802.1x企业级准入认证核心是构建“客户端–接入设备–认证服务器”三方可信链路，需确保eap类型匹配、radius共享密钥一致、nas-ip可达、证书可信及vlan动态下发准确。
企业内网部署基于802.1X的服务器网络身份准入认证，核心是构建“客户端–接入设备–认证服务器”三方可信链路，重点不在协议本身多复杂，而在于三个角色之间配置对得上、证书或凭据信得过、通信路径通得稳。
明确三类角色及其关键要求
802.1X不是单点配置，而是系统级协作：
- 客户端（员工终端）：Windows/macOS/Android/iOS 系统均原生支持802.1X，但需确认启用EAP类型匹配（如EAP-PEAP、EAP-TLS）。若用EAP-TLS，终端必须预装由企业CA签发的用户证书；若用EAP-PEAP，则只需输入域账号密码，无需证书安装。
- 接入设备（AC或交换机）：必须支持802.1X端口认证，并能作为NAS（Network Access Server）封装EAP报文为RADIUS协议。常见设备如华为AC、H3C WX系列、Cisco WLC或S5700/S6700交换机均可胜任，关键是开启802.1X功能并正确绑定认证模板与VLAN。
- 认证服务器（RADIUS）：推荐使用Windows NPS（Server 2012 R2及以上）或Cisco ISE。NPS配置需启用“网络策略服务器”角色，导入企业根证书（EAP-TLS必需），并创建对应网络策略——指定允许的EAP类型、授权VLAN、会话超时等。共享密钥必须与接入设备侧完全一致，大小写和特殊字符都不能错。
选择适合企业的EAP认证方式
不同EAP方法对应不同安全等级与管理成本：
- EAP-PEAP-MSCHAPv2：最常用，用户名密码认证，服务端需部署服务器证书（用于加密隧道），客户端无需证书。适合账号体系成熟、IT运维人力有限的企业。
- EAP-TLS：双向证书认证，客户端和服务端都需有效证书，安全性最高，且免输密码。适合高敏感部门（如研发、财务），或已部署SASE平台可自动下发入网证书的场景。
- 避免纯PAP/CHAP：明文或弱哈希传输凭证，不符合等保或合规要求，仅作测试参考，不可用于生产环境。
关键配置项必须严格对齐
实际部署中最常失败的环节，往往出在参数不一致：
- RADIUS服务器IP地址、认证端口（默认1812）、计费端口（默认1813）需在AC/交换机的RADIUS模板中精确填写；
- 共享密钥（Shared Secret）必须两端完全相同，建议用随机字符串（如YsHsjx_202206），禁用空格和中文；
- NAS-IP-Address（即AC或交换机向RADIUS标识自己的源IP）要设为管理VLAN接口地址，且该接口需能路由到达RADIUS服务器；
- 认证域（Authentication Domain）在设备侧需与NPS中的网络策略名称或连接请求策略匹配；
- VLAN分配逻辑需提前规划：认证前走Guest VLAN（可选），认证成功后由RADIUS通过Tunnel-Private-Group-ID属性动态下发业务VLAN。
上线前必须验证的连通性与流程
配置完成后不能直接放行终端，应分步验证：
- 从AC或交换机ping通RADIUS服务器IP，确保三层可达；
- 在NPS服务器上启用“RADIUS日志”，尝试用测试账号发起一次认证，观察日志中是否收到Access-Request、是否返回Access-Accept；
- 用一台Windows电脑手动配置WLAN属性→安全→802.1X设置，选择对应EAP类型，勾选“验证服务器证书”（EAP-PEAP/TLS必需），输入域账号测试；
- 抓包验证（可选）：在AC侧捕获EAPoL报文，确认EAP-Start → EAP-Request/Identity → EAP-Response/Identity → RADIUS Access-Request完整流转。
