Mikrotik WiFi EAP NPS Windows 2019 Server

[alexpebody]

Привет ребята, пожалуйста, нужна помощь )

Не могу настроить авторизацию WiFi по EAP RADIUS на NSP Windows 2019 Server, прочитал много постов, но ничего... ( Может кто-нибудь помочь настроить EAP для авторизации WiFi с Active Directory? Не нужно использовать какие-либо сертификаты, просто EAP аутентификация. При этом тот же рабочий RADIUS для входа в Микротик работает и все в порядке, но не могу настроить RADIUS для EAP... крутил часа 4, толку 0... (

Я использовал эти статьи: https://soft-setup.ru/nastrojka-wifi-avtorizaczii-cherez-radius-server-nps-na-mikrotik и https://habr.com/ru/post/536648 и https://mum.mikrotik.com/presentations/EU18/presentation_5159_1523293520.pdf

Mikrotik:
/caps-man interface
add arp-timeout=auto channel.band=2ghz-g/n channel.control-channel-width=20mhz channel.frequency=2422 channel.tx-power=20 comment="AP" configuration.country=russia4 configuration.disconnect-timeout=3m configuration.distance=indoors configuration.frame-lifetime=7s configuration.installation=indoor configuration.keepalive-frames=enabled configuration.max-sta-count=40 configuration.multicast-helper=default configuration.rx-chains=0,1,2,3 configuration.ssid=TEST configuration.tx-chains=0,1,2,3 datapath.bridge="LAN Bridge" disabled=no l2mtu=1600 mac-address=2C:A8:1B:9A:5E:D9 master-interface=none name=AP radio-mac=2C:A8:1B:9A:5E:D9 radio-name=2CA81B9A5ED9 security.authentication-types=wpa2-eap security.eap-methods=passthrough security.encryption=aes-ccm security.group-encryption=aes-ccm

Логи Микротика: EAP failure или rejected... ( что можно сделать? Заранее спасибо!

---

Из оконечных результатов:
1. С EAP (PEAP) - нужен сертификат CA например - DC1 selfsig, и тогда я выбрал EAP-MSCHAPv2 = все заработало, но на телефонах и других устройствах выскакивает сообщение о недоверенном сертификате;
2. С EAP-MSCHAPv2 без сертификата НЕ РАБОТАЕТ НИКОГДА! ПОЧЕМУ?

Как я могу использовать EAP-MSCHAPv2 без использования сертификата? Все скрины ниже:

Вот ветка на forum.mikrotik.com там также не могут дать ответ, почему с простым паролем EAP-MSCHAPv2 не работает = REJECT, аудит включен, все скрины выложены, толку 0, ошибка показывает на отсутствие сертификата, получается нет возможности завести БЕЗ сертификата?

https://forum.mikrotik.com/viewtopic.php?p=944800#p944800

[jffulcrum]

Вкратце: да, необходим сертификат на стороне сервера. Даже если его проверка отключена на клиенте. EAP без сертификата есть вроде только у Cisco (EAP-FAST)

[alexpebody]

Спасибо за ответ, а зачем тогда опция без EAP (PEAP), а просто выбор EAP-MSCHAPv2? Прям совсем никак не победить?

[jffulcrum]

Так устроен сам протокол. FreeRADIUS, например, вроде и позволяет не указывать сертификат, но сертификат там все равно есть - тот, что сгенерился при установке.

[alexpebody]

Ответ:
PEAP-MS-CHAPv2.
1. EAP-MS-CHAP v2 is available only with PEAP.
http://technet.microsoft.com/en-us/library/cc759077(WS.10).aspx