随着无线网络安全需求不断提升，越来越多的应用场景要求对终端设备进行身份认证后才允许接入网络。本方案通过unifi ap与思科radius服务器协同工作，构建基于wpa-enterprise的802.1x认证体系，实现用户级精细化准入控制，有效增强无线网络的安全性与可管理性。
1、 网络拓扑结构如下所示：
2、 本方案在本地局域网中部署Unifi控制器（亦支持云端部署模式），并选用思科ACS作为后端RADIUS认证服务器。
3、 RADIUS服务运行于IP地址10.10.100.66的思科ACS服务器上。
4、 Unifi AP设备通过DHCP获取到的管理IP为10.10.100.68。
5、 在Unifi控制器界面中，将目标SSID的认证方式调整为“WPA/WPA2 Enterprise”。
6、 配置RADIUS认证服务器地址为10.10.100.66，端口设为1812，共享密钥填写为ubnt12734；该密钥必须与ACS侧配置完全一致，以保障认证报文正常交互。
7、 同时配置RADIUS计费服务器地址为10.10.100.66，端口1813，共享密钥为ubnt1234，用于接收在线用户时长、流量等计费信息。
8、 完成上述设置后，在Unifi控制器中保存并应用配置。
9、 登录思科ACS管理平台，进入RADIUS相关参数配置模块。
10、 在网络设备配置中，将Unifi AP添加至自动信道优化策略范围内。
11、 填写AP的IP地址（10.10.100.68）、匹配的共享密钥，并指定认证协议为标准RADIUS（IETF）格式。
12、 创建测试用本地用户账户，数据库类型选择ACS内置目录；如需对接企业统一身份系统，也可启用Windows Active Directory集成方式。
13、 WPA-Enterprise认证依赖EAP-TLS或PEAP等加密机制，因此必须在RADIUS服务器上安装有效的数字证书，确保客户端与服务器间通信安全。
14、 思科ACS需预先导入或签发对应证书用于EAP认证流程。
15、 可通过ACS系统内建的证书管理功能生成自签名测试证书；生产环境建议使用由受信任CA机构签发的正式证书。
16、 证书部署完成后，在ACS认证方法中启用EAP-PEAP或EAP-TLS等兼容模式，完成整体RADIUS服务配置。
17、 使用一台Windows笔记本作为测试终端，搜索并连接名为test-radius的无线网络。
18、 连接过程中输入已在ACS中创建的用户名ubnt及密码ubnt1234，发起802.1X认证请求。
19、 若使用的是自签名证书，系统可能提示“证书不可信”，此时可选择“继续连接”跳过验证警告。
20、 认证成功后，终端自动获取IP地址，并显示已通过企业级无线认证接入网络。
