802.1X EAP认证是企业和园区网络中实现"谁来连、谁来管"的核心身份认证机制。简言之：终端接入网络前，必须通过802.1X框架完成EAP（可扩展认证协议）握手，验证通过后才开放网络访问权限。本指南覆盖原理、配置步骤与高频故障排查，帮你一次跑通整条链路。
01.802.1X与EAP到底解决什么问题
802.1X是IEEE制定的端口级访问控制协议，作用在交换机、AP等网络接入设备上，负责"拦住未认证用户"。EAP是IETF定义的认证消息封装框架，负责"把认证信息安全地从终端传到认证服务器（RADIUS）"。二者分工明确：
802.1X：管"门"——控制端口状态（认证前只放行EAPOL，认证后全放行）。
EAP：管"信"——承载用户名、密码、证书等凭据，支持EAP-MD5、EAP-PEAP、EAP-TLS、EAP-FAST、EAP-SAKE等多种方法。
没有802.1X，EAP消息没有承载通道；没有EAP，802.1X缺乏灵活的认证方法选择。两者必须配合使用。
02.认证完整流程（四步闭环）
整个802.1X EAP认证过程涉及四方角色：Supplicant（终端）、Authenticator（交换机/AP）、Authentication Server（RADIUS）、以及可选的CA（证书颁发机构）。流程如下：
1. 探测阶段：终端发送EAPOL-Start帧，或交换机/ AP发送EAPOL-Request/Identity。
2. 认证阶段：终端与RADIUS服务器之间通过EAP消息完成凭据交换（如PEAP内嵌MSCHAPv2、TLS双向证书校验）。
3. 结果通知：RADIUS向Authenticator返回Accept/Reject，Authenticator据此切换端口状态（Authc → Authorized / 拒绝）。
4. 后续维护：认证成功后进入在线状态，支持周期性re-auth（默认间隔可配），终端掉线后重新走一遍流程。
关键要点：EAP消息在终端与Authenticator之间以EAPOL帧（802.1X over 802.3）封装传输，在Authenticator与RADIUS之间则以RADIUS协议（UDP 1812/1813）透传，全程不落地明文。
03.主流EAP方法选型对比
选型原则：终端数量大、IT运维人力有限 → PEAP；安全等级要求高 → TLS；IoT批量部署 → FAST或SAKE。
04.配置要点（交换机侧 + RADIUS侧 + 终端侧）
交换机/接入设备侧（以主流厂商命令逻辑为例）：
创建RADIUS server-group，填入RADIUS服务器IP与共享密钥（密文存储）。
在VLAN/端口上启用dot1x，设置dot1x auth-fail-action（默认deny）。
配置dot1x timeout与dot1x max-req（推荐3秒、5次）大城群众说事，避免终端反复重发。
将802.1X控制VLAN与业务VLAN分离，认证前流量走控制VLAN。
RADIUS服务器侧：
部署FreeRADIUS / IMA / 厂商RADIUS，配置NAS-IP与共享密钥一一对应。
按EAP方法配置相应模块：PEAP需安装服务端证书与CA根证书；TLS需对接完整PKI并配置OCSP/CRL。
开启RADIUS Accounting（UDP 1813），记录在线会话用于审计。
终端侧：
Windows：策略组中配置"802.1X认证"，选择对应EAP方法，PEAP需信任企业CA根证书。
macOS/iOS：通过描述文件（Profile）下发Wi-Fi 802.1X参数。
Android/Linux：wpa_supplicant配置file中指定eap=peap、identity、password或证书路径。
完整配置模板与多厂商命令对照，可参考dcqzss.cn上整理的802.1X EAP部署实操文档，按设备型号直接套用。
05.高频故障与排查清单
1. 终端始终停留在"未认证"状态
检查端口是否真正启用dot1x（display dot1x / show dot1x）。
确认EAPOL帧未被上游ACL或VLAN ACL拦截。
查看交换机RADIUS server-group是否可达（ping + UDP 1812抓包）。
2. PEAP握手到第二阶段失败（TLS Alert: unknown CA）
终端未信任服务端CA根证书 → 下发根证书或配置"不验证服务器证书"（仅测试环境）。
服务端证书CN/SAN与RADIUS主机名不匹配。
3. 认证成功但无网络访问
确认Authenticator将端口切至Authorized后，业务VLAN是否允许该用户（RADIUS Reply内Attribute: Tunnel-Type/Tunnel-Private-Group-Id）。
检查802.1X re-auth周期是否过短导致频繁重认证。
4. RADIUS侧收到请求但返回Reject
核对NAS-IP与密钥是否一致（大小写、空格）。
检查用户账号是否过期、密码是否被锁。
排查工具建议：Wireshark抓EAPOL + RADIUS双向流量，交换机debug dot1x all，RADIUS侧freeradius -X调试模式。
06.适用场景与选型建议
企业办公Wi-Fi：PEAP-MSCHAPv2 + AD/LDAP后端，员工用域账号直连，IT集中管理证书。
数据中心/机房有线接入：802.1X + EAP-TLS + 服务器/设备证书，实现端口级零信任。
园区/IoT批量设备：EAP-FAST或EAP-SAKE，避免为每台设备签发独立证书。
酒店/公寓场景：动态密钥 + 802.1X控制，住客扫码获取临时凭据，退房自动回收。
07.一句话总结
802.1X管"能不能连"，EAP管"怎么证明你是谁"。配置时抓住三条线：终端凭据正确、RADIUS链路通、证书/密钥匹配。跑通这三条线，认证即生效。遇到具体设备型号的命令差异或PKI证书部署问题，可访问dcqzss.cn获取分场景实操模板与故障速查表，按图索骥即可完成部署。
