WindowsRadius: 用户不能用质询握手身份验证协议(CHAP)作身份验证。没有此用户的可逆加密的密码。为了确保启用了可逆加密的密码，可以检查网域密码策略或用户帐户上的密码设置。

WindowsRadius: 用户不能用质询握手身份验证协议(CHAP)作身份验证。没有此用户的可逆加密的密码。为了确保启用了可逆加密的密码，可以检查网域密码策略或用户帐户上的密码设置。

NAS（交换机）设备的配置：

[sw1]dot1x authentication-method chap

radius server:

启用以可撤消的加密形式存储密码时，当前密码未采用可撤消的加密形式，并且未自动更改。必须手动更改用户密码，或将用户密码设置为在每个用户下次登录时更改。

用可还原的加密来存储密码

如果通过远程访问或 Internet 身份验证服务 (IAS) 使用质询握手身份验证协议 (CHAP) ，则必须启用此策略设置。 CHAP 是远程访问和网络连接使用的身份验证协议。 Internet Information Services (IIS) 中的摘要身份验证还要求启用此策略设置。

（1）配置策略

计算机配置\策略\Windows 设置\安全设置\帐户策略\密码策略\

（2）修改用户的帐户属性

原因是就是因为“用可还原的加密存储密码”这个策略。然而我们是先有了域环境，各个域账号都已经创建了多年，只是因为启用了这个策略，意味着用户上线时，所有的用户都需要修改一次域密码才能认证通过。

（3）用户登录计算机，重新修改密码

或者不需要

（4）测试：成功

（5）查看

如果要启用基于 CHAP 的身份验证，必须执行下列操作：

　　在远程访问服务器上启用 CHAP 作为身份验证协议。详细信息，请参阅启用身份验证协议。默认情况下将禁用 DHCP。

　　在适当的远程访问策略上启用 CHAP。详细信息，请参阅远程访问策略简介和配置身份验证。

　　启用对用户密码的可逆加密形式存储。

　　可以对每个用户帐户的用户密码启用可逆加密形式存储，或对域中所有的帐户启用。详细信息，请参阅在域中启用可逆加密密码。

　　强制重新设置用户密码，以便新密码使用可逆加密形式。

　　当启用以可逆加密形式存储的密码时，当前的密码不是可逆加密形式，并且不能自动转换。必须重新设置用户密码，或将用户密码设置为在每个用户下次登录时进行更改。详细信息，请参阅重置用户密码和修改用户帐户的属性。密码更改后，将以可逆加密形式存储。

　　如果将用户密码设置为在用户下次登录时进行更改，则用户必须使用 LAN 连接登录，并在试图使用 CHAP 通过远程访问连接登录前更改密码。在身份验证过程中，不能使用 CHAP 更改密码，否则登录将失败。使用 MS-CHAP 更改密码的远程访问用户的一个解决方案是临时登录。

质询握手身份验证协议 (CHAP) 是一种质询-响应身份验证协议，该协议使用行业标准的 Message Digest 5 (MD5) 哈希方案来对响应加密。CHAP 可供各种网络访问服务器和客户端的供应商使用。运行“路由和远程访问”的服务器支持 CHAP，以便对要求使用 CHAP 的访问客户端进行身份验证。

由于 CHAP 要求使用可撤消的加密密码，所以，应考虑使用其他身份验证协议（例如 MS-CHAP 版本 2）。

 若要启用基于 CHAP 的身份验证，必须执行下列操作：

1. 启用 CHAP 作为网络访问服务器上的身份验证协议。

2. 在 NPS 中的相应网络策略上启用 CHAP。

3. 启用可撤消加密的用户密码存储。

可以按用户帐户启用其存储，也可以为域中的全部帐户启用存储。

4. 强制重置用户密码，以使新密码采用可撤消形式加密。

NAC网络准入控制、radius、802.1X（列表、list、全）radiuslist
http://www.zh-cjh.com/wenzhangguilei/1008.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html