远程访问身份验证方法.docxVIP

引用：/zh-cn/library/cc732307(WS.10).aspx 远程访问身份验证方法 应用到: Windows Server 2008  HYPERLINK /zh-cn/library/cc770934(WS.10).aspx 比较身份验证方法  HYPERLINK /zh-cn/library/cc772110(WS.10).aspx EAP  HYPERLINK /zh-cn/library/cc731462(WS.10).aspx MS-CHAP v2  HYPERLINK /zh-cn/library/cc730619(WS.10).aspx CHAP  HYPERLINK /zh-cn/library/cc731697(WS.10).aspx PAP  HYPERLINK /zh-cn/library/cc753181(WS.10).aspx 未经身份验证的访问 比较身份验证方法 应用到: Windows Server 2008 PPP 身份验证协议 Windows?Server??2008 中的远程访问支持下表中列出的点对点协议 (PPP) 身份验证协议。 ? 协议 说明 安全级别 PAP（密码身份验证协议）使用纯文本密码。如果远程访问客户端和远程访问服务器无法协商更安全的验证形式，则通常使用 PAP。最不安全的身份验证协议。 不抵御重播攻击、远程客户端模拟和远程服务器模拟。CHAP（质询握手身份验证协议）一种质询-响应身份验证协议，使用行业标准的 Message Digest?5 (MD5) 哈希方案来对响应加密。优于 PAP 的是不会通过 PPP 链路发送密码。 要求使用纯文本版本的密码来验证质询响应。 不抵御远程服务器模拟。MS-CHAP v2（Microsoft 质询握手身份验证协议第 2 版）MS-CHAP 的升级。 提供双向身份验证，也称为相互身份验证。远程访问客户端收到其拨入的远程访问服务器有权访问用户密码的验证。安全性强于 CHAP。EAP（可扩展的身份验证协议）允许使用身份验证方案（称为 EAP 类型）对远程访问连接进行随意身份验证。可以最灵活地改变身份验证，安全性最强。 EAP 应用到: Windows Server 2008 任意身份验证机制可以通过可扩展的身份验证协议 (EAP) 对远程访问连接进行身份验证。要使用的确切身份验证方案由远程访问客户端与身份验证器（远程访问服务器或远程身份验证拨入用户服务 [RADIUS] 服务器）进行??商。默认情况下，“路由和远程访问”包含对 EAP-TLS 的支持。可以将其他 EAP 模块插入运行“路由和远程访问”的服务器，以提供其他 EAP 方法。 EAP 允许在远程访问客户端与身份验证器之间进行开放式对话。对话包括身份验证器对身份验证信息的请求以及来自远程访问客户端的响应。例如，EAP 与安全令牌卡一起使用时，身份验证器可以单独在远程访问客户端中查询名称、PIN 和卡令牌值。随着每个查询的问答，远程访问客户端进入另一个身份验证级别。所有问题均得到满意的解答后，远程访问客户端即完成身份验证。 EAP 身份验证方案称为 EAP 类型。只有远程访问客户端与身份验证器支持相同的 EAP 类型时，才能成功地进行身份验证。 EAP-TLS EAP 传输层安全 (EAP-TLS) 是在基于证书的安全环境中使用的 EAP 类型。如果使用智能卡进行远程访问身份验证，必须使用 EAP-TLS 身份验证方法。EAP-TLS 消息交换在远程访问客户端与身份验证器之间提供相互身份验证、加密方法协商以及加密密钥确定。EAP-TLS 提供最强大的身份验证方法和密钥确定方法。 只有运行“路由和远程访问”的服务器、配置为使用 Windows 身份验证或 RADIUS 的服务器以及作为域成员的服务器支持 EAP-TLS。运行独立服务器的远程访问服务器或作为工作组成员的远程访问服务器不支持 EAP-TLS。 EAP-RADIUS EAP-RADIUS 不是 EAP 类型，而是通过身份验证器将任意 EAP 类型的 EAP 消息传递给 RADIUS 服务器进行身份验证。例如，对于配置为进行 RADIUS 身份验证的远程访问服务器，在远程访问客户端与远程访问服务器之间发送的 EAP 消息在远程访问服务器与 RADIUS 服务器之间封装并格式化为 RADIUS 消息。 EAP-RADIUS 在 RADIUS 是身份验证提供程序的环境中使用。使用 EAP-RADIUS 的优势是不必在每台远程访问服务器上安装 EAP 类型，只需要在 RADIUS 服务器上安装。如果是运行网络策略服务器 (NPS)