802.1X 的三个角色
802.1X 把接入认证拆成三方：申请者（Supplicant，通常指终端）、认证者（Authenticator，无线场景里是 AP 或控制器）、认证服务器（通常是 RADIUS）。认证者在中间转发 EAP 报文并控制端口开合：认证通过之前，除 EAPOL 之外的流量一律不放行。无线场景中 EAP 报文封装在 EAPOL 里，由 802.11 数据帧承载。
角色与职责
| Supplicant | 终端，发起 EAP 认证并提供凭据（口令或证书） |
|---|---|
| Authenticator | AP 或无线控制器，中继 EAP、控制端口状态、执行下发的授权 |
| Auth Server | RADIUS 服务器，校验凭据，返回 Accept/Reject 与授权属性 |
| 授权属性 | VLAN、ACL、Session-Timeout 等由服务器下发，AP 侧负责落实 |
| 端口状态 | 未认证时只放行 EAPOL，认证通过后按授权属性放行 |
三角色对照
| 角色 | 承担设备 | 核心职责 |
|---|---|---|
| Supplicant | 手机、笔记本等终端 | 发起认证，提供身份与凭据 |
| Authenticator | AP 或无线控制器 | 中继 EAP，控制端口，执行授权结果 |
| Auth Server | RADIUS 服务器 | 校验凭据，返回 Accept/Reject 与属性 |
| 动态授权 | RADIUS 配合 AP 或交换机 | 通过 CoA 在会话中变更权限或强制下线 |
认证时序
认证时序
终端关联 → 802.1X 开始 → EAP 交互 → RADIUS 校验
→ Accept：端口放行，可下发 VLAN / ACL
→ Reject：端口保持关闭，终端只能重试
# 抓包过滤 EAPOL
# Wireshark: eapol部署要点
- AP 与 RADIUS 之间要先配好共享密钥与 NAS 标识，错配会表现为全体认证失败
- 认证超时时间过短，会在高负载时造成偶发失败，日志多为 RADIUS timeout
- 终端需信任服务器证书，否则内层校验失败，现象很像密码错误
- 服务器下发的 VLAN 必须在 AP 与交换机上有对应定义，否则认证通过也拿不到地址
- 认证与计费可复用同一台服务器，但端口与共享密钥要区分清楚
认证未通过的终端除 EAPOL 外无法通信，这是「连上了但上不了网」的常见原因之一，排查时应先确认终端是否真的完成了认证，而不是直接怀疑 DHCP。
共享密钥一旦不一致，表现是整个区域集体认证失败，而不是个别用户失败。变更密钥必须全量同步两端，避免只改一侧造成大面积中断。