企业无线网络如果只靠一个共享密码保护，那么在人员密集、设备繁杂的办公环境里，几乎等于把大门钥匙放在门垫下。802.1X是一套基于端口的网络访问控制标准，它将无线接入点变成只负责转发、不负责放行的检查站，真正的身份核验交给后台的Radius服务器完成。每个终端连上WiFi后，必须先通过EAP交换证明自己是谁，拿到授权才被分配网络权限。
802.1X的底层工作原理与角色分工
在802.1X体系里，主要有三个角色：请求者（Supplicant）通常是员工的手机或笔记本，认证者（Authenticator）是无线AP或交换机，认证服务器（Authentication Server）一般是Radius。当设备关联AP后，AP会触发端口处于未授权状态，此时设备只能和AP通信，不能访问内网。请求者发起EAPOL报文，AP原样封装成Radius格式发给服务器，由服务器判定凭据是否合法。
这个过程中最关键的是EAP（Extensible Authentication Protocol）协议。EAP本身只是个框架，不包含具体认证逻辑，真正干活的是PEAP、EAP-TLS、EAP-TTLS等子协议。以PEAP为例，客户端先和服务器建立TLS隧道，再在隧道里发送用户名密码，从而避免明文暴露。服务器核对通过后，会通知AP打开端口，并下发会话密钥，终端才真正入网。
很多管理员误以为802.1X只是换了一种WiFi密码，其实它把“网络接入”和“身份认证”彻底解耦。AP不需要知道用户密码，只做报文中转；Radius可以对接Active Directory、LDAP，复用企业已有的账号体系。这样账号离职即禁用，不用挨个改WiFi密码，也不会出现前员工手机还能连网的情况。
常见EAP方式的选择与代码配置示例
中小企业最常用的是PEAP-MSCHAPv2，因为它只需要服务端证书，客户端用域账号即可，部署成本最低。安全性要求高的金融场景多用EAP-TLS，它给每个设备发客户端证书，双向认证，即使密码泄露也无法仿冒设备。下面是一段FreeRADIUS中定义EAP模块的简化配置，展示如何开启PEAP并嵌套MSCHAPv2。
# FreeRADIUS eap.conf 片段
eap {
default_eap_type = peap
peap {
default_eap_type = mschapv2
# 服务端证书路径
private_key_password = "server_pass"
private_key_file = /etc/raddb/certs/server.key
certificate_file = /etc/raddb/certs/server.crt
ca_file = /etc/raddb/certs/ca.crt
}
mschapv2 {
# 使用系统账号或LDAP后端
}
}
在无线控制器侧，只需把SSID的安全模式设为WPA2-Enterprise，指定Radius地址与共享密钥。终端侧用户在连接时输入域账号，系统自动走PEAP流程。如果配置EAP-TLS，则还要把客户端p12证书导入设备，并在Radius中开启eap-tls段，要求证书校验通过才放行。
从运维角度看，PEAP的问题在于用户容易忽略证书校验弹窗，被伪造AP钓鱼。因此在正式环境应当推送自带校验证书的配置描述文件，或采用Intune、MDM统一下发WiFi配置，避免手工点“信任”。EAP-TLS虽安全，但证书生命周期管理复杂，需要配套的证书吊销列表机制。
802.1X与PSK模式的实战对比及迁移建议
预共享密钥（PSK）模式下，所有设备用同一个WiFi密码，密钥写在路由器里，员工手机截图就能带走。一旦泄露，只能改密码并通知全员重连，对访客、物联网设备也难做区分。802.1X则可以为不同用户组返回不同VLAN属性，比如访客进隔离网，研发进内网，运维进特权段，全部由Radius返回的属性控制。
| 对比维度 | PSK模式 | 802.1X模式 |
|---|---|---|
| 账号粒度 | 所有人共享 | 每用户独立 |
| 吊销方式 | 改全局密码 | 禁用账号即时生效 |
| 审计能力 | 无 | 可记录MAC与用户绑定 |
| 加密密钥 | 固定PSK派生 | 每次会话动态生成 |
迁移时建议先开一个测试SSID走802.1X，用少量部门试点，确认手机、打印机、扫码枪都能兼容。老旧条码枪可能不支持WPA2-Enterprise，可保留一个PSK的IoT专用网络并做MAC白名单。待主力终端全部切到802.1X后，再关闭通用PSK SSID，从根源上消除共享密码风险。
对于跨地区分支，可在总部部署主Radius，分支用代理转发，或者每个站点独立Radius但共享LDAP后端。无论哪种，都要保证证书链可信，避免因为时间不同步导致EAP-TLS握手失败。做好这些，企业WiFi才真正从“连上了”变成“管得住”。