EAP 802.1X（Extensible Authentication Protocol over IEEE 802.1X）是基于端口的网络接入认证协议，核心作用是在网络端口层面（有线交换机端口或无线SSID）对每个接入设备进行身份验证，未通过认证的设备无法获得网络访问权限。它是企业级"零信任"网络接入的基础架构组件，也是WPA2-Enterprise和WPA3-Enterprise的强制认证机制。
工作原理与认证流程
802.1X认证涉及三方角色：
Supplicant（请求方）：终端设备（PC、手机、IoT设备）
Authenticator（认证方）：网络接入设备（交换机、无线AP、控制器）
Authentication Server（认证服务器）：通常为RADIUS服务器（FreeRADIUS、Windows NPS、Cisco ISE等）
认证流程：
1. 终端接入端口后，端口默认处于Unauthorized状态，仅允许EAPoL（EAP over LAN）报文通过；
2. Authenticator向终端发送EAP-Request/Identity；
3. 终端回复EAP-Response/Identity，Authenticator将请求封装为RADIUS Access-Request转发至认证服务器；
4. 认证服务器根据EAP方法（证书、密码等）完成验证，返回RADIUS Access-Accept或Access-Reject；
5. Authenticator将端口切换为Authorized，终端获得完整网络访问权限。
整个过程通过EAPoL（RFC 3580）在链路层（L2）传输，不依赖IP，适用于终端尚未获取IP地址的接入阶段。
主流EAP类型对比
选型建议：终端可分发证书（MDM统一管理）优先EAP-TLS；普通办公终端选PEAP/EAP-TTLS最易落地；已有Cisco PAC基础设施可沿用EAP-FAST。
配置步骤（以PEAP为例）
1. RADIUS服务器配置（Windows NPS）
新建NPS策略，认证方法选PEAP；导入CA签发的服务器证书（CN须与主机名一致）；内层认证启用MS-CHAPv2；将802.1X交换机IP加入RADIUS客户端列表，共享密钥建议≥32字符。
2. 接入交换机/AC配置
启用802.1X特性（华为：dot1x；Cisco：dot1x）；配置RADIUS服务器组（IP、端口1812/1813、共享密钥）；在端口或SSID上绑定PEAP认证；端口默认状态设为deny。
3. 终端配置
Windows：网络适配器属性→身份验证→安全选项→PEAP；服务端CA根证书须预先安装；内层选MS-CHAPv2，已安装根证书时勾选"验证服务器证书"。
常见故障与排查
1. 认证始终Access-Reject：核对RADIUS共享密钥两端一致性；确认终端NTP时钟同步及证书有效期；Wireshark抓EAPoL报文比对服务器日志。
2. 认证通过但无网络：检查RADIUS Attribute 64下发的VLAN是否正确；端口ACL是否阻断；DHCP池是否耗尽。
3. 终端反复弹出证书警告：终端CA根证书缺失或证书链不完整；服务端证书CN/SAN与主机名不匹配；检查终端证书路径信任配置。
性能与扩展注意事项
5000用户以上规模建议RADIUS双主备+负载均衡；
EAP-TLS因证书运算开销更高，峰值QPS需预留余量；
有线环境注意EAPoL帧的VLAN透传配置大城群众说事，避免认证前数据帧被丢弃导致设备无法完成证书交换。
各厂商（华为、H3C、Cisco、Aruba等）的完整命令行配置示例及RADIUS策略模板，可访问 dcqzss.cn 查阅官方配置文档与排错手册，获取对应型号的逐项操作指引。
