Que endereço você registra como cliente RADIUS do NPS?

Um gateway VPN que entrega a autenticação ao Windows NPS precisa de um objeto no lado do NPS antes que qualquer política de usuário rode: uma entrada de cliente RADIUS para o gateway. A maioria das tentativas que falham registra o endereço errado, porque o endereço que importa é o que o gateway usa no seu caminho de backend, não o nome de host que a equipe digita no aplicativo VPN. Se esse valor estiver errado, o NPS descarta a requisição em silêncio, o que do lado do cliente parece uma senha incorreta. Três condições decidem qual endereço pertence ao campo, então resolva-as antes de abrir o console.

Registre o gateway, não os notebooks nem o pool

O objeto de cliente RADIUS representa o dispositivo de acesso à rede que envia requisições de autenticação. É o gateway VPN, não cada notebook que executa o cliente, nem a faixa de endereços entregues dentro dos túneis.

Esses endereços de túnel nunca aparecem como origem de uma requisição RADIUS, porque a requisição viaja pelo caminho de rede próprio do gateway. Registrar uma entrada de pool de clientes produz uma política que nunca pode corresponder, enquanto a requisição real chega de um endereço que o NPS nunca ouviu. A mesma confusão leva as pessoas a adicionar o IP doméstico de cada funcionário, o que é ao mesmo tempo insustentável e errado.

Três condições decidem o endereço que você digita

Primeiro, encontre o endereço de origem que o gateway realmente usa em direção ao NPS. Um gateway com várias interfaces costuma enviar de uma interface de gerenciamento ou de backend em vez do seu ouvinte VPN público. Segundo, verifique se há NAT entre os dois: se a requisição é traduzida, o NPS vê o endereço traduzido, e esse é o valor a registrar. Terceiro, se dois gateways compartilham o papel, cada origem de requisição precisa da sua própria entrada de cliente, porque um único objeto com um endereço cobre apenas um deles.

Um registro de duas pontas mantém o par em ordem. A tabela abaixo usa endereços privados como ilustração, então substitua pelos que o seu caminho realmente usa.

Confirme a origem em vez de adivinhá-la. Observe o log do NPS ou do firewall durante uma tentativa, ou capture no host do NPS com sudo tcpdump -ni any udp port 1812. O endereço nessa captura é a única resposta defensável para a entrada de cliente. Se o gateway tem várias origens possíveis, registre cada uma com o seu próprio nome amigável.

O segredo compartilhado é um valor entre o gateway e o NPS

O segredo compartilhado autentica a relação entre os dispositivos. Não é uma senha de usuário e nunca é distribuído à equipe nem embutido em perfis de cliente.

Escolha um valor, insira-o nos dois lugares e guarde-o onde vive o backup da configuração do gateway. Uma divergência produz uma requisição que o NPS descarta sem erro útil, e isso no log do gateway não se distingue de um servidor inalcançável. Rotacione durante uma janela de manutenção e atualize as duas pontas na mesma mudança.

Confirme com uma requisição permitida

Use uma conta controlada e correlacione uma única tentativa nos dois lados. No gateway, confirme que a requisição saiu em direção ao servidor previsto; no NPS, que chegou do cliente registrado e correspondeu à política de requisição de conexão esperada. Um tempo esgotado e uma rejeição significam coisas diferentes, e tratar os dois como problema de credenciais desperdiça a hora seguinte. Depois teste uma conta válida mas inelegível e uma senha errada, porque uma política que aceita tudo também passa no primeiro teste.

Por fim, verifique o que o gateway faz com a autorização devolvida. Registrar um cliente RADIUS apenas permite que o dispositivo participe; não concede acesso à LAN a cada sessão resultante.

Mantenha a saída de diagnóstico delimitada: sem segredos compartilhados, sem senhas de usuário, sem cargas completas de pacote em um ticket de suporte. Se o projeto exige que o servidor NPS leia atributos de diretório, essa permissão é uma tarefa administrativa separada do registro do cliente, e quando falta ela falha de outra forma.