利用 windows server 2008 NPS 实现 802.1X 认证目录1、Windows server 2008 安装配置 AD.12、Windows server 2008 安装配置 CA.183、Windows server 2008 安装配置 NPS 组件 .273.1、安装 NPS 组件 .273.2、配置 Radius 客户端 .313.3、配置 NAP 策略 .334、802.1x 认证过程 .384.1、PC 证书安装 .384.2、交换机配置 .404.3、本地连接属性配置 .405、NPS 支持 IPv6 .4111、Windows server 2008 安装配置 AD 活动目录（Active Directory）是面向 Windows Standard Server、Windows Enterprise Server 以及 Windows Datacenter Server 的目录服务。Active Directory 不能运行在 Windows Web Server 上，但是可以通过它对运行 Windows Web Server 的计算机进行管理。使得WINDOWS 2000 以上服务器系统与 Internet 上的各项服务和协议更加联系紧密，因为它对目录的命名方式成功地与”域名“的命名方式一致，然后通过 DNS 进行解析，使得与在Internet 上通过 WINS 解析取得一致的效果。下面将演示 Windows server 2008 活动目录安装与配置的安装方法。登录 Windows server 2008，开始-管理工具- 服务器管理器-角色打开添加角色向导。选择“添加角色” 出现如下图所示：在弹出的对话框中点击“下一步”：2在弹出的对话框中选择“Active Directory 域服务”（如果有关联组件没有安装，会提示需要安装关联组件，选择“是”即可） ，点击下一步如图所示：3在弹出的对话框中出现相关 Active Directory 域服务相关简介这里面会介绍安装及配置以及相关注意事项，点击下一步如图所示：点击“安装”，如图：4安装成功之后，点击“关闭” 。下面需要进行 Active Directory 域服务安装向导。点击开始-运行输入 “dcpromo”如图所示：5点击“确定”，如图所示：弹出一个对话框，选择“下一步”如图所示6这里提示相关操作系统的兼容性，点击“下一步”如图所示：因为我们装的是第一台完整的域控制器，所以选择“在新林中新建域”，点击“下一步”7如图所示：这里在目录林根级域的文本框中输入新的林根级完整的域名系统名称，我们这里输入本网站域名“ip-tcp.com”的林的名称（本人使用的是 win8ad.com 的林的名称，所以后面配置 NPS 看到的是 win8ad.com 的域） ，点击“下一步”如图所示：8这里显示正在检查整个网络中是否已经使用该林的名称： 9检查完毕后，出现 NETBIOS，点击下一步，如图所示： 这里出现“设置林功能级别” 对话框，林功能有 Windows 2000、Windows server 2003 、Windows server 2008 三个级别，默认林功能级别为 Windows 2003，这里我们选择Windows server 2003 （并不是选择越高越好） ， 点击“下一步”如图所示：10这里出现“设置域功能级别” 对话框，域功能有 Windows 2000、Windows server 2003 、Windows server 2008 三个级别，默认域功能级别为 Windows 2003，这里我们选择Windows server 2003 ， 点击“下一步” 如图所示：11开始检查计算机上的 DNS 配置检查完毕后出现“ 其他域控制器选项 ”如下图所示：12选择“DNS 服务器” （有些系统没有出现这步，无影响 ） ，点击下一步如图所示：这里选择“是，该计算机将使用动态分配的 IP 地址” 点击后如图所示：弹出这个对话框，建议安装 DNS，这样这个向导将自动创建 DNS 区域委派。无论DNS 服务器服务是否与活动集成，都必须将其它安装在部署的活动目录林根域的第一个域控制器上，点“ 是” 如图所示：13这里出现，数据库、日志文件和 SYSVOL 的安装位置，这时可以修改其它安装的目录，点击“下一步”如图所示：14弹出目录还原模式的管理员密码，这个密码将是会在删除域或当您的域出现问题需要还原的时候需要用到的，点“下一步”如图所示：15这里显示这前所有的操作，检查无误后点“下一步”如图所示：这里正在配置相关信息等待完成,如图所示：16到这里配置就完成了，点击“完成”，如图所示：这里点击立即重新启动，等到服务器重启后，登录名就会出现“域名/administrator”，如本人创建的林是 win8ad.com，登录出现 WIN8AD/Administrator：17182、Windows server 2008 安装配置 CACA（证书颁发机构）为了保证网络上信息的传输安全，除了在通信中采用更强的加密算法等措施外，必须建立一种信任及信任验证机制，即通信各方必须有一个可以被验证的标识，这就需要使用数字证书，证书的主体可以是用户、计算机、服务等。证书可以用于多方面，例如 Web 用户身份验证、web 服务器身份验证、安全电子邮件等。安装证书确保望上传递信息的机密性、完整性、以及通信双方身份的真实性，从而保障网络应用的安全性。CA 分为两大类，企业 CA 和独立 CA；企业 CA 的主要特征如下： 企业 CA 安装时需要 AD（活动目录服务支持），即计算机在活动目录中才可以。 当安装企业根时，对于域中的所用计算机，它都将会自动添加到受信任的根证书颁发机构的证书存储区域； 必须是域管理员或对 AD 有写权限的管理员，才能安装企业根 CA；独立 CA 主要以下特征: CA 安装时不需要 AD（活动目录服务）。 一般情况下，发送到独立 CA 的所有证书申请都被设置为挂起状态，需要管理员手动颁发。这完全出于安全性的考虑，因为证书申请者的凭证还没有被独立 CA 验证； 在简单介绍完 CA 的分类后，我们现在 AD（活动目录）环境下安装证书服务，即安装企业证书，具体步骤如下：登录 Windows server 2008，开始-管理工具- 服务器管理器-角色打开添加角色向导。选择“添加角色” 出现如下图所示，点击“ 下一步”：19在弹出的对话框中选择“Active Directory 证书服务”（如果有关联组件没有安装，会提示需要安装关联组件，选择“是”即可） ，点击下一步如图所示：在选择角色服务中选择证书颁发机构和证书颁发机构 Web 注册；20在指定安装类型中选择”企业”，点击下一步；在“指定 CA 类型” 中选择“ 根 CA”， 点击下一步；21在设置私钥窗口中选择“新建私钥”， 点击下一步；在配置加密窗口，使用默认的加密服务程序、哈希算法和密钥长度，点击“下一步”；22接下来需要配置 CA 的名称（没有截图，借用 2003 的一张截图，类似）因为在同一台 Server 上，所以在 CA 的公用名称里默认名称是与域名计算名相关的公用名称，我们改为简单点的，输入“ROOT CA”，可分辨名称后缀包含 CN=ROOT CA, DC=WIN8AD, DC=COM 三项，是自动生成的，没有自动生成就自己加一下。单击“下一步”到确认安装;23安装完成后，从管理工具中可以看到“证书颁发机构”，打开证书颁发机构管理器，管理证书的颁发；也可以从服务器管理器的列表中看到：24CA 装完之后，就会给 AD 域服务器颁发证书，也会给本机颁发计算机证书，如果没有可以自己去申请，在运行里输入 mmc-文件- 添加/ 删除管理单元-证书（双击）- 计算机账户：如下图所示，多了本地计算机证书：25确定之后，控制台根节点多了本地计算机证书列表，点击个人-证书（右击）- 所有任务-申请新证书，如下图所示：就可以为本机申请一个计算机证书，申请完如下图所示，本地计算机就有两个证书，一个是 ROOT CA 颁发给 ROOT CA 的证书，一个是 ROOT CA 颁发给计算机WINZXB.win8ad.com 的证书：26证书安装到此完成。273、Windows server 2008 安装配置 NPS 组件3.1、安装 NPS 组件登录 Windows server 2008，开始-管理工具- 服务器管理器-角色-打开添加角色向导：选择“添加角色” 出现如下图所示：28选择“网络策略和访问服务” 角色，点击下一步：服务简介，点击下一步：29选择“网络策略服务器” 和“ 健康注册机构 ”和“主机凭据授权协议”三项， 点击下一步：在选择合适的证书机构来作为健康注册机构时，选择刚才安装的 CA 服务器，通过点击右边的选择按