WPA2-Enterprise 是什么
WPA2-Enterprise 把身份验证从「共用口令」改成「一人一凭据」。AP 只负责在终端与 RADIUS 服务器之间转发 EAP 报文，真正的校验由服务器完成，认证通过后再派生密钥加密空口数据。它通常与 802.1X 一起被提起：802.1X 定义端口访问控制的框架，EAP 是其中承载凭据的协议，常见组合有 PEAP-MSCHAPv2 与 EAP-TLS。适合人数较多、需要审计与快速吊销凭据的企业环境。
基本信息
| 认证 | 802.1X 加 EAP，如 PEAP、EAP-TLS |
|---|---|
| 后端 | RADIUS 服务器，也可对接域控或目录服务 |
| 优势 | 一人一凭据，可按用户或设备下发策略 |
| 复杂度 | 需要证书、目录与服务器运维 |
| 密钥 | 每用户独立会话密钥，互不影响 |
| 适用场景 | 企业办公、校园、园区、设备入网 |
常见 EAP 方式对比
| 方式 | 凭据 | 适用 |
|---|---|---|
| PEAP-MSCHAPv2 | 用户名口令，服务器证书 | 部署最广，适合存量终端 |
| EAP-TLS | 客户端与服务器双证书 | 安全要求高，便于吊销 |
| TTLS-PAP | 用户名口令，服务器证书 | 兼容性好，注意内层口令保护 |
| EAP-SIM/AKA | 运营商 SIM 凭据 | 手机与物联网卡场景 |
典型使用场景
- 企业办公网：员工用域账号登录，离职即吊销
- 校园网：学生与教职工分别授权，便于计费与审计
- 设备入网：打印机、摄像头用证书自动认证
- 访客与企业网分离：访客走独立 SSID 与服务器策略
- 合规要求：需要记录谁在何时接入哪个 AP
落地时的三个关键点
第一，客户端必须校验服务器证书。这一步常被为了方便而取消勾选，代价是任何伪造热点都能骗取用户凭据，配置模板中应固定该选项并下发受信任的 CA。第二，证书与身份源要统一管理，跨域与多 SSID 场景下如果 NAS 标识不一致，审计日志会混乱，计费与策略下发也会出错。第三，运维流程要配套，包括账号开通、变更与吊销，以及证书到期前的轮换计划；企业网络里最常见的集体故障就是证书过期，而不是加密算法本身。
员工离职仅需吊销目录账号，无需更换全网 Wi-Fi 口令，这是企业自建 Wi-Fi 的主要动因。
AP 与 RADIUS 之间的共享密钥要足够复杂，两条链路建议启用 RadSec（RADIUS over TLS）保护报文。