EAP-TTLS 的隧道机制
EAP-TTLS 先用证书为服务器建立一条 TLS 隧道，再把真实的认证凭据放进隧道里传输，内层可以用 PAP、CHAP 或 MSCHAPv2 等方法。它最实际的价值在于兼容性：客户端可以像普通账号密码登录一样接入，不必为每台设备安装用户证书，同时口令也不会像明文方式那样在空口暴露。
基本信息
| 外层保护 | TLS 隧道，客户端校验服务器证书 |
|---|---|
| 内层认证 | PAP、CHAP、MSCHAPv2 等，由服务端配置决定 |
| 客户端证书 | 非必需，这是它相对 TLS 的主要优势 |
| 适用场景 | 既有老终端又要避免明文口令的企业网络 |
| 配套服务 | 通常与 RADIUS 认证服务器联动 |
典型使用场景
- 办公网络：员工用域账号接入，无需逐个签发证书
- 老终端兼容：无法配置证书的设备仍可走企业认证
- 医院与教育：终端类型繁杂，需要兼顾安全与易用
- 外包与访客：按人或按组下发账号并设定有效期
- 迁移过渡：从预共享密钥向 802.1X 平滑演进
- 合规要求：需要可审计的账号级接入记录
配置要点
配置要点
# 服务器侧：TLS 隧道 + 内层认证方式（隧道属性里指定）
# 客户端侧：必须开启服务器证书校验，并下发受信任的根证书
# 内层方式要与服务端一致，不一致时表现为认证通过但授权失败
# 每次调整后用新旧各一款终端做连接回归常见问题对照
| 现象 | 可能原因 | 核查方向 |
|---|---|---|
| 认证成功但无权限 | 内层认证方式与策略不匹配 | 服务端隧道属性配置 |
| 客户端提示证书错误 | 根证书未下发或域名不匹配 | 服务器证书与信任链 |
| 被仿冒热点套取凭据 | 客户端未校验服务器证书 | 强制开启证书校验 |
| 部分终端无法接入 | 老终端不支持所需的加密套件 | 查看终端与服务器日志 |
TTLS 若不校验服务器证书，隧道就形同虚设：攻击者用同名 SSID 架设仿冒热点即可在隧道建立阶段套取凭据。客户端必须下发受信任根证书并强制校验。