Миграция сервера RADIUS (NPS/IAS) между версиями Windows Server: от Legacy 2003 до современных ОС

В идеальном мире 2026 года вся сетевая аутентификация уже давно живет в облаке или использует концепции Zero Trust. Но суровая реальность системного администрирования такова: на многих производствах, заводах и в закрытых корпоративных сетях до сих пор работают «серверы-музеи».

Одной из классических головных болей является перенос сервера RADIUS на базе устаревшего IAS (Internet Authentication Service) с Windows Server 2003 на актуальные версии ОС (Windows Server 2016 — 2025).

Изначально IAS использовался для авторизации сетевых администраторов и 802.1X аутентификации на коммутаторах и маршрутизаторах (Cisco, Huawei, D-Link). Начиная с Windows Server 2008, Microsoft эволюционировала эту роль в NPS (Network Policy Server). NPS — это не просто RADIUS, это мощный инструмент для контроля доступа к сети (NAC), но его интерфейс и логика работы отличаются от старого IAS.

Главная проблема, с которой сталкиваются инженеры сегодня: Microsoft официально «закрыла» эпоху Server 2003. Официальные статьи TechNet по прямой миграции на 2016/2019 удалены, а современные средства экспорта не работают «из коробки» без специфической legacy-утилиты IASMigReader.exe.

В этом подробном гайде мы разберем проверенный алгоритм переноса RADIUS-клиентов и политик доступа без простоя сети (downtime). Вы узнаете, где найти недостающие утилиты, как правильно использовать netsh и PowerShell для импорта, и какие подводные камни вас ждут.

Подготовка: прежде чем трогать рабочий сервер

Самая частая ошибка при миграции — сразу взяться за экспорт и импорт, не разобравшись, что вообще переносится. Сервер IAS на Windows 2003, скорее всего, работает у вас годами. За это время политики накапливались, кто-то добавлял клиентов, кто-то правил EAP, а документацию последний раз обновляли ещё когда сервер только ставили. Поэтому первая задача — провести ревизию.

Что именно настроено на старом сервере

Пройдитесь по пунктам и сохраните для себя:

• RADIUS Clients — выпишите все IP-адреса сетевых устройств и Shared Secrets. Секреты придётся вводить вручную на коммутаторах, потому что в файл ias.txt они либо не попадают, либо импортируются в нечитаемом виде.
• Remote Access Policies — какие группы Active Directory используются в условиях, какие типы подключений разрешены, какие атрибуты отдаются обратно на устройство.
• Протоколы аутентификации — если в политиках стоит PAP, SPAP или чистый MS-CHAPv2 без шифрования, самое время это переделать. В 2026 году такие протоколы ломаются за минуты, это не шутка.
• Сертификаты — если использовался PEAP или EAP-TLS, проверьте срок действия серверного сертификата и кем он выдан. После импорта политик на новом сервере NPS, скорее всего, придётся перевыпустить сертификат от актуального внутреннего CA.

Инвентаризация сетевых устройств

Параллельно с ревизией сервера загляните на коммутаторы и маршрутизаторы. Задача — понять, на какой именно IP они смотрят как на RADIUS. Вариантов тут обычно три:

1. Все устройства смотрят на один IP — самый чистый сценарий. После успешного развёртывания нового NPS вы просто перекидываете старый IP-адрес на новую машину, и даунтайм будет минимальным.
2. Прописано несколько серверов (основной и fallback) — можно переключать устройства постепенно, проверяя работу на каждом.
3. IP прописан в разных местах по-разному — готовьтесь к ручной работе. Лучше заранее подготовить скрипт на Python или Ansible-playbook, который массово поменяет адрес RADIUS на сетевом оборудовании.

Сохраните конфиги с каждого устройства или сделайте их бэкап. Если новый NPS поведёт себя странно, вам нужно будет быстро откатить изменения, и без сохранённых конфигов это превратится в головную боль.

План отката

Прежде чем запускать IASMigReader.exe и что-то экспортировать, чётко проговорите с собой: что мы делаем, если новый сервер не заработает? Минимальный план выглядит так:

• Старый сервер не выключаем и не удаляем из сети до полного подтверждения работоспособности нового. Он должен оставаться в боевой готовности.
• IP-адрес старого сервера остаётся за ним до последнего момента. Если что-то идёт не так — сетевые устройства продолжают обращаться к рабочей машине, пользователи ничего не замечают.
• Окно переключения планируйте на нерабочие часы. Если RADIUS отвечает за Wi-Fi в офисе на 500 человек, делать это в понедельник утром — самоубийство для репутации.

Только после того, как у вас на руках есть полная картина текущего состояния, список всех клиентов, бэкапы конфигов и понятный план отката — можно переходить к этапу экспорта.

Экспорт настроек IAS на сервере Windows 2003

Итак, у нас есть сервер IAS под Windows 2003. В русской редакции Windows IAS называется службой проверки подлинности в Интернете. На сервере заведены RADIUS-клиенты и настроены политики доступа.

Для экспорта настроек нужно использовать консольную утилиту IASMigReader.exe.Взять ее можно с установочного диска Windows из папки \sources\dlmanifests\microsoft-windows-iasserver-migplugin.

Примечание. Нами были проверены версии, взятые с 2008R2, 2012R2 и 2016. Корректно отработали только версии с 2008R2 и 2012R2. На версии с Windows 2016 была следующая ошибка:

Видимо раз Windows 2003 уже не поддерживается, то для нее эта утилита уже не предназначена. Кстати, на сайте MSFT также не удалось найти статью по миграции IAS 2003 на 2016, все заканчивается на 2012R2 — скорей всего по той же причине.

Скопируйте во временную папку на целевой сервер Windows 2003 утилиту IASMigReader.exe и запустите. Естественно на сервере у вас должны быть права локального администратора.

Если программа отработала без ошибок, то, как и указано на скриншоте, в папке C:\Windows\System32\ias должен появиться файл ias.txt. Это и есть файл с конфигурацией IAS.

Примечание. Для 64-битной версии Windows файл ias.txt создается в папке С:\Windows\syswow64\ias.

На этом экспорт закончен. Скопируйте файл на целевой сервер с Windows Server 2016.

Развертывание сервера Windows 2016 и добавление роли NPAS

Допустим, что сервер 2016 уже проинсталлирован. Теперь нужно установить роль NPAS. Для этого запустите Server Manager и выберете «Add roles and features».

Отметьте Network Policy and Access Services.

Потом «Add Features».

Щелкните «Install» и дождитесь окончания установки.  Перезагрузки обычно не требуется.

Убедитесь, что установка прошла успешна, и нажмите «Close».

На этом установка сервера NPS закончена.

Для ускорения установки роли, можно также воспользоваться PowerShell:

   Install-WindowsFeature NPAS -IncludeManagementTools

В «Administrative Tools» у вас должен появиться ярлык для консоли NPS.

Видно, что настроенных клиентов RADIUS нет.

Переходим к следующему этапу – импорту настроек.

Импорт конфигурации RADIUS

Импорт настроек IAS можно сделать тремя способами:
• Через GUI консоли;
• Через команду netsh;
• Через PowerShell.

Для импорта через консоль щелкните правой кнопкой по NPS(local) и выберите «Import Configuration». В диалоге укажите файл настроек RADIUS ias.txt, полученный на первом этапе.

Убедитесь, что импорт прошел успешно.

Заметьте, что логирование в SQL нужно будет настроить вручную. В данном примере SQL не использовался, поэтому настраивать не будем.

Примечание. Как уже упоминалось выше импортировать настройки Internet Authentication Service можно также через командную строку:

netsh nps import filename="C:\temp\ias.txt"

или в PowerShell:

Import-Module NPS
Import-NpsConfiguration –Path C:\temp\ias.txt

Проверьте, что все ваши клиенты RADIUS и политики появились в консоли NPS.

Убедитесь, что все политики доступа успешно импортировались. Также проверьте настройки протоколов проверки подлинности, особенно EAP, если использовался. Проверьте и настройте каталог для хранения логов и настройки Accounting.

Если сервер NPS в домене и будет выполнять проверку подлинности для доменных пользователей, то его нужно зарегистрировать в Active Directory. Естественно у вас должны быть права администратора домена для успешного выполнения этой операции. Фактически нужны права на добавление учетной записи компьютера с ролью Network Policy Server во встроенную группу безопасности «RAS and IAS Servers».

Сервер NPS будет проверять полномочия пользователей при подключении с помощью проверки сетевой политики и проверки наличия разрешений на вкладке Dial-in в свойствах учетных записей. Поэтому не забудьте дать права на подключение администраторам сети и включить их в группу, прописанную в сетевой политике NPS, иначе они не смогут авторизоваться на сетевых устройствах через RADIUS сервер.

Примечание. Зарегистрировать в AD можно также командой:

netsh ras add registeredserver

После регистрации в домене нужно рестартнуть службу Network Policy Server.

Примечание. Интересно, что имя службы фактически осталось прежнее – IAS, то есть поменялось только отображаемое имя.

Рестарт службы с помощью команды net.

На этом процесс миграции IAS закончен, теперь надо перенастроить сетевые коммутаторы на новый сервер RADIUS (или перебросить IP-адрес со старого сервера на новый), и проверить вход. Отлаживать процесс входа можно через логи сервера NPS и просмотр событий Windows.

Заключение

Миграция IAS с Windows Server 2003 на NPS — это не просто техническая процедура переноса конфигов, а вынужденная модернизация инфраструктуры, которую давно пора было провести. Утилита IASMigReader.exe и команды импорта делают основную работу, но они не гарантируют, что всё заработает «из коробки». Shared Secrets часто приходится вбивать вручную, сертификаты перевыпускать, а устаревшие протоколы аутентификации — отключать.

Не рассматривайте Windows Server 2016 как финальную точку. В 2026 году эта ОС сама уже находится в зоне риска. Используйте её как промежуточный этап, чтобы стабилизировать работу RADIUS, разобраться с политиками и подготовить переход на Windows Server 2022/2025 или облачные решения. Главное сейчас — обеспечить безопасную и предсказуемую аутентификацию сетевых устройств, а не просто сохранить работоспособность легаси-системы любой ценой.

FAQ