PEAP-MSCHAPv2 是什么
PEAP-MSCHAPv2 是企业无线里部署最广的组合：外层用 PEAP 建立一条 TLS 隧道，服务器出示证书；内层在隧道里用 MSCHAPv2 校验域账号与口令。客户端不需要自己的证书，只要有账号口令即可接入，因此非常适合已有域账号体系的组织。它的安全性建立在一个前提上——客户端必须校验服务器证书，否则任何人都能架一个同名热点，把凭据里的可破解响应骗到手。
基本信息
| 外层 | PEAP，服务器出示证书建立 TLS 隧道 |
|---|---|
| 内层 | MSCHAPv2，校验域账号与口令 |
| 接入凭据 | 域账号与口令 |
| 客户端证书 | 不需要 |
| 部署成本 | 低，复用现有目录服务 |
| 安全前提 | 客户端必须校验证书并指定受信任根证书 |
客户端关键设置
客户端关键设置
# Windows：网络属性 -> 身份验证设置
# 「验证服务器证书」必须勾选
# 「受信任根证书」指定为企业内部 CA
# 不勾选时：存在被仿冒热点套取凭据的风险，安全评估会直接判为高风险安全边界与风险
| 环节 | 风险 | 对策 |
|---|---|---|
| 服务器证书校验 | 未校验时可被假热点骗取凭据 | 勾选校验并固定受信任根证书 |
| 内层凭据类型 | MSCHAPv2 响应可被离线破解 | 使用长口令，避免与其他系统复用 |
| 凭据缓存 | 口令变更后终端仍用旧凭据 | 清理缓存或重新输入凭据 |
| RADIUS 链路 | 报文可被监听 | 内网隔离或启用 RadSec 加密链路 |
典型使用场景
- Windows 域环境办公网：员工用域账号登录无线
- 学校与园区：账号体量大，口令方式便于管理
- 临时人员接入：无需签发证书即可开通
- 存量网络改造：在保留账号体系的前提下提升安全
- 过渡方案：作为向 EAP-TLS 迁移期间的稳定选择
为什么必须校验证书
PEAP 的隧道是单向信任的：客户端验证服务器，服务器通过内层凭据验证用户。如果客户端关闭了服务器证书校验，攻击者只要运行一个仿真 AP，就能把终端的凭据响应引导到自己那里。MSCHAPv2 的响应虽然不能直接逆推出明文口令，但可以被离线暴力破解，弱口令很快就会被还原。因此这一步不是可选优化，而是该方案能否称为安全方案的底线。落地时建议通过组策略或配置模板统一下发该设置，避免用户自行修改。
PEAP 部署门槛低，是存量企业最广的组合；高安全场景建议逐步过渡到 EAP-TLS。
同一账号在多台设备上同时接入属于常见需求，是否限制并发由 RADIUS 策略决定，排障时要确认策略而不是只查客户端。