口
NPS 默认监听 UDP 1812（认证）和 1813（计费），但很多管理员忽略防火墙放行和监听地址绑定问题：
- 安装
NPS角色后，需在“RADIUS 客户端和服务器”节点手动添加交换机/AC 设备为 RADIUS 客户端，填入其 IP 和共享密钥——密钥必须与设备侧radius-server key配置完全一致 - 检查
netsh firewall show state或 Windows Defender 防火墙规则，确保入站允许 UDP 1812/1813；若服务器启用了多网卡，需在 NPS 属性 → “监听器”中显式勾选对应网卡，否则可能只监听 127.0.0.1 - 域用户账号必须启用
msNPAllowDialin属性（即“通过远程访问权限”设为“允许访问”），否则 NPS 会直接拒绝，日志中报错Access-Reject: User not allowed to dial in
客户端证书或域凭据必须匹配 NPS 的网络策略条件
常见失败不是连不上，而是认证通过前就被策略拦截。关键看 NPS 中“网络策略”的条件设置：
- 若用
PEAP-MS-CHAP v2（最常用），策略中必须勾选“验证用户身份”→“Windows 用户账户”，且“约束”里选“仅限于域用户”，否则本地管理员账号也可能意外通过 - 若用
EAP-TLS，客户端证书的Subject Alternative Name必须含 UPN（如user@domain.com），且 NPS 策略中要启用“使用证书中的用户主体名称 (UPN) 进行授权” - 策略顺序很重要：NPS 按自上而下匹配，第一条匹配即执行。建议把最具体的策略（如某部门 VLAN 分配）放前面，通用策略（如默认拒绝）放最后
交换机侧 radius-server 配置必须指向 NPS，且 EAP 封装方式要匹配
思科/华为/H3C 设备配置差异大，但共性错误集中在两点：
- radius-server host 地址写成域控 DNS 名但未配置反向 DNS，导致设备解析失败；务必用 NPS 服务器的实际 IP，或确保设备能正反向解析该主机名
- 未启用
dot1x authentication或aaa authentication dot1x default group radius，导致 802.1X 流量根本没送到 RADIUS - 华为设备需额外配置
dot1x authentication-method eap，否则默认走 PAP，而 NPS 不支持 PAP 认证
调试时抓包看 EAP-Identity-Request 是否发出、RADIUS Access-Request 是否到达 NPS 服务器的 1812 端口，比反复改策略更有效。NPS 日志（事件查看器 → Applications and Services Logs → Microsoft → Windows -> Network Policy Server）里每条请求都有详细状态码，比如 242 表示用户被策略拒绝，240 表示共享密钥错误——这些比客户端弹窗提示准确得多。
