802.1X 协议认证学习笔记 - 心宇16969

学习主题：IEEE 802.1X 网络访问控制协议
相关技术：EAP、EAPOL、RADIUS、WPA2/WPA3-Enterprise、Portal
应用场景：企业、校园、机场、酒店、商场、公共 Wi-Fi
学习目标：理解网络接入认证原理、认证流程，以及不同认证技术之间的区别。

一、802.1X 协议概述

1.1 什么是 802.1X？

802.1X（IEEE 802.1X）是一种基于端口的网络访问控制协议（Port-Based Network Access Control，PNAC）。

它的核心作用是：

在设备获得正常网络访问权限之前，先对设备或用户进行身份认证。

802.1X 主要用于有线局域网和无线局域网的接入控制。

例如：

企业员工连接公司内部 Wi-Fi，需要输入企业账号和密码。
大学生连接校园网，需要使用学号和密码进行身份认证。
公司电脑插入交换机网口后，需要通过认证才能访问内部网络。
某些安全要求较高的公共无线网络，需要通过企业级 Wi-Fi 认证才能接入。

802.1X 解决的核心问题：

不是所有连接到网络的设备，都应该自动获得网络访问权限。

1.2 802.1X 的主要作用

身份认证：确认接入网络的用户或设备身份。
网络访问控制：根据认证结果决定是否允许访问。
集中管理：通过认证服务器统一管理账号及认证策略。
动态授权：可以根据用户身份分配 VLAN、访问权限等。
安全防护：降低未经授权的设备接入内部网络的风险。

需要注意：

802.1X 本身并不负责加密所有网络流量。无线网络的数据加密通常由 WPA2-Enterprise、WPA3-Enterprise 等机制配合实现。

二、802.1X 的三个核心角色

802.1X 认证系统主要由三个角色组成。

2.1 Supplicant（申请者）

申请者就是需要接入网络的终端设备及其认证客户端。

常见设备：

笔记本电脑
智能手机
台式电脑
企业办公终端
支持 802.1X 的网络设备

主要职责：

发起或响应认证请求。
提交用户身份信息。
参与 EAP 认证过程。
根据认证结果获取网络访问权限。

例如：

员工使用 Windows 笔记本连接公司 Wi-Fi，系统中的 802.1X 客户端就是 Supplicant。

2.2 Authenticator（认证者）

认证者是控制网络接入权限的网络设备。

常见设备：

交换机（Switch）
无线接入点（AP）
无线控制器（AC，取决于部署架构）

主要职责：

检测终端接入。
控制终端的网络访问权限。
转发终端与认证服务器之间的认证消息。
根据认证结果允许或拒绝接入。

例如：

一台电脑连接企业交换机，交换机可以在认证通过前限制该端口的普通业务流量。

2.3 Authentication Server（认证服务器）

认证服务器负责验证用户或设备身份。

常见实现：

FreeRADIUS
Microsoft NPS
企业 NAC 认证平台
其他支持 RADIUS/EAP 的认证系统

主要职责：

验证身份凭据。
执行认证策略。
返回认证成功或失败的结果。
根据策略下发授权属性。

常见认证服务器使用 RADIUS 协议与认证者通信。

2.4 三个角色的关系

        Supplicant
        用户终端
            |
            | EAPOL
            |
            v
       Authenticator
       交换机 / AP
            |
            | RADIUS
            |
            v
    Authentication Server
        认证服务器

简单理解：

Supplicant：我要上网。
Authenticator：先证明你的身份。
Authentication Server：我来判断你是否有权限。
Authenticator：认证成功，允许接入网络。

三、802.1X 涉及的核心协议

802.1X 认证过程中经常出现三个重要术语：

EAP
EAPOL
RADIUS

它们并不是同一种协议。

3.1 EAP（Extensible Authentication Protocol）

中文名称：可扩展认证协议。

EAP 是一种认证框架，可以支持多种身份验证方法。

常见 EAP 方法：

认证方法	说明
EAP-TLS	基于数字证书的双向认证
PEAP	通过受保护的 TLS 隧道执行内部认证
EAP-TTLS	通过 TLS 隧道保护内部认证
EAP-MD5	基于 MD5 挑战响应，安全性和适用性有限

其中：

EAP-TLS 通常是企业网络中安全性较高的认证方案之一。

它通过证书验证身份，能够减少传统密码认证面临的部分风险，但仍然依赖正确的证书配置和信任验证。

3.2 EAPOL（EAP over LAN）

EAPOL 是在局域网链路上传输 EAP 相关消息的封装方式。

在典型 802.1X 网络中：

终端 <-- EAPOL --> 交换机/AP

EAPOL 运行在二层网络。

常见以太网类型：

EtherType：0x888E

常见 EAPOL 消息：

EAPOL-Start：终端请求开始认证。
EAPOL-Logoff：终端通知退出认证。
EAPOL-Packet：承载 EAP 消息。

注意：无线网络中的 EAPOL 还可能承载密钥协商相关消息，并非所有 EAPOL 帧都属于身份认证请求。

3.3 RADIUS

全称：

Remote Authentication Dial-In User Service

中文名称：远程用户拨号认证服务。

RADIUS 是一种常见的 AAA 协议。

AAA 包含：

Authentication：身份认证。
Authorization：授权。
Accounting：计费或审计记录。

在典型 802.1X 部署中：

交换机/AP <-- RADIUS --> 认证服务器

RADIUS 常见 UDP 端口：

端口	用途
UDP 1812	认证与授权
UDP 1813	计费

RADIUS 常见消息：

Access-Request
Access-Challenge
Access-Accept
Access-Reject
Accounting-Request
Accounting-Response

注意：RADIUS 并不等于 802.1X。RADIUS 也可以用于 VPN、Portal、设备管理登录等认证场景。

3.4 三种协议之间的关系

              802.1X
         网络接入控制机制
                 |
                 v
                EAP
           身份认证框架
                 |
        +--------+--------+
        |                 |
        v                 v
      EAPOL             RADIUS
  终端与认证者通信    认证者与服务器通信

总结：

802.1X 负责控制网络接入，EAP 提供认证框架，EAPOL 在局域网链路上传递认证消息，RADIUS 通常负责与后端认证服务器通信。

四、802.1X 完整认证流程

4.1 认证前的网络状态

终端刚接入网络时，认证者尚未确认终端身份。

典型 802.1X 端口具有：

Uncontrolled Port：非受控端口，用于必要的认证通信。
Controlled Port：受控端口，用于控制普通业务流量是否允许通过。

认证成功之前，普通业务流量通常受到限制。

实际设备也可能根据配置允许部分预认证流量。

4.2 认证过程

终端              交换机/AP             RADIUS服务器
 |                    |                       |
 |---- EAPOL-Start -->|                       |
 |                    |                       |
 |<-- EAP-Request ----|                       |
 |     /Identity      |                       |
 |                    |                       |
 |--- EAP-Response -->|                       |
 |     /Identity      |                       |
 |                    |                       |
 |                    |---- Access-Request -->|
 |                    |                       |
 |                    |<-- Access-Challenge --|
 |                    |                       |
 |<--- EAP Request ---|                       |
 |                    |                       |
 |--- EAP Response -->|                       |
 |                    |                       |
 |                    |---- Access-Request -->|
 |                    |                       |
 |                    |<--- Access-Accept ----|
 |                    |                       |
 |<--- EAP-Success ---|                       |
 |                    |                       |
 |   获得网络访问权限  |                       |
 |                    |                       |

说明：这是简化的成功认证示意。EAP 挑战响应可能进行多轮，认证服务器返回的 RADIUS 消息通常会携带对应的 EAP 内容。具体过程取决于 EAP 方法和网络配置。

4.3 分步骤理解

第一步：终端接入网络

用户连接 Wi-Fi 或将网线插入交换机。

认证者检测到终端接入。

第二步：发起身份认证

终端可以发送：

EAPOL-Start

认证者也可以主动发送：

EAP-Request/Identity

第三步：终端返回身份信息

终端响应：

EAP-Response/Identity

其中通常包含用户身份标识。

注意：Identity 消息不等于明文提交用户密码。

第四步：认证者转发请求

交换机或 AP 将 EAP 信息封装在 RADIUS Access-Request 中，转发给认证服务器。

第五步：服务器执行认证

认证服务器按照选定的 EAP 方法验证用户或设备。

例如：

验证用户密码。
验证客户端证书。
检查账号状态。
检查网络接入策略。

第六步：服务器返回认证结果

认证成功：

RADIUS Access-Accept

认证失败：

RADIUS Access-Reject

第七步：网络访问控制

认证成功后，认证者允许终端访问授权网络。

对于企业 Wi-Fi，还可能需要完成密钥协商后才能正常传输业务数据。

认证失败则通常无法访问受保护的网络资源。

五、机场、酒店、商场为什么需要登录才能上网？

现实生活中经常遇到以下情况：

进入机场，连接 Airport_Free_WiFi。
手机显示已经连接 Wi-Fi。
但是网页无法正常访问互联网。
系统自动弹出登录页面。
要求输入手机号、短信验证码。
验证成功后才能正常上网。

酒店也存在类似情况：

连接酒店 Wi-Fi。
自动跳转酒店认证页面。
输入房间号、手机号或其他凭据。
验证成功。
开放互联网访问权限。

这里必须区分：802.1X 认证和 Portal 网页认证不是同一回事。

5.1 Portal 认证是什么？

Portal 认证通常被称为：

Captive Portal（强制门户认证）。

它是一种通过网页完成用户认证和网络准入控制的技术方案。

典型场景：

机场免费 Wi-Fi
酒店无线网络
商场公共 Wi-Fi
咖啡厅无线网络
部分校园访客网络

其基本工作原理：

允许终端先连接到网络，再通过认证页面决定是否开放互联网访问。

5.2 机场 Wi-Fi 的典型认证流程

          手机
           |
           | 1. 连接机场 Wi-Fi
           v
       无线接入点 AP
           |
           | 2. 获取网络配置
           v
       DHCP / DNS
           |
           | 3. 检测网络访问状态
           v
      Portal 网关/控制器
           |
           | 4. 引导打开认证页面
           v
       Portal 登录页面
           |
           | 5. 输入手机号/验证码
           v
       后端认证系统
           |
           | 6. 验证用户身份
           v
       Portal 网关/控制器
           |
           | 7. 更新访问控制策略
           v
          Internet

认证前：

可以连接 Wi-Fi。
通常可以获取 IP 地址。
可以访问认证页面及必要的网络服务。
访问互联网受到限制。

认证后：

网关更新用户的授权状态。
允许终端正常访问互联网。
可能记录认证时间、会话和流量信息。

注意：不同 Portal 系统的实现方式不同。现代系统可能使用操作系统的网络检测机制或专门的 Captive Portal API，并不一定依靠传统 HTTP 重定向。

5.3 酒店 Wi-Fi 的典型认证流程

酒店的网络可能采用以下方式：

方式一：房间号认证

连接酒店 Wi-Fi
      |
      v
打开 Portal 页面
      |
      v
输入房间号和认证凭据
      |
      v
酒店系统核验
      |
      v
允许访问互联网

方式二：短信验证码认证

连接 Wi-Fi
    |
    v
输入手机号
    |
    v
发送验证码
    |
    v
验证成功
    |
    v
允许访问互联网

方式三：Wi-Fi 密码认证

用户直接输入酒店提供的 Wi-Fi 密码。

这种方式可能只是 WPA2/WPA3-Personal 的共享密码认证，并不一定存在 Portal 或 802.1X。

5.4 Portal 与 RADIUS 的关系

Portal 系统也可以结合 RADIUS 服务器。

例如：

手机
 |
 v
酒店 Wi-Fi
 |
 v
Portal 网关
 |
 | RADIUS Access-Request
 v
RADIUS 服务器
 |
 | Access-Accept
 v
Portal 网关
 |
 v
开放互联网访问

因此：

使用 RADIUS 服务器，不代表网络一定使用了 802.1X。

Portal 和 802.1X 都可以使用 RADIUS 作为后端认证机制，但两者控制网络接入的方式不同。

六、802.1X 与 Portal 认证的区别

对比项目	802.1X	Portal
核心机制	基于端口的网络访问控制	基于门户页面的认证与准入
认证入口	系统网络认证客户端	浏览器或系统门户页面
认证时机	正常网络访问开放之前	通常先获得有限网络连接
常见凭据	用户名、密码、证书	手机验证码、账号、房间号
主要协议	EAP、EAPOL	HTTP/HTTPS及厂商认证协议
RADIUS	常见后端认证协议	可以使用，但非必需
企业网络	非常常见	常用于访客网络
机场 Wi-Fi	部分网络使用	公共访客网络常见
酒店 Wi-Fi	部分网络使用	公共访客网络常见
安全性	取决于 EAP 方法及配置	取决于无线加密、门户及隔离策略

6.1 如何快速判断？

情况一：连接 Wi-Fi 时，系统直接要求输入企业账号、密码或选择证书。

可能是：

WPA2-Enterprise
       |
       v
     802.1X
       |
       v
      EAP

情况二：Wi-Fi 连接成功后，自动弹出网页要求输入手机号或验证码。

通常是：

Wi-Fi 连接
    |
    v
Portal 网页认证
    |
    v
互联网访问授权

情况三：连接 Wi-Fi 时只要求输入一个共享密码。

通常是：

WPA2/WPA3-Personal
        |
        v
共享密码认证

情况四：Wi-Fi 不需要密码，连接后直接上网。

可能是开放 Wi-Fi，也可能使用 OWE 等增强开放网络机制。

因此，判断认证类型不能只看有没有登录页面，还需要分析实际网络协议。

七、802.1X 在企业与校园网络中的应用

7.1 企业办公网络

企业通常需要控制哪些用户和设备可以接入内部网络。

例如：

员工电脑
   |
   v
企业交换机
   |
   v
802.1X 身份认证
   |
   v
RADIUS 服务器
   |
   v
认证成功
   |
   v
分配员工 VLAN
   |
   v
访问内部办公系统

企业可以根据用户身份分配不同权限。

例如：

用户类型	网络权限
正式员工	办公网络
IT 管理员	授权的管理网络
外部访客	仅互联网
未认证设备	拒绝或隔离

这种设计可以降低未授权设备接入内部网络的风险。

7.2 高校校园网

校园网可能采用：

802.1X 认证
Portal 认证
PPPoE 认证
多种认证方式组合

例如，学生连接校园 Wi-Fi 时，系统直接要求输入学号和密码，且无线安全类型为 WPA2-Enterprise，那么通常涉及 802.1X。

如果学生连接校园 Wi-Fi 后，浏览器弹出校园网登录页面，则更可能是 Portal 认证。

不能仅凭“需要输入学号和密码”就判断一定使用了 802.1X。

7.3 智能办公设备

打印机、网络电话、投影仪等设备也可能接入企业网络。

如果设备支持 802.1X，可以使用证书或账号进行认证。

对于不支持 802.1X 的设备，部分企业会使用 MAC Authentication Bypass（MAB）等替代方案。

但 MAC 地址可以被伪造，因此 MAB 不能提供与强身份认证相同的安全保障。

八、802.1X 与 WPA2/WPA3-Enterprise

802.1X 经常与企业级无线网络配合使用。

8.1 WPA2-Personal

家庭 Wi-Fi 常见方式：

手机
 |
 | 输入共享 Wi-Fi 密码
 v
无线路由器
 |
 v
访问网络

特点：

使用共享密码。
不需要独立的 802.1X 认证服务器。
管理简单。
多个用户可能使用相同密码。

8.2 WPA2-Enterprise

企业 Wi-Fi 常见方式：

员工电脑
   |
   | 802.1X / EAP
   v
企业 AP
   |
   | RADIUS
   v
认证服务器
   |
   v
验证身份
   |
   v
完成密钥协商
   |
   v
加密传输业务数据

特点：

可以使用独立账号或客户端证书。
便于集中管理。
可以实施用户级授权策略。
不需要所有员工共用一个 Wi-Fi 密码。

8.3 WPA3-Enterprise

WPA3-Enterprise 在企业无线安全方面提供了进一步的安全要求和能力。

它仍可结合 802.1X/EAP 进行身份认证。

需要注意：

802.1X 是网络访问控制机制，而 WPA2/WPA3-Enterprise 是无线网络安全方案，两者不是同一个概念。

九、Wireshark 抓包分析

学习 802.1X 时，可以通过 Wireshark 观察认证数据包。

建议在自己搭建的实验网络或获得授权的网络中进行。

9.1 802.1X 常见过滤表达式

过滤 EAPOL：

eapol

过滤 EAP：

eap

过滤 RADIUS：

radius

过滤常见 RADIUS 端口：

udp.port == 1812 || udp.port == 1813

注意：RADIUS 数据包通常出现在认证者与服务器之间。仅在终端侧抓包，通常无法直接看到后端 RADIUS 流量。

9.2 重点观察的 EAP 消息

EAP-Request/Identity
EAP-Response/Identity
EAP-Request
EAP-Response
EAP-Success
EAP-Failure

重点分析：

谁发起认证？
认证者是谁？
使用了哪种 EAP 方法？
是否完成 TLS 证书验证？
认证成功还是失败？
认证失败后网络权限是否受到限制？

9.3 Portal 认证抓包

Portal 认证可以重点观察：

dns

http

tls

dhcp

分析内容：

终端何时获取 IP 地址。
终端如何检测网络是否需要认证。
Portal 页面使用哪个域名。
是否发生 HTTP 重定向。
认证请求是否使用 HTTPS。
认证前后网络访问权限是否变化。

注意：

HTTPS 加密的登录内容通常不能通过普通被动抓包直接读取。

十、常见安全问题与防护措施

10.1 802.1X 认证的安全风险

风险一：伪造无线接入点

攻击者可能建立名称相似的恶意 Wi-Fi，诱导用户连接。

防护措施：

验证企业 Wi-Fi 配置。
正确校验认证服务器证书。
避免忽略证书警告。

风险二：弱认证方法

部分旧式 EAP 方法不能提供足够的认证安全保障。

防护措施：

优先考虑 EAP-TLS 等较强认证方案。
避免不安全的旧式认证方法。
定期更新认证策略。

风险三：认证服务器证书验证不严格

如果客户端不验证服务器证书，可能增加连接恶意认证服务器的风险。

防护措施：

正确部署可信 CA。
校验认证服务器身份。
通过统一配置管理终端认证策略。

10.2 Portal 认证的安全风险

风险一：假冒登录页面

攻击者可能伪造机场、酒店的认证页面。

防护措施：

核对 Wi-Fi 名称。
检查认证页面域名。
避免在不可信页面输入敏感账号密码。

风险二：开放 Wi-Fi 的通信风险

部分公共 Wi-Fi 不提供链路层加密。

防护措施：

优先使用 HTTPS。
不忽略浏览器证书警告。
避免在不可信网络中访问敏感服务。
必要时使用可信 VPN。

风险三：终端之间缺乏隔离

如果公共 Wi-Fi 没有启用客户端隔离，同一网络中的设备可能存在不必要的相互访问风险。

防护措施：

网络管理员启用客户端隔离。
终端关闭不必要的文件共享服务。
启用系统防火墙。

十一、常见问题总结

Q1：802.1X 是一种 Wi-Fi 加密协议吗？

不是。

802.1X 是网络访问控制协议，不是独立的 Wi-Fi 数据加密协议。

Q2：802.1X 一定需要 RADIUS 吗？

802.1X 标准并不强制认证服务器必须使用 RADIUS。

但在企业实际部署中，RADIUS 是最常见的后端认证协议之一。

Q3：机场 Wi-Fi 登录页面就是 802.1X 吗？

不一定。

机场公共 Wi-Fi 通过网页输入手机号、验证码的方式，通常属于 Portal 认证。

Q4：酒店 Wi-Fi 输入房间号属于什么认证？

如果通过网页输入房间号完成认证，通常属于 Portal 认证。

具体后台可能连接酒店管理系统、数据库或 RADIUS 服务器。

Q5：802.1X 和 RADIUS 有什么区别？

802.1X 负责网络接入控制。

RADIUS 负责认证、授权和计费信息的传输与处理。

二者可以配合使用，但不是同一个协议。

Q6：为什么连接公共 Wi-Fi 后显示已连接，却不能上网？

可能原因包括：

尚未完成 Portal 认证。
认证会话已经过期。
网关限制未认证终端访问互联网。
DHCP 或 DNS 出现故障。
公共 Wi-Fi 本身存在网络故障。

Q7：为什么有些企业 Wi-Fi 不会弹出网页？

因为企业 Wi-Fi 可能采用 802.1X。

认证过程由操作系统的网络客户端完成，不需要通过浏览器登录。

十二、知识总结

12.1 四个核心概念

技术	核心作用
802.1X	控制终端是否可以访问网络
EAP	提供可扩展的身份认证框架
RADIUS	提供集中式 AAA 服务
Portal	通过网页完成认证与网络准入

12.2 两种典型认证架构

企业、校园 802.1X 网络：

终端
 |
 | EAPOL
 v
交换机/AP
 |
 | RADIUS
 v
认证服务器
 |
 v
身份认证成功
 |
 v
网络访问授权

机场、酒店 Portal 网络：

终端
 |
 v
连接公共 Wi-Fi
 |
 v
获取有限网络访问
 |
 v
打开 Portal 页面
 |
 v
输入手机号/验证码/房间号
 |
 v
后端验证身份
 |
 v
网关开放互联网访问

12.3 最重要的五个知识点

802.1X 是基于端口的网络访问控制协议，主要用于接入前的身份认证。
802.1X 包含 Supplicant、Authenticator、Authentication Server 三个核心角色。
EAP 是认证框架，EAPOL 用于链路上的认证消息传输，RADIUS 常用于后端认证通信。
机场、酒店、商场弹出的网页登录页面通常属于 Portal 认证，而不一定是 802.1X。
802.1X 和 Portal 都能实现网络准入控制，也都可能与 RADIUS 配合，但它们的认证入口、通信过程和实现方式不同。

十三、建议的实验学习路线

实验一：观察家庭 Wi-Fi

目标：

理解普通 WPA2/WPA3-Personal 与企业级 Wi-Fi 的区别。

观察：

Wi-Fi 安全类型。
是否使用共享密码。
是否存在网页认证。

实验二：搭建 802.1X 实验环境

推荐组件：

Linux
FreeRADIUS
hostapd 或支持 802.1X 的交换机
wpa_supplicant
Wireshark

实验目标：

搭建认证服务器。
配置测试账号或证书。
配置认证者。
让客户端发起 802.1X 认证。
观察 EAPOL 和 RADIUS 消息。
对比认证成功与失败的网络行为。

实验三：搭建 Portal 实验环境

推荐组件：

Linux
OpenWrt
openNDS 等 Portal 软件
Wireshark

实验目标：

搭建实验 Wi-Fi。
设置未认证访问限制。
配置 Portal 登录页面。
测试认证前的网络访问。
完成认证。
验证认证后的访问权限变化。

实验四：对比两种认证机制

分别记录：

802.1X 的 EAPOL 消息。
后端 RADIUS 认证消息。
Portal 的网络检测与认证页面访问。
两种方式的认证前后访问控制行为。

最终应能够独立回答：

为什么企业 Wi-Fi 经常在连接阶段认证，而机场、酒店 Wi-Fi 通常先连接网络，再通过网页认证？

十四、总结

802.1X：先通过网络接入认证，再获得正常网络访问权限。

Portal：通常先连接到受限网络，再通过网页完成身份认证，最后开放互联网访问。

两者都用于网络准入控制，但底层认证机制不同。

参考资料

《802.1X 协议认证》——本次提供的 PDF，主要参考其认证原理、角色、工作流程与应用场景。
IEEE 802.1X — Port-Based Network Access Control。
RFC 3748 — Extensible Authentication Protocol（EAP）。
RFC 2865 — Remote Authentication Dial In User Service（RADIUS）。
RFC 8908 — Captive Portal API。
RFC 8909 — Captive-Portal Identification in DHCP and Router Advertisements。

注：PDF 原文主要介绍 802.1X 的基本原理及应用。Portal、WPA2/WPA3-Enterprise、抓包分析、安全风险和实验内容属于补充知识，用于解释实际公共网络的认证机制。

posted on 2026-10-08 22:28 心宇16969 阅读(19) 评论(0) 收藏举报

刷新页面返回顶部