EAPOL 报文是什么
EAPOL 是 EAP over LAN 的缩写，负责在终端与接入设备之间承载 802.1X 认证与密钥协商报文。它在两个阶段活跃：认证阶段封装 EAP 报文（终端、AP、RADIUS 三方交互），密钥阶段封装四次握手（EAPOL-Key），用于派生出会话密钥。有线 802.1X 用的也是同一套报文，无线只是把它跑在 802.11 数据帧上。
基本信息
| 全称 | EAP over LAN |
|---|---|
| 承载内容 | EAP 认证报文与 EAPOL-Key 四步握手 |
| 抓包过滤 | Wireshark 中按 eapol 或 eap 过滤 |
| 密钥阶段 | 4 次 EAPOL-Key 交互，用于密钥派生与确认 |
| 有线与无线 | 报文结构一致，承载介质不同 |
Wireshark 常用过滤
Wireshark 常用过滤
# 只看 802.1X 与密钥协商
# eapol
# 只看认证阶段（EAP 方法、身份）
# eap
# 只看密钥协商（四次握手）
# eapol.type == 3
# 组合过滤某终端
# (eapol || eap) && wlan.addr == aa:bb:cc:dd:ee:ff典型使用场景
- 认证卡住：按时间线判断停在身份、方法协商还是密钥阶段
- 四步握手失败：定位密钥派生不一致或终端不响应
- 密码错误排查：区分是认证被拒还是密钥阶段超时
- 有线准入：交换机端口的 802.1X 同样用 EAPOL 抓包分析
- 取证与审计：确认终端是否真的完成了完整认证流程
阶段与常见异常
| 阶段 | 报文特征 | 常见异常 |
|---|---|---|
| 身份获取 | EAP-Request/Response Identity | 无响应或反复请求，多为客户端配置错误 |
| 方法协商 | EAP 方法与能力交换 | 方法不匹配导致立即失败 |
| 认证判定 | Access-Accept/Reject 后回传结果 | 被拒多为凭据、证书或策略问题 |
| 四次握手 | EAPOL-Key 四步交互 | 密钥不一致、终端超时、MIC 校验失败 |
认证完成前 EAPOL 走的是未加密通道，抓包能看到用户名域与认证方法等信息，因此抓包文件要按敏感数据处理。
看到 EAPOL timeout 时，优先查 AP 与 RADIUS 之间的可达性与超时参数，而不是先怀疑终端。