802.1X 网络接入控制

定义

IEEE 802.1X 是基于端口的网络接入控制(PNAC)标准:终端接入交换机端口或无线 SSID 后,在认证通过之前只允许认证报文通行,其他流量一律阻断,从而把"入网"变成一件需要许可的事。

架构

共有三个角色:请求者(Supplicant,终端上的认证客户端)、认证者(Authenticator,交换机或无线接入点)和认证服务器(通常是 RADIUS 服务器)。终端与认证者之间用 EAPOL 承载 EAP 报文,认证者再将 EAP 转封装进 RADIUS 送往服务器。EAP 方法可插拔:PEAP、EAP-TTLS 基于用户名口令,EAP-TLS 使用双向证书,安全性最高。

应用

802.1X 是企业 WPA2/WPA3-Enterprise 无线网络的标准认证框架,也用于有线端口准入;认证成功后服务器可下发 VLAN、ACL 等授权属性,实现按身份分网。教育网漫游联盟 eduroam 就是跨机构 802.1X 认证的大规模实践。