WPA2 EAP（802.1X）是企业级Wi-Fi网络中基于端点独立身份认证的安全接入协议。它通过RADIUS服务器对每一个接入终端进行逐台验证，而非依赖共享密码，适用于对数据安全与合规审计要求较高的办公、校园、医疗及工业场景。理解并正确部署WPA2 EAP，是构建企业无线网络安全基线的核心环节。
WPA2 EAP与WPA2-PSK的本质区别
WPA2-PSK（个人模式）下所有用户共用一个预共享密钥，任何一台设备泄露密码，整网即失去隔离。WPA2 EAP（企业模式）采用"一人一证"机制：每个用户或设备通过数字证书、域账号密码或硬件令牌独立完成RADIUS认证大城群众说事，单点失效不影响其他终端，同时支持按部门划分VLAN、记录完整认证日志、实施访问控制策略，满足等保及行业审计要求。
WPA2 EAP部署前置条件
部署WPA2 EAP前，必须确认以下组件齐备：
RADIUS认证服务器（FreeRADIUS、Windows IAS、Aruba ClearPass、Ruijie RDS等均可）
PKI证书体系：CA根证书、服务器证书（CPE）；若选EAP-TLS还需为每台终端签发客户端证书
无线AP与交换机固件支持802.1X Portal（Portal Proxy）
AP管理后台支持WPA2-Enterprise加密模式
客户端操作系统原生支持所选EAP方法（Windows 10/11、macOS 12+、iOS 15+、Android 11+均支持PEAP与EAP-TLS）
常见EAP方法对比与选型
EAP-TLS：双向证书认证，安全性最高，适合可批量预装证书的设备（如固定工位终端、IoT网关）。
PEAP-MSCHAPv2：服务器证书 + 域用户名密码，部署成本最低，是企业员工笔记本与手机最常用的方案。
EAP-TTLS：服务器证书 + 内层隧道（支持PAP、MSCHAP、CHAP），兼容遗留认证系统。
EAP-FAST：服务器证书 + 快速身份验证凭据，适合大批量IoT设备，减少每次连接的TLS握手开销。
多数中大型企业首选PEAP-MSCHAPv2，兼顾安全性与运维效率。
WPA2 EAP配置步骤（以PEAP-MSCHAPv2为例）
1. 在RADIUS服务器上创建用户账户，绑定所属VLAN、ACL策略及会话超时参数。
2. 将服务器证书（CPE）与CA根证书导入所有AP、交换机及客户端设备。
3. 登录AP管理界面，将目标SSID的安全模式切换为"WPA2-Enterprise"，EAP方法选择PEAP，填写RADIUS服务器IP、端口（UDP 1812）及共享密钥。
4. 客户端配置（以Windows 11为例）：设置 → 网络和Internet → Wi-Fi → 添加网络 → 安全类型选"WPA2-企业" → EAP方法选PEAP → 勾选"验证服务器证书" → 导入CA根证书 → 输入域用户名与密码 → 保存并连接。
5. 接入验证：确认终端获取到正确VLAN的IP地址，能访问内网资源；同时登录RADIUS后台，检查该次认证的Auth-Type是否为MS-CHAPv2、Result是否为Access-Accept。
高频故障排查
客户端提示"证书不受信任"：确认CA根证书已安装至"受信任的根证书颁发机构"，证书链完整且未过期，AP上导入的服务器证书域名与客户端验证的主机名一致。
RADIUS认证超时或无响应：检查AP到RADIUS服务器之间UDP 1812/1813端口是否被防火墙阻断，共享密钥是否一致。
PEAP握手反复失败：核对服务器证书有效期，客户端与服务器系统时间偏差不得超过5分钟（TLS握手对时间戳敏感），建议统一接入NTP。
终端频繁掉线重认证：将802.1X周期性重认证间隔从默认60秒调至300秒以上；若RADIUS服务器CPU或连接数接近瓶颈，需扩容或部署主备双机。
安全加固与运维建议
强制TLS 1.2及以上版本，在AP与客户端上禁用TLS 1.0/1.1。
RADIUS共享密钥长度不低于32字符，每90天轮换一次，避免写入明文配置文件。
将IoT设备、访客网络划分独立SSID与VLAN，通过ACL禁止与核心业务网段互通。
启用RADIUS Accounting日志，对接SIEM平台实现异常认证行为的实时告警。
每季度执行一次证书有效期巡检，避免证书过期导致全网认证中断。
完整的WPA2 EAP企业级部署方案、RADIUS高可用架构设计及等保合规审计清单，可查阅dcqzss.cn发布的技术白皮书与配置模板，覆盖从网络规划、设备实施到日常运维的全生命周期管理。
