| 认证 | 802.1X + EAP（如 PEAP/EAP-TLS） |
|---|---|
| 后端 | RADIUS 服务器 |
| 优势 | 一人一凭据、可按用户/设备下发策略 |
| 复杂度 | 需要证书与目录集成 |
员工离职仅需吊销目录账号，无需更换全网 Wi-Fi 口令，这是企业自建 Wi-Fi 的主要动因。
本包目录（397 条）
无线基础与标准67 条信道与干扰优化49 条
加密与接入认证65 条
- WPA2-Personal（CCMP/AES）
- WPA3-Personal（SAE）
- 无线安全机制演进总览
- PMF 管理帧保护（802.11w）
- PEAP + MSCHAPv2：企业常见组合
- WPA2-Enterprise（802.1X）
- 四次握手与密钥派生
- RADIUS 服务器基础（端口与共享密钥）
- Deauth 泛洪与掉线原因码
- EAP-TLS：双向证书认证
- 802.1X 认证流程与三个角色
- 访客网络与客户端隔离
- WPA3 过渡模式（混合模式）
- 服务器证书校验：不可省略的一步
- WPA3-Enterprise（企业版）
- WPS 快速配置与安全风险
- 仿冒热点（Evil Twin）与识别
- EAP 方法选择对照
- Windows 客户端 802.1X 配置要点
- OWE 机会无线加密
- Wi-Fi 口令（PSK）强度与策略
- PSK 与 802.1X 的选择
- 开放网络（无加密）的风险与用途
- TKIP / CCMP / GCMP 加密算法对比
- PMK / PTK / GTK 密钥体系
- 动态 VLAN 下发（Tunnel-Private-Group-ID）
- Portal 认证（Captive Portal）要点
- PEAP 认证失败的常见原因
- CCMP：AES 计数器模式加密
- 非法 AP（Rogue AP）检测与处置
- EAP-TTLS：隧道 + 内层认证
- DPSK / iPSK：每设备独立预共享密钥
- 无线安全自查清单
- WEP 加密及其淘汰原因
- KRACK：WPA2 握手重装攻击（已修复）
- WIDS / WIPS 无线入侵检测与防御
- RADIUS 计费与上网审计
- 常见 RADIUS 服务器软件选型
- RADIUS 认证日志定位方法
- EAPOL 报文的角色
- PSK 离线字典风险的原理与对策
- RADIUS 证书的名称与 SAN 要求
- 隐匿 SSID：安全价值有限
- radtest：RADIUS 认证快速验证
- EAP-TLS 部署检查清单
- 6GHz 的强制安全要求
- WPA（TKIP）过渡机制
- GCMP-256 与 192 位安全套件
- RADIUS CoA 动态授权变更
- MAC 地址过滤的局限与用法
- 证书轮换与到期管理
- MAC 认证旁路（MAB）
- Dragonblood：WPA3 SAE 侧信道问题（已缓解）
- 其它 EAP 方法：FAST / TEAP / LEAP
- 会话时长与重认证（Session-Timeout）
- WPA2/WPA3 混合模式的兼容问题
- SAE 哈希到元素（H2E）
- FragAttacks：帧聚合与分片设计缺陷（已修复）
- RADIUS Filter-Id 与 ACL 下发
- RadSec：RADIUS over TLS
- Wi-Fi Easy Connect（DPP）免配置入网
- PSK 定期更换的实践
- SAE 群组与合规要求
- EAP-PWD：口令型 EAP 方法
- EAP-SIM / EAP-AKA 与运营商 Wi-Fi
WPA2-Enterprise（802.1X）
企业级模式：AP 只做认证转发，真实校验由 RADIUS 完成，每个用户独立凭据，便于审计与吊销。
易错点
- 客户端必须校验服务器证书，否则会遭遇「假热点」骗取凭据；配置模板要固定该选项
- 跨域漫游/多 SSID 场景要统一证书与 NAS 标识，否则会计与策略会混乱
数据来源与参考
- IEEE 802.1X-2010
- RFC 2865（RADIUS）