PEAP 概觀

PEAP 不會指定驗證方法，但是會提供額外的安全性給其他 EAP 驗證通訊協定 (例如可延伸驗證通訊協定- Microsoft Challenge Handshake 驗證通訊協定第 2 版，EAP-MSCHAP v2)，以便透過 PEAP 提供的 TLS 加密通道來操作。PEAP 可做為存取用戶端的驗證方法，透過下列各種網路存取伺服器連線到組織網路。

• 802.1X 無線存取點
  
  
• 802.1X 驗證交換器
  
  
• 執行 Windows Server® 2008 或 Windows Server® 2008 R2 以及路由及遠端存取服務的虛擬私人網路 (VPN) 伺服器
  
  
• 執行 Windows Server 2008 與終端機服務閘道 (TS 閘道) 或 Windows Server® 2008 R2 與遠端桌面閘道 (RD 閘道) 的電腦。
  
  

為了同時增強 EAP 通訊協定和網路安全性，PEAP 提供以下功能：

• 提供用戶端和伺服器間的 EAP 方法協商保護的 TLS 通道。此 TLS 通道可避免來自用戶端和網路存取伺服器之間之插入封包的攻擊者造成較不安全的 EAP 類型協商。加密的 TLS 通道也可保護 NPS 伺服器對抗拒絕服務的攻擊。
  
  
• 支援訊息的分散和重組，允許使用不提供此功能的 EAP 類型。
  
  
• 具有驗證 NPS 伺服器或其他 RADIUS 伺服器功能的用戶端。因為伺服器也會驗證用戶端，因此會產生相互驗證。
  
  
• 當 EAP 用戶端驗證 NPS 伺服器提供的憑證時，可保護對抗未授權的無線存取點。此外，不與存取點共用 PEAP 驗證器和用戶端建立的 TLS 主要密碼。因此，存取點無法解密受 PEAP 保護的訊息。
  
  
• PEAP 快速重新連線，可降低用戶端的驗證要求與 NPS 或其他 RADIUS 伺服器的回應之間的延遲。PEAP 快速重新連線也可讓無線用戶端在存取點之間移動，而這些存取點是設定為相同 RADIUS 伺服器的 RADIUS 用戶端，不需要重複要求驗證。如此可降低用戶端與伺服器的資源需求，讓提示使用者輸入認證的次數降至最低。
  
  

下表列出 PEAP-MS-CHAP v2 的強度，並將它與 MS-CHAP v2 做比較。

PEAP 用戶端與驗證者之間的 PEAP 驗證程序分為兩個階段。第一個階段會在 PEAP 用戶端與驗證伺服器之間建立安全的通道。第二個階段提供 PEAP 用戶端與驗證者之間的 EAP 驗證。

您可以在兩個 EAP 類型 (也稱為「驗證類型」) 之間選擇，以搭配 PEAP 使用：EAP-MS-CHAP v2 或 EAP-TLS。EAP-MS-CHAP v2 使用密碼認證 (使用者名稱及密碼) 執行使用者驗證，而使用伺服器電腦憑證存放區中的憑證執行伺服器驗證。EAP-TLS 使用用戶端電腦憑證存放區中安裝的憑證或智慧卡執行使用者與用戶端電腦驗證，而使用伺服器電腦憑證存放區中的憑證執行伺服器驗證。

使用 EAP-MS-CHAP v2 的 PEAP (PEAP-MS-CHAP v2) 比 EAP-TLS 容易部署，因為它是使用密碼認證 (使用者名稱及密碼) 完成使用者驗證，而不是使用憑證或智慧卡。只有 NPS 伺服器或其他 RADIUS 伺服器才需要擁有憑證。NPS 伺服器在驗證程序期間使用 NPS 伺服器憑證，對 PEAP 用戶端證明其識別身分。

成功的 PEAP-MS-CHAP v2 驗證需要用戶端在檢查伺服器憑證之後信任 NPS 伺服器。如果要用戶端信任 NPS 伺服器，發出伺服器憑證的憑證授權單位 (CA) 必須在用戶端電腦的「受信任的根憑證授權單位」憑證存放區中擁有自己的不同憑證。

NPS 使用的伺服器憑證可由組織信任的根 CA 簽發，或由用戶端電腦已經信任的公用 CA (例如 VeriSign 或 Thawte) 簽發。

	附註
	藉由以 TLS 產生金鑰並使用相互驗證避免未授權的伺服器與 PEAP 用戶端協商最不安全的驗證方法，PEAP-MS-CHAP v2 的安全性相較於 MS-CHAP v2 大為改善。

使用 Active Directory 憑證服務 (AD CS) 部署公開金鑰基礎結構 (PKI) 時，可以用 EAP-TLS (PEAP-TLS) 搭配 PEAP 使用。相較於使用密碼認證，憑證提供更強的驗證方法。PEAP -TLS 使用憑證執行伺服器驗證；而使用智慧卡 (含有內嵌的憑證) 或在用戶端電腦註冊的憑證 (存放在憑證存放區中的本機電腦上)，執行使用者及用戶端電腦驗證。若要使用 PEAP-TLS，您必須部署 PKI。

PEAP 快速重新連線可讓無線用戶端在相同網路上的無線存取點之間移動，不需要在每次與新存取點關聯時重新驗證。

無線存取點設定為 RADIUS 伺服器的 RADIUS 用戶端。如果無線用戶端在設定為相同 RADIUS 伺服器用戶端的存取點之間漫遊，不需要在每個新關聯驗證用戶端。當用戶端移至設定為不同 RADIUS 伺服器的 RADIUS 用戶端的存取點時，雖然會重新驗證用戶端，但此程序比較有效率而快速。

PEAP 快速重新連線可減少用戶端與驗證者之間驗證的回應時間，因為驗證要求會從新存取點轉送到原先執行用戶端連線要求驗證和授權的 NPS 伺服器。因為 PEAP 用戶端與 NPS 伺服器都使用先前快取的 TLS 連線內容 (此集合稱為「TLS 控制碼」)，所以 NPS 伺服器可以快速判定用戶端連線為重新連線。

用戶端可以快取多重 PEAP 驗證者的 TLS 控制碼。如果無法使用原始的 NPS 伺服器，用戶端與新驗證者之間必須執行完整驗證。新 PEAP 驗證者的 TLS 控制碼由用戶端快取。對於智慧卡或 PEAP-MS-CHAP v2 驗證，會分別要求使用者提供 PIN 或認證。