14、802.1X/EAP 认证：原理、配置与凭证解析

802.1X/EAP 认证：原理、配置与凭证解析

1. 认证相关组件概述

在企业无线局域网（WLAN）中，认证器通常是接入点（AP）或 WLAN 控制器。认证器需要知道谁来提供访客列表服务，这正是认证服务器的角色。一般而言，认证服务器多为 RADIUS 服务器。

1.1 认证器配置

当将 WLAN 控制器或 AP 配置为认证器时，需要指定其指向认证服务器的方向。具体操作如下：
- 配置认证器与 RADIUS 服务器通信所需的 RADIUS 服务器 IP 地址和共享密钥。共享密钥仅用于验证和加密认证器与认证服务器之间的通信链路，不用于验证客户端。
- 认证器和认证服务器应配置为使用 UDP 端口 1812 进行认证通信，使用 UDP 端口 1813 进行计费通信。
- 认证器会被配置为“要求”EAP 认证，但不指定具体的 EAP 类型。认证器本质上是一个直通设备，允许或禁止流量通过其虚拟端口。

1.2 认证服务器

认证服务器（AS）负责验证请求访问的客户端的凭证，并通知认证器该客户端已获授权。认证服务器会维护一个用户数据库，或者与外部用户数据库进行代理以验证用户或设备的凭证。认证服务器和客户端使用第 2 层 EAP 认证协议进行通信。

在大多数情况下，RADIUS 服务器充当认证服务器。RADIUS 服务器可能持有主本地用户数据库，但通常会查询预先存在的外部数据库。任何符合轻量级目录访问协议（LDAP）的数据库都可以被 RADIUS 认证服务器查询。常见的外部 LDAP 数据库包括 Active Directory、Apple Open Directory 和 Novell eDire