pana 是什么
716/udp 的 IANA 登记名是 pana，规范文本是 RFC 5191，全称是 Protocol for Carrying Authentication for Network Access。它的定位很好理解：在链路层还没有现成认证承载方式的环境里，让设备在拿到 IP 地址之后、正式使用网络之前先完成一次认证。PANA 本身不定义认证算法，而是承载 EAP，把接入控制的判断交给已有的认证体系。
基本信息
| 服务名 | pana（PANA Messages） |
|---|---|
| 端口 | 716（UDP） |
| 规范 | RFC 5191 |
| 角色 | 客户端与接入认证代理/服务器 |
| 用途 | 承载 EAP，完成网络接入认证 |
典型使用场景
- 物联网接入：设备不具备 802.1X 能力时的替代认证方案
- 工业与专网：对接入设备做统一身份校验
- 实验室验证：研究 IP 层接入认证的实现方式
- 安全评估：确认未认证设备无法获得可用网络访问
- 端口字典核对：确认 716 的协议归属与用途
排查命令
排查命令
ss -lunp | grep ':716 ' # 本机是否在监听 716
sudo lsof -i :716 -i :udp # 反查进程
sudo tcpdump -ni any udp port 716 -c 20 # 抓包观察认证交互
ss -lunp | grep -E ':(1812|1813) ' # 与 RADIUS 认证计费端口对照
ip -br addr show # 确认设备接入后的地址状态接入认证方式对照
| 方式 | 层次 | 典型场景 |
|---|---|---|
| 802.1X | 链路层 | 有线与无线园区网 |
| PANA | IP 层承载 EAP | 无链路层认证能力的环境 |
| Portal 认证 | 应用层 | 访客网络与公共场所 |
| MAC 准入 | 链路层简单识别 | 低安全要求的内部网段 |
PANA 的定位决定了它适合「设备先拿到地址、再完成认证」的场景：地址阶段与认证阶段分离，因而在认证完成前需要严格控制设备能访问什么，否则认证形同虚设。
接入认证的关键在后端：认证服务器、账号目录与策略配置三者必须一致。前端协议换一种只是载体变化，账号是否有效、授权范围是否合理才是决定安全效果的部分。
核查此类环境时建议做一次实际测试：用未注册设备尝试接入，确认它确实无法获得可用访问。测试结果比配置文件更能说明问题，也能顺带验证告警与日志是否按预期记录。