个人认证与企业认证

WPA2 和 WPA3 有两种身份验证模式：Personal 和 Enterprise。Personal 为所有人使用一个共享密码；Enterprise 则为每位用户提供各自的凭据，并由中央服务器进行验证。本课将讲解两者的区别、各自的工作方式，以及何时应选择其中一种。这也是 Network+ 考试中经常出现的主题。

Personal 模式也称为 PSK（预共享密钥），使用一个所有连接者都必须输入的密码。路由器标签上的家庭 Wi-Fi 密码就是 PSK。它设置简单，非常适合家庭和小型办公室。所有人共享同一个秘密，知道这个秘密就足以加入网络。

共享密钥同时也是它的弱点。如果有人泄露密码，任何人都可以加入网络；要撤销访问权限，您必须为所有人更改密码，并重新配置每个 device。它没有按用户区分的身份，因此无法判断每个人是谁，也无法单独禁用某个用户。对于少数值得信任的人员来说，这样做没有问题；但对于公司而言，这种方式无法扩展。

Enterprise 模式使用 802.1X 身份验证，为每位用户提供自己的用户名和密码（或证书），而不是使用一个共享密钥。用户连接时，系统会先将其凭据提交给中央身份验证服务器进行检查，然后才授予访问权限。这样就不需要共享或泄露一个统一的 Wi-Fi 密码，每个人都使用自己的身份单独进行身份验证。

Enterprise 身份验证依赖于 RADIUS（远程身份验证拨入用户服务）服务器。接入点会将每位用户的凭据转发给 RADIUS 服务器，后者根据目录验证凭据，然后告诉 AP 允许还是拒绝连接。RADIUS 是中央控制中枢，使组织能够在多个接入点上实现按用户进行 Wi-Fi 登录。

在 802.1X 中，三个角色相互协作：supplicant（用户的 device）、authenticator（接入点或交换机）以及身份验证服务器（RADIUS）。supplicant 发送凭据，authenticator 转发凭据，服务器作出决定。它们使用 EAP（可扩展身份验证协议）进行通信。EAP 是一个灵活的框架，支持密码、证书和其他方法。

对于组织而言，Enterprise 模式更具优势。您可以在不影响其他人的情况下禁用某个用户，查看谁曾连接，实施按用户区分的策略，并避免使用容易泄露的单一共享秘密。它还能与现有用户目录集成，因此员工可以使用已有的同一组登录信息。这种按个人追责和控制的能力，正是企业实现安全且易于管理的 Wi-Fi 所需要的。

Enterprise 模式的代价是复杂性。它需要设置和维护 RADIUS 服务器，并将其与用户目录集成，这比输入一个 PSK 要复杂得多。对于家庭或极小型办公室来说，这种额外投入并不值得。选择取决于权衡：Personal 追求简单，Enterprise 则适合规模化管理，并提供控制和追责能力。

对于家庭和小型网络，如果可信用户共享密码是可以接受的，请使用 Personal（PSK）。对于企业、学校以及任何需要按用户登录、单独撤销权限和追责能力的环境，请使用 Enterprise（802.1X with RADIUS）。两种模式都可以运行在 WPA2 或 WPA3 上，因此您可以独立选择加密标准和身份验证模式。

Enterprise 身份验证可以使用不同的 EAP 方法。PEAP 和 EAP-TTLS 会在受保护的隧道内使用用户名和密码验证用户，这是最常见的方式。EAP-TLS 会在客户端和服务器两端使用数字证书，提供最强的无密码身份验证，但需要管理证书。您不必掌握所有细节，只需知道 EAP 是灵活的框架，并且基于证书的 EAP-TLS 是最安全的选项。

Personal 和 Enterprise 之间的选择会影响您管理无线访问的方式。Personal 使用一个共享密钥，简单易用，但无法按用户进行控制。Enterprise 使用 802.1X 和 RADIUS 服务器，为每位用户提供单独的凭据、追责能力和便捷的权限撤销。了解 supplicant、authenticator 和身份验证服务器这些角色，以及 PSK 这一术语，是 Network+ 无线身份验证知识的核心内容。

测试您对身份验证的掌握程度。

WPA2/WPA3 提供两种模式。Personal（PSK） 使用一个共享密码，适合家庭，但没有按用户区分的身份，撤销权限也很麻烦。Enterprise 使用带有 RADIUS 服务器的 802.1X，让每位用户拥有单独的凭据，从而实现追责并便于撤销权限。802.1X 的角色包括 supplicant（device）、authenticator（AP）和身份验证服务器（RADIUS），它们通过 EAP 进行通信。简单的场景选择 Personal，需要规模化管理和控制时选择 Enterprise。