MAB + NAP on NPS

Для повышения секурности в дополнение к используемому NAP'у было решено для отдельных классов Non NAP-Capable устройств (читай принтеров) использовать механизм MAB -- MAC Authentication Bypass, взамен простого Port-Security.

Работать все это должно с существующей инфраструктурой. Аутентификация устройств осуществляется на основе учетных записей в AD по протоколу PAP.

Единственное что удалось найти в интернете (в частности на сайте Майкрософт) -- MAC Address Authorization -- статья, следуя которой MAB НЕ построить. А построить его можно так:
- в настройках NPS добавить к существующей политике метод авторизации PAP;

- прочитать указанную выше статью технета, и убедиться что у вас в реестре НЕТ данных ключей (в статье их рекомендуют создать);

- создать в AD учетки пользователей с именами и паролями соответствующими MAC-адресу устройства (маленькими буквами без разделителей);

- настроить сетевые девайсы например так (не забыв указать RADIUS-сервера в конфиге):

interface FastEthernetXXX
description NAP + MAB
switchport mode access
power inline never
authentication order mab dot1x
authentication priority dot1x mab
authentication port-control auto
authentication periodic
mab
dot1x pae authenticator
spanning-tree portfast
end

Как-то так.