4、网络接入认证：Wi-Fi/WAN接入认证、802.1X协议、EAP方法
设备要联网，第一道坎就是接入认证。
说白了，就是网络得先确认「你是谁」，才让你进门。我见过太多项目，设备硬件做得挺扎实，结果在入网这步被卡住——要么连不上，要么连上了但安全漏洞一堆。
这一章，咱们就聊聊Wi-Fi和有线网络的接入认证。重点放在802.1X和EAP上。嗯，这两个东西，是物联网设备入网的核心。
4.1 Wi-Fi接入认证：不止是输个密码
家用场景下，大家最熟悉的是WPA2-Personal。路由器设个密码，设备输密码连上，完事。
但在企业或工业物联网里，这招行不通。你想想看，几百上千个设备，每个都用同一个预共享密钥（PSK），一旦某个设备被破解，整个网络就裸奔了。
所以，企业级Wi-Fi会用WPA2-Enterprise，甚至WPA3-Enterprise。区别在哪？
| 特性 | WPA2-Personal | WPA2-Enterprise |
|---|---|---|
| 认证方式 | 预共享密钥（PSK） | 802.1X + RADIUS服务器 |
| 密钥管理 | 所有设备共享同一个密钥 | 每个设备独立派生会话密钥 |
| 安全性 | 低，密钥泄露全盘皆输 | 高，支持证书、用户名密码等多种方式 |
| 适用场景 | 家庭、小型办公室 | 企业、工厂、医疗、校园 |
核心要点：物联网设备入企业Wi-Fi，几乎必走WPA2-Enterprise。别想着用PSK糊弄，审计过不去，安全也扛不住。
4.2 有线接入认证：802.1X协议
有线网络呢？插根网线就能上网？那可不行。
802.1X就是给有线网络加的一道锁。它工作在数据链路层，端口级别的认证。设备插上网线，端口默认是关闭的，只有认证通过后，端口才打开。
我习惯把802.1X拆成三个角色：
- 申请者（Supplicant）：就是咱们的物联网设备，需要主动发起认证。
- 认证者（Authenticator）：通常是交换机或无线AP，负责把认证请求转给后端。
- 认证服务器（Authentication Server）：一般是RADIUS服务器，真正做决策的。
流程其实不复杂：
- 设备插上网线，交换机检测到链路up。
- 交换机向设备发送EAP-Request/Identity，问「你是谁？」。
- 设备回复EAP-Response/Identity，报上身份信息。
- 交换机把这些封装成RADIUS Access-Request，发给RADIUS服务器。
- RADIUS服务器和设备之间，通过EAP方法来回交换认证信息。
- 认证通过，RADIUS发RADIUS Access-Accept，交换机打开端口。
一个小技巧：调试802.1X时，我经常在交换机上抓包。重点关注EAPOL（EAP over LAN）帧，看设备有没有正确响应Identity请求。很多设备卡在这一步，是因为MAC地址没注册到RADIUS的白名单里。
4.3 EAP方法：认证的「方言」
EAP（Extensible Authentication Protocol）本身只是个框架。真正干活的是里面的各种EAP方法。不同的方法，安全强度、复杂度、适用场景都不一样。
物联网设备资源有限，选EAP方法得掂量掂量。我列几个常见的：
| EAP方法 | 认证方式 | 物联网适用性 | 备注 |
|---|---|---|---|
| EAP-TLS | 双向证书 | 高 | 最安全，但需要PKI基础设施，设备端需存储客户端证书 |
| EAP-TTLS | 服务器证书 + 隧道内密码 | 中 | 服务器需证书，设备端只需用户名密码，适合资源受限设备 |
| EAP-PEAP | 服务器证书 + 隧道内MSCHAPv2 | 中 | 类似EAP-TTLS，Windows生态支持好 |
| EAP-MD5 | 用户名+密码（明文传输） | 低 | 不要用！没有加密，密码等于白给 |
| EAP-FAST | 受保护的凭据（PAC） | 中 | Cisco私有，但部分场景可用，无需证书 |
避坑指南：我曾经在一个智能水表项目里，看到有人用EAP-MD5。理由是「设备性能太差，跑不动TLS」。结果呢？抓包工具一跑，密码直接明文可见。后来我强制要求换成EAP-TTLS，设备端只存个用户名密码，服务器端配个自签名证书，安全等级直接拉高两个档次。
4.4 物联网设备选型建议
选哪种EAP方法，得看设备的能力。我一般这么判断：
- 有TLS硬件加速、存储空间够（>1MB）：直接上EAP-TLS。客户端证书烧录在安全芯片里，这是最稳妥的方案。
- 资源受限，但能跑TLS握手：EAP-TTLS或EAP-PEAP。服务器端配证书，设备端只存用户名密码。注意，密码要定期轮换。
- 极端受限，连TLS握手都吃力：考虑EAP-FAST，或者干脆用MAC地址认证旁路（MAB）。但MAB只适合内网隔离环境，别用在公网上。
嗯，这里要注意。不管选哪种，设备端的身份凭证（证书或密码）必须安全存储。我见过把私钥明文写在配置文件里的，那跟没锁门一样。
4.5 一张图看懂网络接入认证
下面这张图，把Wi-Fi和有线接入认证的核心流程串起来了。你一看就明白。
4.6 实战中的几个坑
做物联网设备入网认证，有些坑我踩过，你最好别踩。
坑一：证书过期
设备证书有有效期。我见过一个项目，设备部署了两年，突然全部掉线。查了半天，发现是客户端证书过期了。RADIUS服务器拒绝认证，端口全关。解决方案：要么用短生命周期证书配合自动续期，要么在RADIUS端放宽证书有效期检查（不推荐，但应急可用）。
坑二：EAP方法不匹配
设备端配置了EAP-TLS，但RADIUS服务器只支持PEAP。两边握手到一半就崩了。调试时，我习惯先在RADIUS日志里看EAP方法协商阶段，确认双方支持的Method类型。不一致的话，要么改设备，要么改服务器。
坑三：组播/广播风暴
有些低端交换机，处理大量EAPOL-Start帧时，会把组播帧当成广播泛洪。网络里设备一多，直接打满带宽。我建议在接入层交换机上开启风暴控制，限制未知组播的速率。
4.7 小结
网络接入认证，是物联网安全的第一道防线。Wi-Fi走WPA2-Enterprise，有线走802.1X，EAP方法优先选TLS或TTLS。别图省事用PSK或EAP-MD5，那等于把门钥匙挂在门外。
设备端的身份凭证，一定要安全存储。证书放安全芯片，密码做加密。嗯，这些细节，决定了你的物联网系统到底有多抗打。