只是一个简单的问题，希望能够快速回答。 我正在学习我的MCSA，我对RADIUS有点困惑。 目前我在家庭服务器实验室有一台设置了RRAS和NPS的VPN服务器。 如果VPN服务器是当前正在处理连接和networking请求的服务器，那么这是否使VPN服务器成为RADIUS服务器？ 或者DC是RADIUS服务器，因为NPS使用DC上的Active Directory来validation请求？ 还是RADIUS一个全authentication的概念？ 域控制器上安装了AD，DHCP和DNS。 VPN服务器只安装了RRAS和NPS。 我正在阅读的书不太清楚，或者我只是不正确的阅读。
当试图添加一个RADIUS客户端到Windows NPS时，它需要一个IP地址。 如果这个IP地址是已知的呢？ 即使用基于云的WAP与WPA企业authentication？ 即CloudTrax，Ubiquiti Unifi等…
我目前在使用我们的思科设备的RADIUS进行身份validation方面存在问题…似乎部分工作，但我错过了某些东西，希望有些专家可以指出我正确的方向。 我有一个ASA 5510和VPN上configuration的。 我将Windows Server 2008 R2设置为充当RADIUS服务器的NPSangular色（仅使用NAP等，只是为RADIUS设置）。 我最近设置VPN，它似乎工作正常，但现在我想configuration它，以便我可以使用我的AD凭据login到我们的交换机以及，但我不能得到它分为两个… for实例中，所有域用户都可以使用VPN，但是只有NetworkGroup应该能够访问其他Cisco设备。 在RADIUS客户端下，我创build了一个名为VPN的客户端，它具有ASA上的内部接口的IP地址，思科的设备制造商和启用的IP地址。 我有一个名为Switch的客户端，我正在testing的交换机的IP地址，思科作为设备制造商和启用。 在“策略”>“连接请求策略”下，默认情况下，“仅对所有用户使用Windows身份validation”仅将date/时间限制作为条件，但允许随时访问设置下的身份validation提供程序 – 本地计算机和覆盖身份validation禁用。 我在这里添加了一个名为VPN（开放时间限制和IPv4地址条件）和一个名为Switch（具有开放时间限制和IPv4地址条件），认为这是所需要的，但在testing期间，我发现我可以禁用他们工作得很好……但从阅读我看，至less有一个政策是有效的。 我可以禁用默认的一个，但是当我使用相同的凭据设置其他人之一，似乎并不需要，我不能从交换机login，我得到错误“访问被拒绝 – 使用键盘交互式身份validation。如果我启用默认的CR策略，它马上又会起作用……基本上，它似乎并不关心我是否有在每个设备的政策（也许我不应该？）。 在“策略”>“networking策略”下，我添加了两个策略，一个名为Switch，另一个名为VPN。 Switch策略设置为User Groups-Domain \ NetworkGroup。 在设置下我有： Cisco-AV-Pair值为shell：priv-lvl = 15。 扩展状态值为空白。 使用授予访问权限的访问权限。 具有未encryptionauthentication（PAP，SPAP）值的authentication方法。 午休强制执行，允许完全networking访问。 更新值为True的不合规客户端。 具有login值的服务types。 如果服务器在2分钟内达到50％，BAP的容量百分比值为“减less多重链接”。 我在testing中设置的一些设置，其他的默认设置。 VPN策略设置为User Groups-Domain \ DomainUsers。 在设置下我有： 忽略值为True的用户拨入属性。 使用授予访问权限的访问权限。 带有未encryptionauthentication（PAP，SPAP）或MS-CHAP v1或MS-CHAP v1或MS-CHAPV2值的身份validation方法。 午休强制执行，允许完全networking访问。 更新值为True的不合规客户端。 框架协议与PPP的价值。 带有框架值的服务types。 其中一些设置是不一样的，因为我已经来回尝试了几天不同的场景，所以我真的不知道是否有一些是必要的…我知道，如果我禁用那个在CR-Policy下的默认策略，我无法login到交换机…如果我禁用RADIUS客户端，我无法login到交换机（有道理），但如果我禁用交换机networking策略，它仍然让我login…假设它只是滚下来，从VPNnetworking策略，允许DomainUserslogin凭据，我也在该组… … 所以我努力争取的结果（抱歉这么长的问题，但尽可能地提供信息！）是，我希望DomainUsers AD组中的任何最终用户能够使用VPN并拨号但是不允许他们远程login我们的交换机并以相同的方式login。 我只想要NetworkGroup AD帐户能够login到那些。 […]
我试图在我的UniFi控制器（3.1.10）上实现WPA-Enterprise身份validation，而不需要客户端上的证书。 我的RADIUS服务器将是安装了NPSangular色的Windows Server 2012 R2。 我想要的只是我的设备（Macs + Android）通过使用AD帐户的AD帐户在Wi-Fi上进行authentication。 任何人都可以摆脱这种情况下的任何光？ 任何帮助深表感谢， 干杯! 编辑我试图设置这从@Nathan下面提到的 添加了RADIUS客户端http://i.stack.imgur.com/E4R9M.png 新增networking政策http://i.stack.imgur.com/M1N6r.png 从NPS的angular度来看，这看起来是正确的吗？
当通过WPA2 Enterprise和802.1x运行RADIUS时，希望访问networking的客户端必须提供有效的凭证。 但是，这并不能阻止恶意客户伪造有效的客户端MAC地址，从而获得对在networking上运行的MACauthentication服务的访问。 RADIUS协议是否阻止了这种情况的发生，使具有特定MAC的客户端保证在networking上保持唯一的MAC连接？
我使用本网站上的步骤设置了centos freeradius mysql与前端daloradius http://linuxdrops.com/install-freeradius-with-web-based-management-daloradius-on-centosrhel-debian-ubuntu/ 安装似乎没问题，我尝试了telneting并在交换机上传递用户名/密码。 问题是这将足够用于基于cisco交换机的macauthentication端口。 （只需通过在daloradius新用户页面的mac地址authentication上添加mac地址即可）。 （我是一个半径的新手）
一段时间以来，我一直在使用2008 R2作为我的Radius服务器，并且我有一个configuration为Radius客户端并工作正常的Cisco ASA FW。 我已经介绍了另一个Windows 2012 DC，并且还从NPS的书中直接configuration了相同的策略。 但是当我在ASA的ASDM中的AAA服务器组中进行testing时，我得到一个AAAvalidation错误。 我在ASA上完成了debugging半径，得到以下结果： 分组数据….. 半径：代码= 3（0x03） 半径：标识符= 176（0xB0） 半径：长度= 20（0x0014） 半径：vector：49E1FD50243A3E1FC620F4C4F030AC6B rad_procpkt：REJECT RADIUS_DELETE 2012年有没有什么东西需要重新configuration才能使Radius Client ASA正常工作。 Radius政策与2008 R2相同。 亲切的问候。
我有一个运行NPS的Windows 2008标准服务器。 在应用最新一轮更新（包括2012年4月KB931125（请参阅http://support.microsoft.com/kb/933430/ ）的根证书）之后，EAP身份validation由于格式错误而失败。 示例错误（安全/事件ID 6273），为简洁起见被截断： Authentication Details: Proxy Policy Name: Use Windows authentication for all users Network Policy Name: Wireless Access Authentication Provider: Windows Authentication Server: nps-host.corp.contoso.com Authentication Type: PEAP EAP Type: – Account Session Identifier: – Reason Code: 266 Reason: The message received was unexpected or badly formatted. NPS策略（无线接入）相应地configuration（对于约束/authentication方法） EAP Types: Microsoft: Protected […]
我在wifi上设置了802.1x，现在我想configurationdynamicvlan。 唯一的问题：AP（TP-Link射手C7 v2 W /股票固件）不支持vlans。 让我多看一些： networking图 。 这里的重要部分是：客户端 – >无线路由器 – >三层交换机 – > RADIUS。 在无线路由器（AP）的web-config中，我将其设置为wpa-enterprise并设置radius服务器。 像DHCP这样的networking设置由L3交换机控制。 这工作。 现在我想使用dynamicVLAN（freeRadius逻辑，AD组）。 我的交换机了解VLAN，但我的AP不。 如何将VLAN ID传递给交换机？ 因此，AP正在与RADIUS交谈，RADIUS响应AP; 这通过开关。 交换机甚至为客户端提供了一个IP，但它不知道RADIUS服务器提供的VSA。 我怎样才能做这个工作？
我们使用FreeRADIUS和MySQL数据库来validation用户身份。 我们遇到了MySQL数据库很慢的问题，导致最大的线程数量达到。 与此相关的问题是，当服务器由于没有线程可用而无法回答请求时，它将访问拒绝的响应发送给客户端。 我们的设备caching客户端连接，并定期检查服务器，看看他们是否应该仍然被允许或删除它们。 该设备的devise是，如果没有来自服务器的响应，并且客户端连接，它将保持连接。 问题是，当radius服务器处于其最大线程时，其默认答案是发送访问拒绝（通过数据包捕获进行validation），但是我们希望将默认行为更改为忽略请求（保持客户端连接） 。 我们现在已经解决了MySQL数据库的问题，但是我想将Access-Reject的默认设置改为忽略客户端的altogeather。 我已经做了研究，但没能find问题的答案。 提前致谢。