EAP 方法的选择余地
802.1X 的认证流程由 EAP 方法决定。除了最常见的 PEAP 与 EAP-TLS，还有 EAP-FAST、TEAP，以及历史上出现过的 LEAP。它们要解决的问题相同：如何在无线链路上安全地把身份凭据送到认证服务器；差别在于隧道建立方式、是否需要客户端证书，以及能否在一条隧道里承载多条认证链路。
基本信息
| 适用平台 | 企业无线 802.1X：思科 IBNS、Aruba、华为 AC 等 |
|---|---|
| 相关标准 | RFC 4851（EAP-FAST）、RFC 7170（TEAP）、RFC 3748（EAP 框架） |
| 凭据形式 | PAC、用户名加口令、数字证书 |
| 选择依据 | 终端能力、目录服务（AD/LDAP）、证书体系成熟度 |
| 弃用项 | LEAP，思科私有且已废弃 |
典型使用场景
- 终端能力参差不齐：需要免客户端证书的部署场景可考虑 EAP-FAST
- 隧道内多链路认证：TEAP 可在一条 TLS 隧道里承载内外两层认证，适合机器加用户的双重校验
- 存量网络盘点：资产中若还有 LEAP 配置，直接列入整改清单
- 方法迁移：从 PEAP 迁到 TEAP 分阶段推进并保留回退方案
- 目录集成核对：确认认证方法与 AD/LDAP 查询方式匹配，避免上线后取不到属性
方法选择核对
方法选择核对
# 1) 列出终端型号与系统版本，标注是否支持证书下发
# 2) 证书体系完整时优先 EAP-TLS，能力不足的用 PEAP 或 EAP-FAST
# 3) 需要机器加用户两层认证时评估 TEAP
# 4) 禁用 LEAP：任何残留配置都应整改
# 5) 上线前用真实终端矩阵做一轮兼容性验证方法对照
| 方法 | 特点 | 现状 |
|---|---|---|
| EAP-FAST | 使用 PAC 预置，免客户端证书 | 可用，需注意 PAC 的安全发放 |
| TEAP | 一条 TLS 隧道内承载多条认证链路 | 较新，逐步推广 |
| LEAP | 思科私有，凭据易被离线破解 | 已废弃，禁用 |
| EAP-TLS | 双向证书认证，强度最高 | 证书体系成熟时首选 |
方法选择要与终端能力、目录服务和证书体系三者同时匹配；为兼容不断妥协的结果通常是整体安全水位被拉低。
EAP-FAST 的 PAC 是敏感凭据，需要受控发放与更新，配置疏漏会退回不安全模式，或造成大面积认证失败。