基于FreeRadius、Hostapd和wpa_supplicant搭建无线接入认证环境

本文链接：https://blog.youkuaiyun.com/cqwei1987/article/details/107237578

本文档详细介绍了如何利用FreeRadius、Hostapd和wpa_supplicant搭建无线接入认证环境。实验中，FreeRadius作为Radius Server，Hostapd作为AP，wpa_supplicant作为移动终端。文章详细阐述了实验环境、配置步骤以及EAP-PEAP的认证流程，包括TLS通道建立和密钥派生，为理解802.1X无线网络认证提供了深入的解析。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

无线接入认证

1. 实验环境

实验架设了三台电脑，台式机上配置FreeRadius，作为Radius Server；笔记本1上配置Hostapd，作为AP，连接Radius Server和终端设备；笔记本2上配置wpa_supplicant，作为移动终端，也就是请求接入方supplicant。
其中，Radius Server只开启了认证功能，计费功能未开，且没有加入证书，所以在supplicant端也没有进行服务端的证书认证。

Radius Server端配置
现在Radius Server端设置AP端的信息

client 192.168.1.106{
   
       ipaddr = 192.168.1.106   //AP端的IP
       secret = testing123
}

另外数据库中加入了用户user1和其口令password1。
2. AP端配置
在AP端的配置文件hostapd.conf中，设置Server端的信息和接入方式等：

ssid=test     //无线网络的SSID
#RADIUS authentication server
auth_server_addr=192.168.1.107      //Server端的IP
auth_server_port=1812
auth_server_shared_sercet=testing123
ieee802.1x=1
wpa_key_mgmt=WPA-EAP
wpa_pairwise=CCMP

wpa_supplicant配置
在supplicant端加入AP的无线网络信息：

network ={
   
ssid=”test”
key_mgmt=WPA_EAP
group=CCMP
eap=PEAP
identity=”user1”
password=”password1”
priority=1
phase2=”auth=MSCHAPV2”
}

在实验认证成功时，Freeradius的log显示，最后发送的Access-Accept包中还包含MPPE-KEY，抓包也显示有这个信息。这个在之前的协议中没有看到相关描述，就再次把整个流程捋了一遍。
Access-Accept包格式
在这里插入图片描述

2. 结构描述

IEEE 802.1X是根据用户ID或设备，对网络客户端(或端口)进行鉴权的标准。它采用RADIUS(远程认证拨号用户服务)方法，在无线网卡和无线访问点（AP）之间提供基于端口的访问控制和相互认证。
802.1x体系结构包括下列3部分：
（1）Supplicant：要访问网络的设备，通常是支持802.1x认证的用户终端设备，在这里是部署了wpa_supplicant的笔记本2。
（2）Authenticat