EAP/MSCHAPv2 身份验证在具有自定义身份验证器的 Windows 上（仅）失败

Question 1

根据我的经验，StrongSwan 和 Windows 的组合是有问题的。而且您有相当多的变量。我可能无法为您提供确切的答案，因为我不知道整个设置。微软喜欢复古密码和散列算法。

确保 dh-group 符合预期，并且密码格式似乎存在差异，这可能与 Win 身份验证和 NTLM 哈希有关？而且我可以看到，数据包的大小似乎与您的 POC 和 Win 不同，这可能是哈希、dh-group 或使用的证书（如下所述）。

在下面的任何相关项目中，您都应该能够重用库或验证您的实现，或者这可能会有所帮助：https://github.com/enaess/ppp-eap-mschapv2

https://forums.freebsd.org/threads/howto-set-up-a-l2tp-ipsec-vpn-dial-in-server-part-i-to-iii.26755/

启用针对系统密码数据库的身份验证。此选项只能与 PAP 和 MS-CHAP 一起使用，而不能与 CHAP-MD5 一起使用。如果您打算将其与 MS-CHAP 一起使用，则 master.passwd 中的密码必须是 NT-Hashes。您可以通过将 :passwd_format=nth: 放入 /etc/login.conf 来启用此功能，但您至少需要 FreeBSD 5.2。

似乎也存在一些不寻常的行为： https://github.com/FreeRADIUS/freeradius-server/issues/679

无法连接到 Windows Server 2008 商业 VPN： https://wiki.strongswan.org/issues/1252

https://wiki.strongswan.org/issues/2352

这是因为 mschapv2 需要实现 MD4 算法，该算法由 md4 插件实现，而您没有加载该插件。

每个值的评论中也提到了一些部分 https://wiki.strongswan.org/projects/strongswan/wiki/Win7EapMultipleConfig

rightsendcert=never
Since the clients authenticate themselves using EAP-MSCHAPv2 the gateway is not going to
send any certificate requests. However, if strongSwan serves other clients using certificate
authentication, never should not be used, as a responder usually can not enforce this
option for specific connections.

eap_identity=%any
The strongSwan gateway is using the EAP Identity protocol to request an EAP identity different from
the peer's IKEv2 identity.

auto=add
The connection win7 is parsed and loaded by the the IKEv2 charon daemon but the VPN gateway will
act as a responder and passively wait for the Window 7 client to start the IKE negotiation.

这部分描述在微软文档

“此错误的典型原因是 NPS 指定了客户端无法满足的身份验证条件。例如，NPS 可能指定使用证书来保护 PEAP 连接，但客户端正尝试使用 EAP-MSCHAPv2。”

确保您满足所有要求，通常它只是错误的组或密码： https://support.microsoft.com/en-us/help/2744850/implementing-peap-ms-chap-v2-authentication-for-microsoft-pptp-vpns

这不是答案，而是一个方向。希望它能有所帮助。

Answer

根据我的经验，StrongSwan 和 Windows 的组合是有问题的。而且您有相当多的变量。我可能无法为您提供确切的答案，因为我不知道整个设置。微软喜欢复古密码和散列算法。