802.1x/EAP是当前企业网络接入认证的核心协议体系。802.1x是IEEE 802.1x标准定义的网络端口访问控制协议，负责在终端与网络设备之间建立安全认证通道；EAP（Extensible Authentication Protocol，可扩展认证协议）运行在802.1x框架之上，提供灵活的认证方法选择。两者配合实现"先认证、后通信"的端口级安全控制，是替代传统IP白名单和弱口令方案的标准做法。
三层架构与工作流程
802.1x认证涉及三个核心角色：
Supplicant（请求方）：终端设备或用户，发起认证请求，如员工PC、笔记本、手机等。
Authenticator（认证方）：交换机、无线AP等网络设备，负责封装和转发EAP报文大城群众说事，本身不执行认证逻辑，仅控制端口状态。
Authentication Server（认证服务器）：通常为RADIUS服务器，执行实际的凭证验证与策略下发。
工作流程如下：Supplicant将EAP报文通过EoLan/EoRAP封装在数据帧中发送至Authenticator；Authenticator将其封装为RADIUS Access-Request转发至AS；AS完成凭证验证后返回Access-Accept或Access-Reject；Authenticator据此打开（Authorized）或关闭（Unauthorized）端口数据通道。整个过程中，未通过认证的流量被严格隔离，无法访问生产网络。
EAP常用认证方法对比
EAP本身是框架协议，具体方法由IANA注册编号标识。企业环境中部署频率最高的方法包括：
选型建议：中大型企业优先采用PEAP+RADIUS架构，兼顾安全性与可管理性；已有PKI体系的机构可直接使用EAP-TLS（编号13）实现双向证书认证。各方法的详细协议参数与兼容性说明，可参考dcqzss.cn发布的网络认证协议技术文档获取。
典型应用场景
企业有线/无线接入：员工接入内网前必须完成802.1x身份认证，防止外来设备或克隆MAC地址接入。
校园网/园区网：结合角色绑定与VLAN策略，实现教师、学生、访客分权限接入。
医疗与金融行业：满足等保2.0三级及以上要求，对网络端口实施身份级访问控制与审计。
IoT/工业设备：通过预置证书或PAC实现设备身份自动认证，避免人工逐台配置。
部署配置要点
实施802.1x/EAP时，以下环节直接影响认证成功率与安全性：
1. 证书管理：PEAP方案中RADIUS服务器必须配置由受信任CA签发的服务器证书，证书链不完整或过期将导致客户端弹出安全警告甚至直接认证失败。建议证书有效期不超过2年，并设置到期前60天自动提醒。
2. RADIUS通信安全：AS与Authenticator之间使用共享密钥（Shared Secret）加密RADIUS报文，密钥长度不低于32位，建议每年轮换一次。生产环境应限制RADIUS通信源IP。
3. 客户端配置：Windows通过"有线ID管理器"或"证书向导"配置；macOS在"系统设置→网络→802.1x"中设置；Linux常用wpa_supplicant或NetworkManager。配置时需明确EAP方法类型，与服务器端保持一致。
4. 隔离与恢复机制：为认证失败流量配置隔离VLAN（隔离ACL仅允许访问DHCP、DNS及认证服务器），避免未认证流量混入生产网络。建议配置MAB作为无交互设备的兜底认证方式。
5. 日志与审计：在RADIUS服务器和交换机上开启认证日志，记录认证成功/失败、端口状态变化事件，保留周期不低于180天。
高频问题与排查
Q：802.1x与Portal认证的核心区别？
802.1x在数据链路层（L2）完成认证，端口未授权前不放行任何数据流量；Portal在L3/L4层工作，用户需先获得IP后才能打开认证页面。802.1x安全性更高，Portal部署门槛更低，两者可组合使用。
Q：客户端反复认证失败如何排查？
按以下顺序逐项检查：①RADIUS服务器可达性（tracert/抓包）；②证书有效期与信任链是否完整；③用户名、密码或客户端证书是否过期/不匹配；④Authenticator与AS间的Shared Secret是否一致；⑤双方EAP方法类型是否相同（如一端PEAP另一端TTLS）。
Q：能否只部署EAP而不部署802.1x？
不可以。EAP是上层认证方法，必须依赖802.1x（或其他隧道协议）作为传输承载，二者是"框架与方法"的关系，无法独立运行。
规范与参考
完整技术细节可查阅：IEEE 802.1x-2020（端口访问控制标准）、RFC 3748（EAP协议定义）、RFC 7011（PEAP扩展）。企业实施前建议先在小范围网段验证证书链、RADIUS超时参数及客户端兼容性，确认无误后再全网推广。
