Security+ Academy · 课时

企业无线网络：802.1X 与 RADIUS

Q: 「企业无线网络：802.1X 与 RADIUS」这节课中我会学到什么？

了解基于端口的 802.1X 身份验证和 RADIUS 服务器如何分别验证每个无线客户端，而无需共享通用密码。 你通过在浏览器中直接运行的动手代码来练习 Security+ Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

了解基于端口的 802.1X 身份验证和 RADIUS 服务器如何分别验证每个无线客户端，而无需共享通用密码。

企业无线网络：802.1X 与 RADIUS 是 CoddyKit 上的免费 Security+ Academy 课时。这是第 3 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 Security+ Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Security+ Academy 课程共包含 4 节课。

企业无线为何需要 802.1X

WPA2-Personal 使用所有授权用户都知道的单一共享密码。如果一名员工离开组织，或者密码被分享给未经授权的人员，整个网络就会受到危害，并且必须为所有人更换密码。802.1X通过为每个用户或设备提供唯一凭据解决了这一问题，因此撤销某名员工的访问权限不会影响其他人。这就是企业环境使用 802.1X 而非 PSK 的根本原因——实现细粒度的、基于身份的访问控制。

802.1X 组件：Supplicant、Authenticator、AS

802.1X 框架包含三个角色。Supplicant 是请求网络访问的客户端设备（笔记本电脑、手机）。Authenticator 是负责执行访问控制的网络设备（无线 AP 或交换机）——它转发凭据，但不自行验证凭据。Authentication Server（AS）通常是RADIUS 服务器，负责验证凭据，并告知 Authenticator 是授予还是拒绝访问。这种三方设计将执行访问控制的节点与验证逻辑分离，从而支持集中式策略管理。

# 802.1X authentication flow:
# Supplicant (client) <--> Authenticator (AP/switch) <--> RADIUS Server
#
# 1. Client connects to AP
# 2. AP blocks all traffic except EAP (port controlled)
# 3. AP forwards EAP messages to RADIUS via RADIUS protocol
# 4. RADIUS validates credentials
# 5. RADIUS sends Access-Accept + VLAN assignment
# 6. AP opens port for client traffic

RADIUS 协议基础

RADIUS（远程身份验证拨入用户服务）使用 UDP 1812 端口（身份验证）和 1813 端口（Accounting）。RADIUS 消息通过 Authenticator 与 RADIUS 服务器之间的共享机密进行保护——只有 User-Password 属性经过加密，其他字段均以明文发送。更安全的替代方案是 RADIUS over TLS（RadSec），它会加密整个 RADIUS 交换过程。常见的 RADIUS 实现包括 Microsoft NPS（网络策略服务器）、Cisco ISE、FreeRADIUS 和 Aruba ClearPass。

# RADIUS message types:
# Access-Request:  client credentials sent from AP to RADIUS
# Access-Challenge: RADIUS asks for more information (EAP)
# Access-Accept:  credentials valid; may include VLAN assignment
# Access-Reject:  credentials invalid; AP blocks access
# Accounting-Start/Stop: usage tracking

# FreeRADIUS test:
radtest john password localhost 0 testing123

用于无线身份验证的 EAP 方法

EAP（可扩展身份验证协议）定义了如何在 802.1X 框架内交换凭据。EAP 方法有多种，安全级别各不相同。EAP-TLS使用双向证书身份验证（客户端和服务器都提供证书），安全性最高。PEAP（受保护的 EAP）建立 TLS 隧道，并在其中传输用户名和密码——只有服务器需要证书。EAP-TTLS与 PEAP 类似，但更加灵活。LEAP和EAP-MD5已弃用，并且容易受到离线字典攻击。

# EAP method comparison:
# EAP-TLS:    Mutual certs (client + server); most secure; complex PKI
# PEAP:       Server cert only; client uses username/password inside TLS
# EAP-TTLS:   Server cert; any inner auth method (PAP, CHAP, MS-CHAPv2)
# EAP-FAST:   Cisco; PAC file for tunnel; no cert needed
# LEAP:       Deprecated; vulnerable to offline MS-CHAPv2 cracking
# EAP-MD5:    Deprecated; no mutual auth; no encryption

基于证书的身份验证（EAP-TLS）

EAP-TLS被视为企业无线身份验证的黄金标准，因为它提供双向身份验证——客户端和 RADIUS 服务器都使用数字证书证明自己的身份。客户端证书由组织的 PKI 通过 MDM 或手动注册进行配置。即使部署了恶意双生 AP，如果 RADIUS 服务器的证书不是由受信任的企业 CA 签署，客户端也会拒绝该证书。这可以消除通过恶意无线基础设施进行的凭据网络钓鱼。

# EAP-TLS wpa_supplicant.conf:
# network={
#   ssid='CorporateWiFi'
#   key_mgmt=WPA-EAP
#   eap=TLS
#   identity='user@company.com'
#   ca_cert='/etc/ssl/corp-ca.pem'    # validates RADIUS server cert
#   client_cert='/etc/ssl/user.pem'   # client identity cert
#   private_key='/etc/ssl/user.key'
#   private_key_passwd='keypassword'
# }

RADIUS VLAN 分配与动态策略

RADIUS 不仅可以授予或拒绝访问，还可以根据用户身份、组成员身份或设备类型，将客户端动态分配到特定 VLAN。这称为动态 VLAN 分配。例如，员工可能被置于 VLAN 10（企业），访客被置于 VLAN 20，不合规设备被置于 VLAN 99（隔离）。RADIUS Access-Accept 响应包含 Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID 属性，用于指定 VLAN。这样，一个物理 SSID 就可以服务于多个安全区域。

# FreeRADIUS: dynamic VLAN assignment in users file:
# john   Cleartext-Password := 'SecurePass'
#         Tunnel-Type = VLAN,
#         Tunnel-Medium-Type = IEEE-802,
#         Tunnel-Private-Group-ID = '10'
#
# guest  Cleartext-Password := 'GuestPass'
#         Tunnel-Private-Group-ID = '20'
#
# Result: john gets VLAN 10, guest gets VLAN 20 from same SSID

RADIUS Accounting 与审计跟踪

RADIUS Accounting记录连接事件——客户端何时连接、会话持续了多久、传输了多少数据，以及分配了哪个 VLAN。这些记录对于取证调查非常有价值：如果发生安全事件，Accounting 日志可以确定某个时间点上哪个用户通过哪个 IP 连接。Accounting 消息通过 UDP 1813 端口发送。许多组织会将 RADIUS Accounting 记录转发到其 SIEM，以便与其他安全事件进行关联，例如异常数据外泄或工作时间以外的连接。

# RADIUS Accounting-Start attributes logged:
# NAS-IP-Address: 10.1.1.1 (AP IP)
# Called-Station-Id: AA:BB:CC:DD:EE:FF:CorporateWiFi
# Calling-Station-Id: 11:22:33:44:55:66 (client MAC)
# User-Name: john@company.com
# Acct-Session-Id: unique session identifier
# Acct-Status-Type: Start
# Framed-IP-Address: 10.10.10.50 (assigned to client)

NPS（网络策略服务器）集成

Microsoft 的 NPS（网络策略服务器）是 Windows Server 内置的 RADIUS 实现。NPS 原生集成Active Directory，因此 RADIUS 策略可以基于 AD 组成员身份、用户属性和设备运行状况（通过 NAP/RADIUS 隔离）制定。NPS 支持 EAP-TLS、PEAP-MS-CHAPv2 和 PEAP-TLS。对于无线网络，需要将 NPS 配置为 RADIUS 服务器，并将无线接入点添加为 RADIUS 客户端，同时配置共享机密。Connection Request Policies 和 Network Policies 控制哪些用户可以访问以及他们获得哪个 VLAN。

# NPS wireless policy logic:
# Connection Request Policy: match RADIUS clients (APs)
# Network Policy 1:
#   Conditions: AD Group = 'CorpWireless-Users'
#   Settings: VLAN 10, EAP-PEAP allowed
# Network Policy 2:
#   Conditions: AD Group = 'Guests'
#   Settings: VLAN 20, access hours restricted
# Default: DENY (fall-through if no policy matches)

IoT 与无头设备的身份验证

无头设备（打印机、IP 摄像头、IoT 传感器）通常无法执行 EAP 身份验证，因为它们缺少 Supplicant 软件栈或证书存储。对于这些设备，组织可以使用MAC Authentication Bypass（MAB），将设备的 MAC 地址作为凭据提交给 RADIUS。MAB 的安全性弱于 802.1X，因为 MAC 地址可以被伪造；但结合 VLAN 隔离和 NAC 安全状态评估，它可以为无法支持完整 802.1X 的设备提供可行方案。请始终将 IoT 设备置于单独的受限 VLAN 中。

# MAC Authentication Bypass (MAB) on Cisco switch:
interface FastEthernet0/5
  dot1x pae authenticator
  authentication port-control auto
  mab              <- falls back to MAC auth if EAP fails
  switchport access vlan 40   <- IoT VLAN if MAB succeeds

# FreeRADIUS: authorize by MAC
# 001122334455  Auth-Type := Accept
#               Tunnel-Private-Group-ID = '40'

RADIUS 高可用性与安全性

RADIUS 是关键的基础设施组件——如果 RADIUS 服务器不可用，任何无线客户端都无法进行身份验证。最佳实践包括部署主 RADIUS 服务器和备用 RADIUS 服务器，并在所有 AP 上进行配置；同时使用服务器故障转移顺序，使系统能够自动联系备用服务器。AP 与 RADIUS 服务器之间的共享机密必须足够强（至少包含 22 个随机字符），并严格保密。当 RADIUS 流量经过不受信任的网络时，应使用 RADIUS over TLS（RadSec）。监控 RADIUS 日志中的身份验证失败激增情况，因为这可能表示存在暴力破解尝试或凭据填充攻击。

# FreeRADIUS clients.conf: configure AP with strong shared secret
# client 10.1.1.1 {
#   secret     = 'xK9#mP2@vL5$nQ8!rT4^wY'
#   shortname  = floor3-ap-01
#   nas_type   = other
# }

# AP config: primary and secondary RADIUS
# radius-server host 10.2.2.1 key xK9#mP2@vL5$nQ8!rT4^wY
# radius-server host 10.2.2.2 key xK9#mP2@vL5$nQ8!rT4^wY

有线网络中的 802.1X

802.1X 并不局限于无线网络——在重视物理端口安全的环境中，它对有线交换机端口同样重要。如果有线端口未启用 802.1X，任何人将以太网线插入办公室端口后都可以访问网络。交换机启用 802.1X 后，端口会保持阻塞，直到设备完成身份验证。这可以防止攻击者将未经授权的设备接入会议室、走廊或访客区域的网络信息点。访客用户可以被引导至访客 VLAN，而企业设备则被置于适当的网络分段中。

# 802.1X on a Cisco wired switch port:
interface FastEthernet0/10
  description 'Conference Room Drop'
  switchport mode access
  switchport access vlan 999     <- default quarantine until auth
  dot1x pae authenticator
  authentication port-control auto
  authentication event fail action authorize vlan 20  <- guest VLAN

快速检查

测试您对本课 CompTIA Security+（SY0-701）概念的理解。

课程回顾

在本课中，您学到了：802.1X采用三方模型（Supplicant、Authenticator、RADIUS 服务器），无需共享密码即可为每位用户提供独立的无线身份验证；EAP-TLS通过双向证书身份验证提供最强的安全性，而 PEAP是一种实用的替代方案，只需要服务器证书；RADIUS Accounting记录会话数据，对于取证调查极具价值。接下来，我们将学习 Bluetooth 和 IoT 无线威胁。

常见问题解答

「企业无线网络：802.1X 与 RADIUS」课时是免费的吗？

是的 — 「企业无线网络：802.1X 与 RADIUS」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Security+ Academy 课程的其余内容，请升级到 CoddyKit PRO。 Security+ Academy 课程共包含 4 节课。

「企业无线网络：802.1X 与 RADIUS」这节课中我会学到什么？

了解基于端口的 802.1X 身份验证和 RADIUS 服务器如何分别验证每个无线客户端，而无需共享通用密码。你通过在浏览器中直接运行的动手代码来练习 Security+ Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Security+ Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Security+ Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 3 节课，共 4 节。

「企业无线网络：802.1X 与 RADIUS」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Security+ Academy 课中编写并运行代码吗？

能。每节 Security+ Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 Security+ Academy