PEAP'ye Genel Bakış

PEAP bir kimlik doğrulama yöntemi belirtmez, ancak PEAP tarafından sağlanan TLS şifreli kanalı aracılığıyla çalışabilen Genişletilebilir Kimlik Doğrulama Protokolü-Microsoft Karşılıklı Kimlik Doğrulama Protokolü (EAP-MSCHAP v2) gibi diğer EAP kimlik doğrulama protokolleri için ek güvenlik sağlar. PEAP, aşağıdaki ağ erişim sunucusu türleri üzerinden kuruluş ağınıza bağlanan erişim istemcileri için bir kimlik doğrulama yöntemi olarak kullanılır:

• 802.1X kablosuz erişim noktaları
  
  
• 802.1X kimlik doğrulama anahtarları
  
  
• Windows Server® 2008 veya Windows Server® 2008 R2 ve Yönlendirme ve Uzaktan Erişim hizmeti çalışan sanal özel ağ (VPN) sunucuları
  
  
• Windows Server 2008 ve Terminal Hizmetleri Ağ Geçidi (TH Ağ Geçidi) veya Windows Server® 2008 R2 ve Uzak Masaüstü Ağ Geçidi (RD Ağ Geçidi) çalışan bilgisayarlar.
  
  

PEAP hem EAP protokollerini hem de ağ güvenliğini geliştirmek için şunları sağlar:

• İstemci ile sunucu arasında oluşan EAP yöntemi görüşmesi için koruma sağlayan bir TLS kanalı. Bu TLS kanalı bir saldırganın istemci ile ağ erişim sunucusu arasında paket sızdırarak daha az güvenli bir EAP türünde görüşmeye neden olmasının engellenmesine yardımcı olur. Şifreli TLS kanalı ayrıca NPS sunucusunda hizmet reddi saldırılarının engellenmesine yardımcı olur.
  
  
• İletilerin parçalanması ve yeniden montajı desteği, bu işlevselliği sağlamayan EAP türlerinin kullanılmasına olanak verir.
  
  
• İstemciler, NPS sunucusunun veya başka bir RADIUS sunucusunun kimlik doğrulamasını yapabilir. Sunucu aynı zamanda istemcinin kimlik doğrulamasını yaptığı için, karşılıklı kimlik doğrulama gerçekleşir.
  
  
• EAP istemcisinin NPS sunucusu tarafından sağlanan sertifikanın kimlik doğrulamasını yaptığı sırada yetkili olmayan bir kablosuz erişim noktasının dağıtılmasına karşı koruma sağlanır. Ayrıca, PEAP doğrulayıcısı ve istemci tarafından oluşturulan TLS ana sırrı erişim noktasıyla paylaşılmaz. Bu nedenle, erişim noktası PEAP tarafından korunan iletilerin şifresini çözemez.
  
  
• Bir istemci tarafından yapılan kimlik doğrulama isteği ile NPS veya başka bir RADIUS sunucusunun yanıt vermesi arasındaki gecikmeyi azaltan PEAP hızlı yeniden bağlanma. PEAP hızlı yeniden bağlanma aynı zamanda yeniden kimlik doğrulama isteği gönderilmesine gerek kalmadan, kablosuz istemcilerin aynı RADIUS sunucusu için RADIUS istemci olarak yapılandırılmış erişim noktaları arasında hareket etmelerine olanak verir. Böylece, hem istemci hem de sunucu gereksinimleri azaltılır ve kullanıcılardan kimlik bilgileri istenme sayısı en aza indirilir.
  
  

Aşağıdaki tabloda PEAP-MS-CHAP v2 güçleri listelenir ve MS-CHAP v2 ile karşılaştırması yapılır.

PEAP kimlik doğrulama işleminde PEAP istemcisi ile doğrulayıcı arasında iki aşama vardır. İlk aşamada, PEAP istemcisi ile kimlik doğrulama sunucusu arasında bir güvenli kanal oluşturulur. İkinci aşamada, PEAP istemcisi ile doğrulayıcı arasında EAP kimlik doğrulaması sağlanır.

PEAP ile kullanılmak üzere kimlik doğrulama türleri adı da verilen iki EAP türünden birini seçebilirsiniz: EAP-MS-CHAP v2 veya EAP-TLS. EAP-MS-CHAP v2, kullanıcı kimlik doğrulaması için parola tabanlı kimlik bilgilerini (kullanıcı adı ve parola) ve sunucu kimlik doğrulaması için sunucu bilgisayarının sertifika deposundaki bir sertifikayı kullanır. EAP-TLS, kullanıcı ve istemci bilgisayarın kimlik doğrulaması için istemci bilgisayarın sertifika deposunda yüklü olan sertifikaları veya bir akıllı kart ve sunucu kimlik doğrulaması için de sunucu bilgisayarının sertifika deposundaki bir sertifikayı kullanır.

EAP-TLS ile karşılaştırıldığında, EAP-MS-CHAPv2 ile PEAP (PEAP-MS-CHAP v2) dağıtımı daha kolaydır; çünkü kullanıcı kimlik doğrulaması, sertifikalar veya akıllı kartlar yerine parola tabanlı kimlik bilgileri kullanılarak gerçekleştirilir. Sertifika almak için yalnızca NPS sunucusu veya başka bir RADIUS sunucusu gerekir. NPS sunucu sertifikası, NPS sunucusu tarafından kimliğini PEAP istemcilere kanıtlamak üzere kimlik doğrulama işlemi sırasında kullanılır.

PEAP-MS-CHAP v2 kimlik doğrulamasının başarılı olması için, istemcinin sunucu sertifikasını inceledikten sonra NPS sunucusuna güvenmesi gerekir. İstemcinin NPS sunucusuna güvenmesi için, sunucu sertifikasını yayımlayan sertifika yetkilisinin (CA), istemci bilgisayarlardaki Güvenilen Kök Sertifika Yetkilileri sertifika deposunda kendine ait bir sertifikası olması gerekir.

NPS tarafından kullanılan sunucu sertifikası, kuruluşunuzun güvenilen kök CA'sı veya istemci bilgisayar tarafından zaten güvenilen VeriSign ya da Thawte gibi bir ortak CA tarafından yayımlanabilir.

	Not
	PEAP-MS-CHAP v2, anahtar oluşturmada TLS kullanılmasına olanak verdiği ve yetkili olmayan bir sunucunun PEAP istemcisiyle görüşürken en az güvenli olan kimlik doğrulama yöntemini kullanmasını engelleyen karşılıklı kimlik doğrulama yöntemini kullanması nedeniyle, MS-CHAP v2 ile karşılaştırıldığında çok daha fazla güvenlik sağlar.

Active Directory Sertifika Hizmetleri'ni (AD CS) kullanarak bir ortak anahtar altyapısını (PKI) dağıtırken, EAP-TLS ile PEAP (PEAP-TLS) kullanabilirsiniz. Sertifikalar, parola tabanlı kimlik bilgilerinin kullanıldığı yöntemlere göre çok daha güçlü bir kimlik doğrulama yöntemi sunar. PEAP-TLS, sunucu kimlik doğrulaması için sertifikaları ve bir katıştırılmış sertifika içeren akıllı kartları veya kullanıcı ve istemci bilgisayarın kimlik doğrulaması için yerel bilgisayardaki sertifika deposunda depolanan istemci bilgisayarlara kaydettirilmiş sertifikaları kullanır. PEAP-TLS kullanmak için bir PKI dağıtmalısınız.

PEAP hızlı yeniden bağlanma, kablosuz istemcilerin yeni bir erişim noktasıyla her ilişki kurduklarında kimliklerinin yeniden doğrulanmasına gerek kalmadan, aynı ağdaki kablosuz erişim noktaları arasında hareket etmelerine olanak verir.

Kablosuz erişim noktaları, RADIUS sunucular için RADIUS istemci olarak yapılandırılır. Bir kablosuz istemci aynı RADIUS sunucusu için istemci olarak yapılandırılmış erişim noktaları arasında gezinirse, istemci için her yeni ilişkide yeniden kimlik doğrulaması yapılması gerekmez. Bir istemci farklı bir RADIUS sunucusu için RADIUS istemci olarak yapılandırılmış bir erişim noktasına geldiğinde istemcinin kimlik doğrulaması yeniden yapılır, ancak bu işlem çok daha verimli ve hızlı gerçekleştirilir.

PEAP hızlı yeniden bağlanma, istemci ve doğrulayıcı arasında gerçekleştirilen kimlik doğrulamasının yanı süresini azaltır, çünkü kimlik doğrulama isteği, yeni erişim noktasından, istemci bağlantı isteği için kimlik doğrulamasını ve yetkilendirmeyi gerçekleştiren NPS sunucusuna iletilir. Hem PEAP istemcisi hem de NPS sunucusu önceden önbelleğe alınan TLS bağlantı özelliklerini (tümüne TLS tanıtıcısı adı verilir) kullandığı için, NPS sunucusu istemci bağlantısının bir yeniden bağlanma işlemi olduğunu hızla belirleyebilir.

İstemci, birden çok PEAP doğrulayıcısı için TLS tanıtıcılarını önbelleğe alabilir. Özgün NPS sunucusu kullanılamıyorsa, istemci ile yeni doğrulayıcı arasında tam kimlik doğrulaması gerçekleştirilmelidir. Yeni PEAP doğrulayıcısının TLS tanıtıcısı istemci tarafından önbelleğe alınır. Akıllı kartlar veya PEAP-MS-CHAP v2 kimlik doğrulaması için, kullanıcıdan PIN değerini veya kimlik bilgilerini sağlaması istenir.