Протокол PEAP не определяет метод проверки подлинности, но обеспечивает дополнительную безопасность для других протоколов проверки подлинности EAP, например EAP-MSCHAPv2, которые могут работать по каналу с TLS-шифрованием, предоставляемому на основе протокола PEAP. Протокол PEAP используется в качестве метода проверки подлинности для клиентов доступа, подключающихся к корпоративной сети через серверы доступа к сети следующих типов:

• Точки беспроводного доступа 802.1X
  
  
• Коммутаторы проверки подлинности 802.1X
  
  
• Серверы виртуальных частных сетей (VPN) под управлением Windows Server® 2008 или Windows Server® 2008 R2 со службами маршрутизации и удаленного доступа.
  
  
• Компьютеры под управлением Windows Server 2008 со шлюзом служб терминалов или под управлением Windows Server® 2008 R2 со шлюзом удаленных рабочих столов.
  
  

Возможности протокола PEAP по улучшению протоколов EAP и сетевой безопасности:

• TLS-канал, который обеспечивает защиту согласования метода EAP, выполняемого между клиентом и сервером. Этот TLS-канал позволяет предотвратить внедрение пакетов атакующим между клиентом и сервером сетевого доступа с целью вызвать согласование менее безопасного типа EAP. Кроме того, применение шифрованного TLS-канала позволяет предотвратить атаки типа «отказ в обслуживании» на сервер политики сети.
  
  
• Поддержка фрагментации и повторной сборки сообщений, позволяющая использовать типы EAP, которые не предоставляют эти возможности.
  
  
• Клиенты с возможностью проверки подлинности сервера политики сети или другого RADIUS-сервера. Поскольку сервер также выполняет проверку подлинности клиента, происходит взаимная проверка подлинности.
  
  
• Защита от развертывания несанкционированной точки беспроводного доступа при проверке EAP-клиентом подлинности сертификата, предоставленного сервером политики сети. Кроме того, главный секрет TLS, созданный устройством проверки подлинности PEAP и устройством, проходящим проверку подлинности PEAP, не сообщается точке доступа. Поэтому в точке доступа нельзя расшифровать сообщения, защищенные протоколом PEAP.
  
  
• Быстрое восстановление подключения PEAP, которое сокращает временную задержку между клиентским запросом на проверку подлинности и ответом сервера политики сети или другим RADIUS-сервером. Быстрое восстановление подключения PEAP также позволяет беспроводным клиентам перемещаться между точками доступа, настроенными как RADIUS-клиенты одного RADIUS-сервера, без повторных запросов на проверку подлинности. Это снижает ресурсные требования для клиента и сервера, а также сводит к минимуму число запросов учетных данных у пользователей.
  
  

В следующей таблице приведены преимущества протокола PEAP-MS-CHAP v2 и его сравнение с MS-CHAP v2.

Процесс проверки подлинности PEAP между PEAP-клиентом и устройством проверки подлинности состоит из двух этапов. На первом этапе устанавливается безопасный канал между PEAP-клиентом и сервером проверки подлинности. На втором этапе предоставляется проверка подлинности EAP между PEAP-клиентом и устройством проверки подлинности.

Канал с TLS-шифрованием

Обмен данными с проверкой подлинности по протоколу EAP

Все взаимодействие по протоколу EAP, включая согласование EAP, происходит по TLS-каналу и представляет собой второй этап проверки подлинности PEAP. В следующих ниже действиях дополняется предыдущий пример и иллюстрируется выполнение проверки подлинности клиентов беспроводного доступа на сервере политики сети с использованием протокола PEAP.

После создания TLS-канала между сервером политики сети и PEAP-клиентом этот клиент передает свои учетные данные (имя пользователя и пароль либо сертификат пользователя или компьютера) на сервер политики сети по шифрованному каналу.

Точка доступа только перенаправляет сообщения между клиентом беспроводного доступа и RADIUS-сервером; в точке доступа нельзя расшифровать эти сообщения, поскольку данная точка не является конечной точкой TLS.

Сервер политики сети выполняет проверку пользователя и клиентского компьютера с использованием типа проверки подлинности, выбранного для использования с PEAP. Проверка подлинности может иметь тип EAP-TLS (смарт-карта или другой сертификат) либо EAP-MS-CHAP v2 (защищенный пароль).

	Примечание
	Задать протокол PEAP в качестве метода проверки подлинности можно в политике сети на сервере политики сети.

Для использования с PEAP доступно два типа EAP, которые также называются типами проверки подлинности: EAP-MS-CHAP v2 или EAP-TLS. В типе EAP-MS-CHAP v2 для проверки подлинности пользователя используются учетные данные на основе пароля (имя пользователя и пароль), а для проверки подлинности сервера – сертификат в хранилище сертификатов компьютера сервера. В EAP-TLS для проверки подлинности пользователя или компьютера используются сертификаты, установленные в хранилище сертификатов клиентского компьютера либо смарт-карты, а для проверки подлинности сервера – сертификаты в хранилище сертификатов сервера.

Протокол PEAP с EAP-MS-CHAPv2 (PEAP-MS-CHAP v2) проще в развертывании, чем протокол EAP-TLS, поскольку проверка подлинности пользователей выполняется с использованием учетных данных на основе пароля (имя пользователя и пароль) вместо сертификатов или смарт-карт. В этом случае сертификат требуется только для сервера политики сети или другого RADIUS-сервера. Сертификат сервера политики сети используется сервером политики сети в ходе проверки подлинности как доказательство его подлинности для PEAP-клиентов.

Для успешной проверки подлинности PEAP-MS-CHAP v2 требуется, чтобы клиент предоставил доверие серверу политики сети после проверки сертификата сервера. Чтобы клиент мог предоставить доверие серверу политики сети, центр сертификации, выдавший сертификат сервера, должен иметь собственный отличный сертификат в хранилище сертификатов доверенных корневых центров сертификации на клиентских компьютерах.

Сертификат, используемый сервером политики сети, может быть выдан доверенным корневым центром сертификации организации либо публичным центром сертификации, таким как VeriSign или Thawte, который уже обладает доверием клиентского компьютера.

	Примечание
	Протокол PEAP-MS-CHAP v2 обеспечивает существенно улучшенную защиту по сравнению с MS-CHAP v2 благодаря созданию ключа с TLS-шифрованием и использованию взаимной проверки подлинности, которая не позволяет неавторизованному серверу согласовать наименее защищенный метод проверки подлинности с PEAP-клиентом.

При развертывании инфраструктуры публичного ключа со службами сертификации Active Directory можно воспользоваться протоколом PEAP с EAP-TLS (PEAP-TLS). Сертификаты обеспечивают намного более строгий метод проверки подлинности, чем методы с использованием учетных записей на основе пароля. В методе PEAP-TLS для проверки подлинности сервера используются сертификаты, а для проверки подлинности пользователя или компьютера – смарт-карты, содержащие встроенный сертификат, либо сертификаты, запрашиваемые для клиентских компьютеров, которые хранятся на локальном компьютере в хранилище сертификатов. Чтобы использовать протокол PEAP-TLS, необходимо развернуть инфраструктуру публичного ключа.

Быстрое восстановление подключения PEAP позволяет клиентам беспроводной сети перемещаться между точками беспроводного доступа одной сети без повторной проверки подлинности каждый раз при связи с новой точкой доступа.

Точки беспроводного доступа настраиваются как RADIUS-клиенты для RADIUS-серверов. Если клиент беспроводной сети перемещается между точками доступа, настроенными как клиенты одного RADIUS-сервера, для этого клиента не требуется проходить проверку подлинности в каждой новой связи. Когда клиент перемещается в точку доступа, настроенную как RADIUS-клиент другого RADIUS-сервера, он проходит повторную проверку подлинности, однако эта процедура выполняется намного быстрее и эффективнее.

Быстрое восстановление подключения PEAP сокращает время отклика при проверке подлинности между клиентом и устройством проверки подлинности, поскольку запрос на проверку подлинности перенаправляется из новой точки доступа на сервер политики сети, который изначально выполнял проверку подлинности и авторизацию запроса на подключение данного клиента. Поскольку как для PEAP-клиента, так и для сервера политики сети используются предварительно кэшированные свойства TLS-подключения (набор которых называется дескриптором TLS), сервер политики сети может быстро определить, что данное подключение клиента является повторным подключением.

Клиент может кэшировать дескрипторы TLS для нескольких устройств проверки подлинности PEAP. Если исходный сервер политики сети недоступен, требуется выполнить полноценную проверку подлинности между клиентом и новым устройством проверки подлинности. Дескриптор TLS нового устройства проверки подлинности PEAP кэшируется клиентом. Для смарт-карт или проверки подлинности PEAP-MS-CHAP v2 у пользователя запрашивается предоставление ПИН-кода или учетных данных, соответственно.