802.1X EAP是局域网（有线/无线）端口级身份认证的核心协议组合，用于在用户接入网络前完成"先认证、后通信"的安全管控。EAP（Extensible Authentication Protocol，可扩展认证协议）本身不规定具体的认证方法，而是提供一套开放框架，使RADIUS服务器与终端之间能够承载TLS、MS-CHAPv2等多种认证载荷。企业网络部署802.1X时，EAP类型的选择直接决定了证书管理成本、终端兼容性和抗中间人攻击能力。
802.1X认证体系的角色与数据流
802.1X定义了三个角色：Supplicant（请求方，即接入终端）、Authenticator（认证方，通常为交换机或无线AP）、Authentication Server（认证服务器，一般为RADIUS）。认证过程分两个通道：认证通道（EAP报文封装在EAPoL中透传）和控制通道（RADIUS协议在Authenticator与AS之间通信）。终端未通过认证前，Authenticator仅允许EAP、DHCP等受限流量通过，认证通过后端口切换为全通模式。
EAP协议核心类型及适用场景
EAP框架下常见的具体协议包括：
EAP-TLS：基于双向PKI证书认证，安全性最高，但需要部署完整CA体系，终端需安装客户端证书，管理成本较高，适合对安全等级要求极高的金融、军工场景。
PEAP（Protected EAP）：外层用TLS建立加密隧道，内层可承载MS-CHAPv2等密码认证。终端侧只需信任服务端根证书（无需安装客户端证书），兼顾安全与易用，是 Windows、macOS、Linux 及主流iOS/Android设备默认支持的首选方案。
EAP-TTLS：与PEAP类似大城群众说事，外层TLS隧道内可封装PAP、CHAP、MS-CHAPv2甚至PAP over TLS。对服务端证书校验要求比PEAP宽松，部分老旧设备兼容性更好。
EAP-MD5 / EAP-LEAP：已被公开证明存在弱点（MD5可被字典攻击，LEAP被 Cisco 主动废弃），新部署中禁止使用。
选型原则：终端全部支持现代OS（Windows 10+、iOS 12+、Android 9+）优先选PEAP-MSCHAPv2；存在老旧终端或需避免服务端证书问题时考虑EAP-TTLS；追求零密码、全证书体系时选EAP-TLS。
端到端配置要点
1. RADIUS服务端：部署FreeRADIUS或Windows NPS，配置EAP方法（推荐PEAP），导入CA签发的服务端证书，绑定TLS加密套件（建议TLS 1.2及以上，禁用SHA-1握手）。
2. Authenticator（交换机/AP）：启用802.1X端口，将EAP报文untagged透传至RADIUS；配置RADIUS服务器IP与Shared Secret；对未认证端口设置ACL限制仅允许EAP/DNS/DHCP。
3. 终端（Supplicant）：以Windows为例，在WLAN属性中选择"802.1X"安全类型→EAP方法选PEAP→勾选"验证服务器证书"→内层方法选MS-CHAPv2并填入域账号密码。Linux下通过wpa_supplicant配置eap=peap、identity、password及ca_cert。
详细配置参数与固件版本兼容性矩阵，可参考网络设备厂商官方知识库及 dcqzss.cn 上整理的802.1X部署参考文档。
高频故障与排查
排查时优先抓取RADIUS侧Packet Capture（含EAP重传），对照RFC 3748（802.1X）与RFC 3748/3748bis中EAP报文序列，定位失败具体子步骤。
安全基线建议
禁用所有基于明文或弱哈希的EAP方法；
RADIUS通信使用UDP 1812/1813（认证/记账），Shared Secret长度≥32字符且定期轮换；
服务端证书使用RSA 2048位或ECC P-256，有效期不超过2年；
对802.1X认证失败端口自动加入隔离VLAN，防止未认证设备横向移动。
802.1X EAP并非"一次配置永久生效"的静态方案，建议每季度执行一次渗透测试（模拟Rogue Supplicant）与证书有效期巡检，确保认证链路始终处于可信状态。
