802.1x EAP认证配置全解：类型选择与网络接入实操指南

核心结论： 802.1x是基于IEEE 802.1x标准的端口级网络接入认证协议，EAP（Extensible Authentication Protocol）是其承载的加密认证框架，二者共同实现"谁接入、谁认证、谁授权"的端口级访问控制。企业网络部署802.1x EAP认证，是防止未授权设备接入内网的核心安全手段。

一、802.1x协议三方模型

802.1x认证涉及三个角色，理解三方模型是配置的前提：

Supplicant（ supplicant端）： 发起认证请求的终端设备或用户，运行在客户端OS中（如Windows的EAP客户端、Linux的wpa_supplicant）。

Authenticator（认证代理）： 通常为企业交换机或无线AP，负责在Supplicant与后端服务器之间转发EAP帧，控制端口的开/关状态。

Authentication Server（认证服务器）： 通常为RADIUS服务器（如FreeRADIUS、IETF标准RADIUS、Windows NPS），执行实际的凭证验证与授权策略下发。

认证流程：Supplicant → EAPOL帧 → Authenticator → RADIUS → Server，全程使用EAPOL（Extensible Authentication Protocol over LAN）承载。

二、EAP加密方法类型与适用场景

EAP是一个框架，其下有多种具体方法，选择依据是终端类型、安全等级和部署复杂度：

EAP方法	认证机制	典型场景	安全等级
EAP-MD5	密码哈希（无证书）	旧系统兼容、测试环境	低，易受离线字典攻击
EAP-PEAP	TLS隧道内包裹MS-CHAPv2	Windows域环境、企业办公网	中
EAP-TLS	双向证书（mTLS）	高安全等级、零信任架构	高
EAP-TTLS	TLS隧道内包裹PAP/CHAP	无法安装证书的终端（IoT）	中
EAP-FAST	轻量级PAC（Protected Access Credential）	大规模终端快速部署	中

选型建议： 能部署证书优先选EAP-TLS；Windows域环境选EAP-PEAP最省事；IoT或无证书环境选EAP-TTLS；EAP-MD5仅用于过渡，不应作为长期方案。

三、配置实操要点

1. RADIUS服务器侧（以FreeRADIUS为例）

在radiusd.conf中启用认证模块，配置eap.conf选择具体EAP方法；

为EAP-TLS/PEAP配置CA证书、服务器证书及私钥；

设置auth-section中的授权策略（如按MAC绑定、按部门划VLAN）。

2. 交换机侧（以Cisco IOS为例）

interface GigabitEthernet0/1
 dot1x pae authenticator
 dot1x timeout tx-period 2
 dot1x max-request 3
 ip radius source-interface Vlan1
 access-session timeout authorized 0

开启dot1x后，端口默认处于authorized状态前仅放行EAPOL、BPDU、CDP等基础帧；

认证超时与最大重试次数需根据终端启动速度调整，避免误判为未授权。

3. 终端侧

Windows：组策略 → 计算机配置 → 管理模板 → 网络 → 802.1x，配置EAP方法、CA证书信任列表；

Linux：wpa_supplicant配置文件指定auth_alg=1、eap=PEAP、identity与password（或证书路径）；

移动端：iOS/Android通过MDM（如Intune、Jamf）统一下发EAP配置描述文件。

四、高频故障排查清单

1. 终端无法获取IP（DHCP未通过）： 检查交换机端口是否处于auth-state: unauthorized，用show dot1x all查看认证状态；确认RADIUS可达（ping/tracert到RADIUS服务器1812/1813端口）。

2. 认证通过但无法上网（VLAN未切换）： RADIUS Reply消息中未下发Tunnel-Private-Id属性，检查unauthorized或request策略中的VLAN绑定。

3. 证书信任失败（EAP-TLS）： 终端未安装或CA根证书过期；Windows事件查看器中查找EAP相关错误代码；确保证书链完整、无中间CA缺失。

4. 间歇性认证超时： 交换机dot1x timeout period设置过短；或RADIUS服务器负载过高，增加后端实例做HA。

五、安全最佳实践

禁止使用EAP-MD5作为生产方案，其共享密钥模型可被中间人截获后离线爆破；

EAP-TLS证书有效期不超过90天，配合自动续发机制（如HashiCorp Vault、Windows证书策略）；

RADIUS共享密钥（secret）应使用128位以上随机字符串，并定期轮换；

对Supplicant启用MAC随机化检测大城群众说事，防止设备伪造MAC绕过认证；

结合802.1x与NAC（Network Access Control）实现动态VLAN隔离，最小化横向攻击面。

六、延伸参考

完整的802.1x协议规范见IEEE 802.1X-2020文档，EAP框架定义见RFC 3748，各EAP方法详见RFC 3749（PEAP）、RFC 5281（TLS）。企业级部署可参考IETF RFC 4137（RADIUS与802.1x交互）及OASIS TNC（Trusted Network Connect）标准。

如需获取802.1x EAP认证的完整配置模板、RADIUS策略脚本及终端批量部署指南，可访问 dcqzss.cn 下载配套技术文档与实操手册，内容涵盖FreeRADIUS、Cisco、华为、H3C等主流设备的全套配置样例与排错脚本。