Cisco ASA5505 8.2（2）Windows 2003 AD服务器
我们要configuration我们的ASA（10.1.1.1）通过Windows AD控制器（10.1.1.200）上的RADIUS对远程VPN用户进行身份validation
我们在ASA上有以下条目：
aaa-server SYSCON-RADIUS protocol radius aaa-server SYSCON-RADIUS (inside) host 10.1.1.200 key ***** radius-common-pw ***** 当我使用帐户COMPANY \ usernametestinglogin时，我看到用户凭证在安全日志中是正确的，但是我在windows系统日志中得到以下信息：
User COMPANY\myusername was denied access. Fully-Qualified-User-Name = company.com/CorpUsers/AU/My Name NAS-IP-Address = 10.1.1.1 NAS-Identifier = <not present> Called-Station-Identifier = <not present> Calling-Station-Identifier = <not present> Client-Friendly-Name = ASA5510 Client-IP-Address = 10.1.1.1 NAS-Port-Type = Virtual NAS-Port = 7 Proxy-Policy-Name = Use Windows authentication for all users Authentication-Provider = Windows Authentication-Server = <undetermined> Policy-Name = VPN Authentication Authentication-Type = PAP EAP-Type = <undetermined> Reason-Code = 66 Reason = The user attempted to use an authentication method that is not enabled on the matching remote access policy.
我的假设是，ASA使用PAP身份validation，而不是MS-CHAP v2; 证书已被确认，正在使用正确的远程访问策略，但是此策略设置为仅允许MS-CHAP2。 我们需要在ASA上做些什么使它成为我们的MS-CHAP v2？ 在ADSM GUI中“Microsoft CHAP v2兼容”checkbox已启用，但我不知道这在configuration中对应于什么。
[更新]我试图将以下内容添加到隧道组：
tunnel-group MYTUNNEL-AD ppp-attributes no authentication pap no authentication chap no authentication ms-chap-v1 authentication ms-chap-v2
但是“no authentication pap”命令不会做任何事情，并且当我运行show tunnel-group …并且ASA仍在使用PAP时不显示。
最终certificate，testinglogin函数忽略使用MSCHAP2的指令，并且将始终使用PAP。 即使testing总是失败，实际生产中的testing也能正常工作。
尝试在configuration隧道组ipsec属性的同时键入“password-management”，尝试在隧道组上启用密码pipe理。