EAP(可扩展认证协议)

EAP(Extensible Authentication Protocol,可扩展认证协议)是一种认证框架,而不是某一种具体的认证算法。它由 IETF 在 RFC 3748 中定义,只规定认证过程中消息的封装格式与交互流程,把具体的凭据校验方式交给各类 EAP 方法去实现。

概述

EAP 最初设计用于点对点协议(PPP)的拨号认证,后来随 IEEE 802.1X 被引入有线与无线局域网。它的精髓在于可扩展:同一套框架下,既能用证书,也能用口令、SIM 卡或一次性密码,新增认证方式无需改动底层网络设备。常见方法包括 EAP-TLS、EAP-TTLS、PEAP、EAP-SIM 与 EAP-AKA 等。

核心原理

• 三方模型:请求方(客户端)、认证方(交换机或无线接入点)与认证服务器(通常是 RADIUS)三者协作。
• 透传封装:认证方并不理解 EAP 内容,只把报文在客户端与服务器之间来回转发,自身仅根据结果放行或拒绝。
• 方法协商:握手时双方协商采用哪种 EAP 方法,若客户端不支持则回以 NAK 另选。
• 密钥派生:成功后可导出会话密钥,用于后续链路加密,如 Wi-Fi 的动态密钥。

应用场景

在企业 Wi-Fi 中,EAP 是 WPA2/WPA3 企业模式的认证核心;运营商网络中,手机通过 EAP-SIM/EAP-AKA 用 SIM 卡完成 Wi-Fi 无缝接入。它也用于宽带拨号和 VPN 的身份验证环节。

常见问题

问:EAP 和 802.1X 有何区别?答:802.1X 规定了如何在局域网端口上承载认证并控制端口开关,而 EAP 是它承载的认证内容;二者常搭配出现。

问:为什么企业 Wi-Fi 常用 PEAP?答:PEAP 先建立 TLS 隧道保护内部认证,只需服务器端证书即可用账号口令登录,部署比要求双向证书的 EAP-TLS 更简便。