如何延长Windows设备WiFi认证的EAP会话超时时间？

针对Windows设备在MFA批准后认证超时、弹窗重复出现，且NPS日志报Authentication failed due to an EAP session timeout; the EAP session with the access client was incomplete.的问题，以下是Windows端的具体调整方案：

1. 修改EAP会话超时注册表项 #

Windows默认的EAP会话超时阈值较短，不足以覆盖MFA审批的时间窗口，需手动调整：

• 打开注册表编辑器（运行regedit），定位到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EAPOL\Parameters\General\Global
• 新建或修改**DWORD(32位)**值 EapSessionTimeout，设置十进制值为45（单位：秒，可根据团队MFA审批习惯调整到60秒）
• 同步检查HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EAPOL\Parameters\General\Global\EapHost路径下的同名值，确保数值一致
• 修改完成后重启设备生效

2. 调整WiFi网络的PEAP高级配置 #

针对目标WiFi网络，优化PEAP认证的超时与缓存设置：

• 打开「设置 > 网络和互联网 > WiFi > 管理已知网络」，找到问题WiFi，点击「属性」
• 滚动到「安全类型」下方的「其他安全设置」，先确认服务器证书已被信任（证书不信任会触发隐性超时重试）
• 返回WiFi属性，点击「高级设置」，勾选「指定身份验证模式」并选择「用户身份验证」
• 点击PEAP对应的「设置」按钮，勾选「启用快速重新连接」，将「会话超时」设为300秒（5分钟），减少频繁重认证触发的超时
• 取消勾选「允许使用不安全的密码」（可选，增强安全性），保存设置

3. 限制Windows连接重试次数 #

Windows默认的快速重试机制会在超时后立刻弹出认证弹窗，可通过组策略或注册表限制：

• 组策略方式：运行gpedit.msc打开本地组策略编辑器，导航到「计算机配置 > 管理模板 > 网络 > Windows连接管理器」
• 找到「最小化连接重试次数」，设置为「已启用」，将「重试次数」设为1
• 注册表方式：定位到HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy，新建DWORD值MinimizeConnectionRetries，赋值为1

4. 同步NPS服务器端EAP超时设置 #

虽然非Windows设备正常，但确保NPS的EAP超时与客户端匹配：

• 在NPS控制台中，找到目标WiFi认证策略，右键「属性」
• 切换到「EAP方法」标签，选中「Microsoft Protected EAP (PEAP)」并点击「编辑」
• 将「会话超时」设为300秒，和客户端设置一致；「最大认证重试次数」设为2，避免服务器过早终止会话

5. 排查EAP事件日志定位深层问题 #

如果以上方案无效，查看客户端EAP日志获取细节：

• 打开事件查看器，导航到「应用程序和服务日志 > Microsoft > Windows > EapHost > Operational」
• 筛选错误事件，检查是否存在证书信任失败、EAP协商异常等问题，针对性修复

内容的提问来源于stack exchange，提问作者ql-lp