在域网络中集成802.1X认证，本质是将物理端口变为“带门禁的入口”，未通过AD核验的设备在二层即被阻断；需在交换机/AP配置RADIUS客户端（IP、密钥与NPS严格一致），开放UDP 1812/1813端口，NPS须正确配置监听网卡、msNPAllowDialin属性、证书信任链及PEAP策略，并通过GPO统一下发客户端策略，最后利用RADIUS属性（如Tunnel-Private-Group-ID、Filter-Id、Session-Timeout）实现动态VLAN分配、ACL控制与会话生命周期管理。
在域网络中集成802.1x认证，本质是把物理端口变成“带门禁的入口”——未通过ad身份核验的设备，连通路都没有。它不依赖ip层，直接在二层阻断非法接入，比单纯改wi-fi密码或mac白名单可靠得多。
让交换机/AP真正信任域控认证能力
接入设备（如华为S5700、Cisco Catalyst）不是自动认域控的，必须明确告诉它：“去哪找认证服务器、用什么密钥说话”。关键操作包括：
- 在交换机或AP上配置RADIUS客户端：填入NPS服务器的实际IP（别用主机名，除非正反向DNS全通），共享密钥必须与NPS中添加该设备时设置的完全一致
- 开放UDP 1812（认证）和1813（计费）端口，检查Windows防火墙或第三方安全软件是否拦截
- NPS服务器若有多网卡，需在“NPS控制台 → 属性 → 监听器”中手动勾选对外提供服务的网卡，否则可能只监听127.0.0.1
确保域账号和计算机都能被NPS正确识别
NPS不是简单查AD密码，它需要明确权限和属性支持：
- 域用户账户必须启用msNPAllowDialin属性（即在AD用户属性 → “拨入”选项卡中设为“允许访问”），否则NPS直接返回Access-Reject
- 若启用计算机证书认证（推荐），需部署AD CS并开启“计算机”证书模板的自动注册策略；NPS服务器须导入AD CS根证书，才能验证客户端证书链
- 使用PEAP-MS-CHAP v2时，NPS网络策略中必须勾选“验证用户身份 → Windows 用户账户”，且约束条件设为“仅限于域用户”，避免本地账号绕过
用组策略批量下发客户端配置，避免手工失误
每台Windows电脑都要配置802.1X参数，靠手动点选极易出错。统一通过GPO分发才是稳定做法：
- 路径：计算机配置 → 策略 → Windows设置 → 安全设置 → 802.1X身份验证策略
- 新建策略，绑定到“Domain Computers”安全组；选择“有线网络”模板，勾选“为计算机执行身份验证”并指定“使用计算机凭据”
- 启用“启动时进行身份验证”，确保设备开机即认证；测试期可保留“失败后回退到无认证模式”，正式上线前务必禁用
通过RADIUS属性实现动态网络权限分配
认证通过只是第一步，真正的管控在于“放行之后给什么权限”：
- 在NPS网络策略的“RADIUS属性”中，可下发Tunnel-Private-Group-ID（指定VLAN ID），让研发电脑进VLAN 100，访客手机进VLAN 200
- 添加Filter-Id属性可关联预定义ACL，限制某类设备只能访问HTTP/HTTPS，禁止SSH或数据库端口
- 设置Session-Timeout强制会话定期重认证，防止长期在线设备凭证过期仍保持连接
