NPS + WiFi + 802.1x 認証 (MS-CHAPv2) 構築手順

# はじめに
WiFi-AP へ アクセスを行う際には、SSID と 固定のキー を使って接続する方法は 個人向けとして広く普及していて、実際に 自宅の WiFi-AP に スマートフォン や PC を接続したことがある人も多くいると思います。
これに対して、固定のキーでは無く、Active Directory のアカウントや、クライアント証明書 などを使って認証する方法があり、この仕組みのことを 802.1x認証 と呼びます。

固定のキーでは、キーが人づてで共有されてしまうと、誰でも ネットワークに接続できてしまうため、企業用途ではセキュリティを維持できません。

そのため、802.1x認証 を活用する事で、ユーザー や コンピューター ごとに ネットワークへの接続可否を制御する事で、適切な 人 や PC だけが ネットワークへアクセスできるようになります。

:::note info
例１：退職した人のアカウントを停止することで、以後 アクセスできなくなる。
例２：紛失や盗難に遭った PC のクライアント証明書を失効させることで、以後 アクセスできなくなる。
:::

802.1x認証 の環境を構築するには、さまざまな技術を組み合わせる必要であり、難易度が高くなります。

この記事では、その中でも 難易度が低めな ユーザーアカウントでの認証を実現する、MS-CHAPv2 での構築手順を紹介します。

なお、クライアント証明書での認証を行う EAP-TLS を構築したい場合も、いきなり それを目指すのではなく MS-CHAPv2 で構成に成功した環境から、構成変更して作っていく事をお勧めします。

:::note warn
802.1x認証で使われる、EAPプロトコル（MS-CHAPv2 や EAP-TLS）は、保護された PEAP と組み合わせて使われるのですが、各方面で 表現に "ゆらぎ" があって、大変理解しづらいです。
その点を、以下の記事で説明してみましたので、参考にしてみてください。
:::

https://qiita.com/carol0226/items/f3bd546d74da609222dd

PEAP (EAP-TLS) で構成する場合は、以下の記事を参考にしてください。
クライアント証明書を扱う分、高難度になっていますが、セキュリテイは向上します。

https://qiita.com/carol0226/items/564a21455cd3e5f58906

# 1. 事前準備
本構成を行うために必要な 前提となる環境です。

## 1-1. AD DS インストール
構築済みの Active Directory ドメイン を用意してください。
まだ構築していない場合は、以下の手順を参考に構築しましょう。

https://qiita.com/carol0226/items/b94f93adc309b5dc8ee8

:::note warn
新規構築したら、ドメイン内に テスト用のユーザーを作っておきましょう。
この記事では、user01 というユーザーが作られている前提で 手順が作られています。
「パスワードを無期限にする」にチェックを入れない場合は、作成したユーザーで PCからログオンして 初回パスワードの変更をしておいてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/72c052ab-56f5-c5eb-6b9a-9c47ece6befc.png)
:::

## 1-2. NPS インストール
NPS サーバー を用意してください。
事前に サーバーを 1-1. で構築した ドメイン に ドメイン参加 させてください。

まだ構築していない場合は、以下の手順を参考に構築しましょう。

https://qiita.com/carol0226/items/1f4bb866c66e0ea440b2

## 1-3. AD CS インストール
AD CS サーバー を用意してください。
※AD CS サーバーは、ドメインへの参加要件はなく、WORKGROUP でも構いません。

この手順では、AD CS が、以下の構成となっていることを想定しています。
- スタンドアロン CA
- 証明機関 を導入済み
- 証明機関 Web 登録 を導入済み

まだ構築していない場合は、以下の手順を参考に準備しましょう。
※スタンドアロン CA を選択してください。

https://qiita.com/carol0226/items/cb38ed3188c520bd9d64

:::note warn
AD CS サーバーをドメイン参加せず、WORKGROUP で構成した場合は、CRL を HTTP 匿名アクセス の構成にしておきましょう。
以下の記事を参考に「2-2. CRL 配布ポイントの変更手順」まで実施すれば大丈夫です。
:::

https://qiita.com/carol0226/items/333da143c95550412b2b

## 1-4. 802.1x認証 に対応した WiFi アクセスポイント
802.1x 認証 に対応した WiFi アクセスポイントが必要です。
私が検証した時には、Cisco AIR-AP1832I-Q-K9 という機種を使いました。

それから、私が自宅で使っている WiFiルーター (TP-Link製 Archer AX73 | AX5400) も、設定画面を見る限りは、 802.1x 認証に対応しているみたいでした。仕様的にも対応していそうです。
お値段としては、安価で手に入るので、試してみる価値はありそうです。
※私の方で、検証までは実施できていません（家族も使っているので、自宅から動かせない）

https://www.tp-link.com/jp/home-networking/wifi-router/archer-ax73/#specifications

## 1-5. 検証用 クライアント PC
本記事では、無線LAN に対応した Windows 10 / 11 の PC を想定しています。
この PC を 1-1. で構築した ドメイン に ドメイン参加 させてください。

:::note info
ドメイン参加は、必須ではなく WORKGROUP の PC でも構いませんが、ちょっと制約があるので 手順の中で、補足説明などを入れてあります。
:::

# 2. サーバー側 の 構築手順
## 2-1. NPS を Active Directory サーバー に登録する
（この作業の目的）
- 承認プロセス中に ユーザー アカウントのダイヤルイン プロパティを読み取るアクセス許可を付与します。
- NPS サーバーが Active Directory の RAS and IAS Servers グループに追加されます。

1. NPS サーバーに ドメイン管理者 でサインインして、サーバーマネージャーから、ネットワークポリシーサーバー のツールを起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a2e57432-ddb9-6108-a7da-e6eb39fe13fd.png)
　<br>
1. NPS (ローカル) を右クリックして「Active Directory にサーバーを登録」を選択する。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/60a55fe4-34b4-695c-9235-55820ba0e880.png)
　<br>
1. 以下のメッセージで「OK」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c6bef2c3-8905-a497-65e0-98cddb1eecf9.png)
　<br>
1. 以下のメッセージで「OK」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/10c5a579-8fd0-8176-7bf3-51ec2bbdc3e8.png)

ちゃんと登録されたかどうかを見る場合は、下図のメニューを再表示して「Active Directory にサーバーを登録」が グレーアウト していることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/eafa0011-f354-62d7-d361-98d385c518c1.png)

以上で、本作業は完了です。
この作業に関する 公開情報 は、以下を参照ください。

https://learn.microsoft.com/ja-jp/windows-server/networking/technologies/nps/nps-manage-register?wt.mc_id=mvp_407731

## 2-2. NPS 用 サーバー証明書の作成
NPS には、以下の要件で作成された サーバー証明書 が必要ですが、これを見ただけで 意図された証明書を作成することは難しいと思います。
※見なくても 当記事の手順を参考に進めていただければ問題はありません。

https://learn.microsoft.com/ja-jp/windows-server/networking/technologies/nps/nps-manage-cert-requirements?wt.mc_id=mvp_407731#minimum-server-certificate-requirements

そのため、以下の記事を参照し、NPS サーバー用の サーバー証明書 を発行してください。
この記事から参照するために書き下ろした記事となっています。

https://qiita.com/carol0226/items/e3482e03df636f4a689b

## 2-3. NPS ポリシー（MS-CHAPv2）の作成
### 2-3-1. ウィザード での ポリシー作成
まず、NPS ポリシーは、以下の公開情報で紹介されている ウィザード を使って作成していきます。

:::note info
（公開情報：ネットワーク ポリシーを構成する）
https://learn.microsoft.com/ja-jp/windows-server/networking/technologies/nps/nps-np-configure?wt.mc_id=mvp_407731#create-network-policies-for-8021x-wired-or-wireless-with-a-wizard
★以下の２つの章が、以降の手順で紹介している箇所に該当しています。
・ウィザードを使用した 802.1X 有線またはワイヤレスのポリシーの作成
・ウィザードを使用して 802.1X ワイヤード (有線) または 802.1X ワイヤレス (無線) のポリシーを作成するには
:::

1. サーバーマネージャーから、ネットワークポリシーサーバー を起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a2e57432-ddb9-6108-a7da-e6eb39fe13fd.png)
　<br>
1. 「802.1Xワイヤレス接続またはワイヤード（有線）接続用の RADIUS サーバーを選択して「802.1X を構成する」のリンクをクリックして ウィザード を開始します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c089e992-09b7-a35e-b37d-4769d1338499.png)
　<br>
1. 「ワイヤレス接続をセキュリティで保護する」を選択し、名前（任意で変更）を設定し「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/193a4781-fed9-0b2a-f1d1-2aa18d3f9241.png)
　<br>
1. NPS では、あらかじめ許可された RADIUS クライアント からのみ、認証を受け付けます。
許可されていない RADIUS クライアントから、認証要求が来た場合は、拒否されます。<br>
許可する RADIUS クライアントを追加するために、「追加」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/519e68d4-dc1b-7f3c-66de-5dab12b71449.png)
　<br>
1. ここで、RADIUSクライアント（WiFI-AP）の情報を入力します。
・フレンドリ名は、あとで この設定が どの WiFi-AP のものだったのかを識別するための名前です。
・機器のメーカー名や、機器の資産番号などを設定します。
・アドレスは、WiFi-AP 自身の IP アドレス を設定します。
・緑下線の共有シークレットは、RADIUS クライアント (WiFi-AP) 側の設定と同一の文字列である必要があります（つまり、合言葉）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/869bccae-9dcc-9c51-b5bb-16652eed33f9.png)
　<br>
1. 下図の通りに追加されたことを確認して「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/df16ed5d-7f6c-1b1c-31a0-f8491e240a33.png)
　<br>
1. 「Microsoft 保護された EAP (PEAP)」を選択して「構成」を押します。
★（要注意）ここでは、決して EAP-MS-CHAPv2 を選択しないようにしてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b3431cdc-af48-6e08-4bf3-74bbb9ba63a7.png)

:::note info
上記の図の 緑枠「構成」ボタンを押すと、以下の画面になります。
ここで、以下の２点を確認します。
- 証明書の発行先が、AD CS で発行した サーバー証明書 になっていること。
- EAP の種類が「セキュリティで保護されたパスワード(EAP-MSCHAP v2)」になっていること。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/91e450bf-0167-6948-4aba-d12b705e1d97.png)
:::

:::note alert
なお、以下の画面が出た場合は、サーバー証明書 がうまく導入されていません。
サーバー証明書 の状態を確認して 再度 インポートしなおすなどを実施してください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ea1cd600-376f-539f-63ae-ad39bed4b8db.png)
:::

8．802.1x 認証をさせたい オブジェクト の グループ を選択します。
未選択の場合は、全ユーザーが対象となるため、そのまま「次へ」進んで問題ありません。
ここで、複数の条件を設定した場合は、アンド条件になるので、覚えておきましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3a1048b2-5b1d-ae9d-8519-ed80ab0074d5.png)

9．以下の画面では、そのまま「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8983bd48-4d1a-2367-a400-a9e8cc8e5019.png)

10．以下の画面になれば完了です。「完了」を押して ウィザードを終了させます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a4f2ed11-6cca-6c10-4f72-ffb0c5756cca.png)

### 2-3-2. ウィザード構成後の 差分設定（任意）
ウィザード構成後に、差分で設定をする内容です。
なお、この設定をやらなくても、PEAP (MS-CHAPv2) で認証は可能です。
ここでは 単に、想定していない認証については、"オフ" にしているだけです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9a412334-569f-210c-b6e9-3dd8eabe149f.png)

### 2-3-3. RADIUS プロトコル の Firewall 解放（必要に応じて）
WiFi-AP から、NPS サーバー への RADIUS の通信を許可する必要があります。
なお、NPS サーバー では、既定で RADIUS の Firewall ポートは解放されているハズです。
ですが、特定の条件で ポートが空いていない場合があるので、WiFi-AP と疎通が取れない場合などは、この設定を入れることを検討ください。

0. サーバーマネージャーから「ツール」－「セキュリティが強化された Windows Defender ファイアウォール」を起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2b566e61-50dd-f94b-b3bf-38e80c633f75.png)
　<br>
0. 「受信の規則」を右クリックして「新しい規則」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1f7093dc-31e5-3de6-08c2-a59737eef267.png)
　<br>
0. 「ポート」を選んで「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1cc968cf-bdf1-3c7e-7c3d-3ec65e7d6330.png)
　<br>
0. 「UDP」を 選び、特定のローカルポート欄に「1812」を入力して「次へ」を押します。
Ciscoルーターが 1812 を使っているのでそうしましたが、必要によって 1813 , 1645 , 1646 を開けることも検討ください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a662dc84-293f-3830-ea69-647f1350a123.png)
　<br>
0. 「接続を許可する」を選択して「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a806a43d-0f33-57bd-9e00-83ba3108ce55.png)
　<br>
0. 「ドメイン・プライベート・パブリック」全てに チェックが入った状態にして「次へ」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c0be5925-9f2f-8818-d02f-9777ad21575d.png)
　<br>
0. 任意の名前をつけて、「完了」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7ed5b557-0133-866f-0ff3-7ec559fc8c51.png)
　<br>
0. こんな感じで追加されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/80b4e088-e78f-64a2-9f90-80782c0d65e1.png)

（参考情報）

https://learn.microsoft.com/ja-jp/windows-server/networking/technologies/nps/nps-firewalls-configure?wt.mc_id=mvp_407731

:::note warn
特に、上記の記事によると、Windows Server 2019 だと 既定のルールで通信ができなくて、ハマる場合があるようです。
"sc sidtype IAS unrestricted" コマンドを実行すれば良いのですが、こういうのって、忘れますよね？
なので、ここで紹介したように 明確にポートを空ければ OK と覚えておくと良いと思います。
:::

# 3. WiFi アクセスポイント側の設定例
以下の記事に、例として Cisco 社の WiFi-AP で設定した際の内容などを説明してあります。

- RADIUS サーバーの IPアドレス には、NPSサーバー の IPアドレスを設定します。
- RADIUS シークレット に設定した シークレットキー は、あとで NPS サーバーに設定します。

https://qiita.com/carol0226/items/0424fb68de69d7b90d2c

# 4. クライアント側 の 設定手順（推奨）
この時点で WiFi-AP への接続は可能なはずです。
接続できるかどうか、確認してみましょう。
しかし、ID + Pass を入力したあとに、以下の画面が表示されます。

「接続を続けますか？」で、「接続」ボタンを押す必要があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dc4da93f-b2db-f534-ae7e-1de67dca0271.png)

クライアント が ドメインに参加していれば、以下の記事の手順をすべて実施することで、「接続を続けますか？」の画面の表示を抑制できます。

https://qiita.com/carol0226/items/2b69f235c34da88b0fd2

# 5. 接続テスト
## 5-1. 正常に接続できた場合のパターン
1. クライアント PC から、SSID を選択して WiFi-AP に接続すると、以下の認証窓が出ます。
ここに、ドメインユーザー の ID と パスワード を入力して「OK」を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c92bbd9f-97a9-e3ae-f7e5-725f2b29b98a.png)
　<br>
1. 接続成功 した場合の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9f2287c1-3278-5a65-fea0-d0f432caab22.png)
　<br>
1. セキュリティ の イベントログ を確認すると、以下の ログ が確認できます。
- イベント ID： 6272
- メッセージ： ネットワークポリシーサーバーがユーザーのアクセスを許可しました。
- アカウント名： 認証をおこなったユーザー名
- 接続要求ポリシー名： NPSで定義したポリシー名
- 認証サーバー：NPSのサーバー名
- 認証の種類：PEAP
- EAP の種類：Microsoft: セキュリティで保護されたパスワード (EAP-MSCHAPv2)
- キーワード：成功の監査

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/297ef059-7c6f-95cd-105c-8f2115fdf94d.png)

## 5-2. 認証エラー
1. 以下の 認証ウィンドウ に対して、誤った アカウント情報 が入力された場合です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6fa9af0d-c054-0314-506f-036b7dcb94e5.png)

1. このとき、セキュリティ の イベントログ を確認すると、以下の ログ が確認できます
- イベント ID： 4625
- メッセージ： アカウントがログオンに失敗しました。
- 失敗の原因： ユーザーを識別できないか、またはパスワードが間違っています。
- ログオン プロセス： CHAP
- キーワード： 失敗の監査

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d52328e7-3bee-2009-5ba3-d3f3332cc0e4.png)

3．クライアントには、以下のような 再認証の ウィンドウ が開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f01d52b7-8880-e7ca-6505-5860edd7acc9.png)

4．その後、正しいパスワードを入れると、接続が成功します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/61374af5-a100-3235-f679-497ef092f6ff.png)

5．このとき、セキュリティ の イベントログ には、接続に成功した際と同様に「成功の監査」の ログ が確認できます

## 5-3. 接続できないパターン
### 5-3-1. 設定不足によるポリシー不一致の場合
1. 認証窓が表示されずに、以下のようなエラーが出ます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d4538c7d-a0ac-b6c1-8d6a-2b18433e2106.png)

1. セキュリティ の イベントログ には、以下の ログ が出力されています。
- イベント ID： 6273
- 接続要求ポリシー名： NPSで定義したポリシー名
- ネットワークポリシー名： 他のアクセスサーバーへの接続
- 認証サーバー：NPSのサーバー名
- 認証の種類：EAP
- EAP の種類：-
- 理由コード：65
- 理由：Active Directory 内のユーザー アカウントのダイヤルイン プロパティの [リモートアクセス許可]設定が、ユーザーに対して [アクセス拒否] に設定されています。
- キーワード：失敗の監査

 ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/af06ec44-5239-dc34-60f4-6c9d50e79504.png)

3．ここでは、「ネットワークポリシー名」が 「他のサーバーへの接続」になっている点や、EAPの種類が - になっている点、キーワードが「失敗の監査」となっている点に着目。

対策として、ネットワークポリシーが 合致 しなかった理由を探します。

##### 5-3-1 の事象に対する対策例
ウィザードの構成を終えただけでは、条件が不足している場合があります。

1. ネットワークポリシー を開く。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/75126887-9ca6-983e-922c-f981a21e25cf.png)

1. 以下の画面で、「NASポートの種類」が「ワイヤレス - その他」になっている事を確認して「編集」を押す。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7e2b7b21-6710-9b34-7ec8-7fa8814edc4b.png)

1. 以下で、ワイヤレス - IEEE 802.11 のチェックが外れていれば、チェックを入れる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5d6996d9-b21a-9664-9b5c-e618c9da947b.png)

## 5-3-2. 証明書が 失効している場合
この事象は、ルート証明書を あえて「信頼されていない証明機関」に配置させることで再現させています。実際には、証明書が失効された場合に出るメッセージです。

1. 認証窓が出て、認証を成功させます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/53e036cf-de2e-c4f7-6379-07150eb925c5.png)

1. しかし、認証成功したあとに、「このネットワークに接続できません」のエラーが出て接続できません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a70e414f-8b80-e67d-132c-b6803d9854af.png)

3．セキュリティ の イベントログ には、以下のように、証明書失効 の ログ が出ています。
- イベント ID： 6273
- 接続要求ポリシー名： NPSで定義したポリシー名
- ネットワークポリシー名： NPSで定義したポリシー名
- 認証サーバー：NPSのサーバー名
- 認証の種類：PEAP
- 理由コード：256
- 理由：この証明書は失効しています。
- EAP の種類：-
- キーワード：失敗の監査

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ba17e4c0-8320-1d56-7151-552f1c40c49f.png)

4．証明書が失効している原因（AD CS 側で 証明書が失効されていないか）・・などを確認します。
このテストでは、ルート証明書を「信頼されたルート証明機関」に戻したところ、接続できるようになりました。

# おまけ
## ウィザード終了時の設定画面（チェック用）
NPS サーバーで、ウィザードで ポリシーを作成した際に 自動的に構成された設定値です。
### RADIUS クライアント
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d728a748-af2a-65a3-c7ce-633407a3f8be.png)

### 接続要求ポリシー
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/98dc1e46-b328-0433-276c-7d25ca6fff44.png)
（概要）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f05be434-26ca-b072-20c1-79899a60256c.png)
（条件）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/19e74133-5d46-43e6-17bd-56db115e6274.png)
（NAS ポートの種類）
　※上記の画面で、NASポートの種類を選んだあと「編集」を押して表示
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1442113d-310f-155b-68a0-2f3635a6e890.png)
（設定）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a0a9b89b-842f-207e-3d69-ffd0c9762e48.png)

### ネットワークポリシー
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d6391934-b7e7-e4a8-eb83-36a39763078e.png)
（概要）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f05be434-26ca-b072-20c1-79899a60256c.png)
（条件）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/19e74133-5d46-43e6-17bd-56db115e6274.png)
（NAS ポートの種類）
　※上記の画面で、NASポートの種類を選んだあと「編集」を押して表示
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5baddb11-593a-2059-610b-8360dd9101d6.png)
（制約）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/57dd4e5b-3b8e-63ca-25a2-c9091fb14aa1.png)
（保護された EAP プロパティの編集）
　※上記の画面で「Microsoft 保護された EAP (PEAP)」を選んだあと「編集」を押して表示
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/91e450bf-0167-6948-4aba-d12b705e1d97.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/65ecb42a-0b5b-ec27-bb1c-fd646dd70273.png)


# 関連情報

NPS + 802.1x認証 の 公式の手順です。

https://learn.microsoft.com/ja-jp/windows-server/networking/core-network-guide/cncg/wireless/e-wireless-access-deployment?wt.mc_id=mvp_407731

NPS Server の イベントログ で出力されるエラーの 理由コード の一覧です。

https://learn.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2008-r2-and-2008/dd197570(v=ws.10)?wt.mc_id=mvp_407731

## 以下の サイトは、うまくいかなくて ハマっていたときに参考にしたサイトです。
これらの記事のおかげで、 NT Auth ストア というものが存在する事に気が付きました。

https://samilamppu.com/2012/01/04/network-policy-server-authorization-and-authentication/

http://serverman.blogspot.com/2009/06/ias-event-id-2-certification-chain.html


（参考）Windows 11 で、MS-CHAPv2 認証を使う場合の注意についての記事がありました。

https://qiita.com/kashikotuka/items/4e2dc3bb79b8ef1cbac7#_reference-3911c6c0ed5e5a1ebd70