Windows & Server

Network Policy Server (NPS)

Overview

Network Policy Server (NPS) ist die Microsoft-Implementierung eines RADIUS-Servers und -Proxys nach RFC 2865 und RFC 2866. Er wird mit der Rolle Netzwerkrichtlinien- und Zugriffsdienste (NPAS) installiert und prüft Anfragen von WLAN-Controllern, Switches mit 802.1X, VPN-Gateways oder Firewalls gegen Active Directory oder die lokale SAM-Datenbank.

NPS kann als RADIUS-Server, als RADIUS-Proxy (Weiterleitung an andere RADIUS-Server) oder beides arbeiten und protokolliert Zugriffe in Textdateien oder in SQL Server. Die Rolle ist laut Microsoft Learn auf Server Core nicht verfügbar, nur auf Server mit Desktopdarstellung. Network Access Protection (NAP) wurde mit Windows Server 2016 entfernt.

Sicherheit: Mit den Updates vom 9. Juli 2024 hat Microsoft auf die RADIUS-Schwachstelle CVE-2024-3596 (BlastRADIUS) reagiert, bei der MD5-Kollisionen manipulierte Pakete ermöglichen. NPS bietet seither Optionen, das Attribut Message-Authenticator zu erzwingen; sie sind standardmäßig aus und sollten nach einer Audit-Phase aktiviert werden. Für Entra-ID-Umgebungen ergänzt die NPS-Erweiterung für Microsoft Entra MFA eine zweite Faktorprüfung.

How it works

Die Verarbeitung einer Anfrage läuft in festen Schritten:

  1. Netzwerkzugriffsserver (WLAN-Controller, Switch, VPN-Gateway) sind in NPS als RADIUS-Clients mit gemeinsamem geheimen Schlüssel eingetragen und senden Access-Requests, üblicherweise an UDP 1812 (Authentifizierung) und 1813 (Accounting).
  2. Verbindungsanforderungsrichtlinien entscheiden, ob NPS die Anfrage selbst bearbeitet oder an eine Remote-RADIUS-Servergruppe weiterleitet.
  3. NPS authentifiziert den Benutzer oder Computer gegen AD DS, z. B. mit PEAP-MSCHAPv2 oder zertifikatbasiert mit EAP-TLS.
  4. Netzwerkrichtlinien prüfen Bedingungen wie Gruppenzugehörigkeit, NAS-Typ oder Uhrzeit und liefern bei Erfolg Attribute zurück, etwa eine VLAN-Zuweisung.
  5. Accounting protokolliert Beginn und Ende der Sitzung.

Für Cross-Forest-Szenarien mit EAP-TLS oder PEAP-TLS ist ein RADIUS-Proxy nötig. Die Einstellungen zu Message-Authenticator setzt Du in der NPS-Konsole oder per netsh, Ereignisse 4418 bis 4421 zeigen nicht konforme Clients.

Benefits

  • Ein zentraler Punkt für Zugriffsentscheidungen statt lokaler Konten auf jedem Switch oder Access Point.
  • 802.1X mit Zertifikaten verhindert, dass fremde Geräte allein durch Einstecken ins Netz gelangen.
  • Dynamische VLAN-Zuweisung nach AD-Gruppe ermöglicht Netzwerksegmentierung ohne Handpflege der Ports.
  • Accounting liefert Nachweise, wer wann im Netz war.
  • Bestandteil von Windows Server, keine separate RADIUS-Software nötig.

Practical example

Ein Maschinenbauer mit 450 Mitarbeitenden ersetzt den gemeinsamen WLAN-Schlüssel durch 802.1X mit EAP-TLS. Zwei NPS-Server prüfen die per AD CS ausgestellten Computerzertifikate, eine Netzwerkrichtlinie weist Produktionsgeräten ein eigenes VLAN zu. Nach einer zweiwöchigen Audit-Phase aktiviert die IT die Pflicht für Message-Authenticator, nachdem zwei ältere Switches per Firmware-Update nachgerüstet wurden. Ausgeschiedene Geräte verlieren mit dem Sperren des Zertifikats sofort den Netzzugang.

Things to keep in mind

  • Aktiviere die Message-Authenticator-Optionen gegen BlastRADIUS (KB5040268), zuerst im Audit-Modus, dann verbindlich.
  • Betreibe mindestens zwei NPS-Server und synchronisiere die Konfiguration, z. B. per Export und Import, sonst bricht bei Wartung der Netzzugang weg.
  • Bevorzuge EAP-TLS mit Zertifikaten gegenüber PEAP-MSCHAPv2, weil Kennwort-Hashes bei MSCHAPv2 angreifbar sind.
  • Nutze lange, zufällige gemeinsame geheime Schlüssel pro RADIUS-Client.
  • Plane NPS-Server mit Desktopdarstellung ein, da die Rolle auf Server Core nicht verfügbar ist.

Licensing & availability

Rolle in Windows Server Standard und Datacenter (2016 bis 2025) ohne Zusatzlizenz; Benutzer und Geräte, die über NPS authentifiziert werden, benötigen nach den Microsoft-Produktbedingungen in der Regel Windows Server CALs. Die NPS-Erweiterung für Microsoft Entra MFA setzt Entra-ID-Lizenzen mit MFA voraus. Stand: Oktober 2026.

Conclusion

NPS ist für 802.1X und VPN-Authentifizierung in AD-Umgebungen die naheliegende Wahl. Prüfe, ob die Härtung gegen BlastRADIUS aktiv ist, denn die Schutzoptionen sind standardmäßig ausgeschaltet.

Further reading

Related articles