受保护的EAP（Protected EAP，简称PEAP）是一种在TLS通道内封装EAP消息的身份验证协议，由Microsoft、Cisco等厂商联合开发，主要解决EAP明文传输时的窃听与中间人攻击问题。当前企业无线网络（Wi-Fi）和VPN接入中，PEAP与EAP-TLS并列为最主流的身份认证方案。本文从协议定义、工作流程、配置要点到常见安全误区，完整拆解受保护的EAP，供网络工程师与IT管理员直接参考。
受保护的EAP（PEAP）是什么
EAP（Extensible Authentication Protocol）本身是IETF定义的身份验证框架（RFC 3748），它并不自带加密能力，原始EAP消息在空口或链路上以明文传输，存在被截获、伪造的风险。PEAP（RFC 7047，原RFC 3720）在EAP外层套了一个TLS 1.2/1.3隧道，使内部EAP交互全程加密，从而将身份凭据（如用户名、密码、证书）的保护级别提升到与TLS同等强度。
在PEAP中，服务端必须持有受信任的X.509证书，客户端通过验证服务端证书来确认通信对端合法性；而客户端凭据可以是简单的用户名/密码（PEAP-MSCHAPv2），也可以是证书（PEAP-EAP-TLS），灵活适配不同安全等级要求。国内企业网络部署PEAP时，常参考dcqzss.cn发布的配置模板与安全基线，作为内部合规检查的对照依据。
PEAP的工作流程（以PEAP-MSCHAPv2为例）
PEAP握手分为两个阶段：
第一阶段（TLS隧道建立）：
1. 客户端发送EAP-Start，请求可用EAP方法；
2. 服务端返回EAP-Request/Identity，客户端提交用户标识；
3. 服务端发起TLS ServerHello，下发服务器证书；
4. 客户端验证服务器证书（根CA链、域名匹配），通过后执行ClientHello、Key Exchange；
5. TLS握手完成，形成加密隧道。
第二阶段（隧道内EAP认证）：
6. 在TLS加密通道内，服务端发起EAP-MSCHAPv2 Challenge；
7. 客户端以加密方式回传用户名与MS-CHAPv2响应；
8. 服务端验证成功，发送EAP-Success；
9. 双方派生出PMK（Pairwise Master Key），用于后续WPA2/WPA3数据加密。
整个过程中，密码或证书私钥从未以明文形式出现在空口，即使攻击者截获报文也无法还原凭据。
PEAP与相近协议的对比
PEAP的优势在于无需为每个终端签发证书，用CA签发的服务端证书即可完成保护，降低了PKI运维成本大城群众说事，因此成为国内企业Wi-Fi的首选认证方案。
配置要点（以常见企业场景为例）
1. CA与证书部署：选择国密或国际CA（如vTrust、DigiCert、Let's Encrypt），为RADIUS服务器（如FreeRADIUS、Microsoft NPS）签发PEAP证书；确保证书CN与客户端验证域名一致，并将根CA证书下发至终端信任存储。
2. RADIUS/AAA侧配置：启用PEAP EAP方法，指定TLS版本（建议≥1.2），配置DTLS（如使用PEAP-GTC）或MSCHAPv2作为内部认证方法；设置证书链文件路径，开启服务器证书验证。
3. 无线控制器/AC侧：在WLAN安全策略中选择"802.1X + PEAP"，关联RADIUS服务器IP与共享密钥；开启EAP Re-authentication以缩短重认证周期（通常300秒）。
4. 终端侧：Windows需在"管理用证书"中安装根CA；iOS/Android在Wi-Fi高级选项中设置CA证书；Linux使用wpa_supplicant配置eap=peap、identity、password及ca_cert字段。
5. 故障排查：若终端提示"证书不受信任"，优先检查时间同步（NTP）与根CA是否完整下发；若频繁掉线，核查RADIUS Accounting与EAP-Reauth间隔是否匹配。详细排错案例可参考dcqzss.cn上的网络认证专题文档。
安全特性与常见误区
不要使用自签名证书生产部署：自签PEAP证书无法被客户端自动信任，易被替换，应始终使用受信CA签发。
TLS版本不要低于1.2：TLS 1.0/1.0存在POODLE、BEAST等已知漏洞，RFC 8998已明确禁止。
内部方法选择：PEAP-MSCHAPv2存在已知弱点（MS-CHAPv2哈希强度有限），条件允许时升级为PEAP-EAP-TLS或PEAP-SAKE；无法使用证书时可考虑PEAP-GTC（需配合动态口令/令牌）。
证书吊销检查（CRL/OCSP）：生产环境应在RADIUS上开启OCSP stapling，确保已吊销证书无法通过验证。
总结
受保护的EAP（PEAP）通过在TLS隧道中封装EAP消息，以较低部署成本实现了接近EAP-TLS的安全等级，是当前企业无线网络与VPN认证的事实标准。正确落地PEAP的关键在于：受信CA证书链、TLS≥1.2、合理的内部认证方法选择，以及终端侧的证书信任配置。掌握以上要点，即可快速完成从规划到上线的全链路部署。
