3、身份认证基础：三要素、常见协议与认证授权辨析
聊边缘网关安全，绕不开身份认证。说白了，你得先知道「谁」在敲门，才能决定「让不让进」。
我见过不少团队，网关都上线了，认证还只靠一个静态密码。结果呢？被扫出来弱口令，整个边缘节点直接沦陷。所以这一章，咱们把地基打牢。
3.1 身份认证三要素
认证的本质，就是验证「你是谁」。业界公认有三条路，也就是三要素：
| 要素 | 含义 | 常见例子 | 边缘场景典型应用 |
|---|---|---|---|
| 所知（Something you know） | 只有你记得的信息 | 密码、PIN码、密钥 | 网关管理后台登录密码 |
| 所有（Something you have） | 你持有的物理或逻辑凭证 | 智能卡、U盾、手机令牌、证书 | 边缘网关内置的硬件安全模块（HSM）或TLS客户端证书 |
| 所是（Something you are） | 你独有的生物特征 | 指纹、人脸、虹膜 | 现场运维人员的生物识别解锁 |
核心原则：单要素认证是脆弱的。边缘网关暴露在物理可接触的环境中，密码可能被偷看，U盘可能被复制。我建议至少采用「所知 + 所有」双因素认证（2FA）。
举个例子。我在一个工厂项目里，网关只设了密码。结果有人把密码贴在了设备外壳上……嗯，从那以后，我们强制启用了证书+密码的双因子方案。
3.2 常见认证协议
光有要素还不够，得有一套「对话规则」。边缘网关最常打交道的三个协议，我一个个说。
3.2.1 RADIUS：老牌AAA协议
RADIUS（Remote Authentication Dial-In User Service）诞生于拨号上网时代，但至今仍是网络设备认证的标配。
- 工作模式：客户端/服务器，使用UDP 1812/1813端口。
- 核心能力：认证（Authentication）、授权（Authorization）、计费（Accounting），即AAA。
- 边缘场景：网关作为NAS（Network Access Server）设备，将用户密码或证书转发给RADIUS服务器验证。
我的习惯：在边缘网关里，RADIUS主要用于管理员和运维人员的接入认证。记得配置超时重传和备用服务器，否则RADIUS服务器一挂，网关就变「孤儿」了。
3.2.2 LDAP：目录访问协议
LDAP（Lightweight Directory Access Protocol）不直接做认证，但它管着「谁是谁」。企业里用户信息都放在AD或OpenLDAP里，网关需要查一下这个用户是否存在、属于哪个组。
- 端口：明文389，加密636（LDAPS）。
- 典型流程：网关先通过LDAP绑定（Bind）操作验证用户身份，再查询用户属性。
- 边缘场景：网关对接企业统一身份源，实现单点登录（SSO）的基础。
避坑指南：我曾经遇到一个项目，网关和LDAP服务器之间网络延迟高，每次认证都卡几秒。后来加了本地缓存策略——第一次认证成功后，把用户信息缓存到网关本地，后续认证走缓存，定期同步。效果立竿见影。
3.2.3 OAuth 2.0：现代授权框架
OAuth 2.0 严格来说是授权协议，但常被用来做认证（其实不太对，后面会讲）。它通过令牌（Token）来传递身份信息。
- 角色：资源所有者（用户）、客户端（网关）、授权服务器、资源服务器。
- 令牌类型：Access Token（访问令牌）、Refresh Token（刷新令牌）。
- 边缘场景：网关作为客户端，向云端授权服务器申请令牌，然后拿着令牌访问云端API或本地服务。
你想想看，边缘网关如果直接暴露密码给云端，风险多大？OAuth 2.0 用令牌代替密码，令牌还有有效期和范围限制，安全多了。
重要提醒：OAuth 2.0 本身不定义身份认证协议。如果你需要「证明用户是谁」，应该用 OpenID Connect（OIDC），它在 OAuth 2.0 之上加了一层 ID Token。
3.3 认证与授权的区别
这两个概念，我见过太多人混着用。甚至有些产品文档里都写错了。咱们掰扯清楚。
| 维度 | 认证（Authentication） | 授权（Authorization） |
|---|---|---|
| 核心问题 | 你是谁？ | 你能做什么？ |
| 执行顺序 | 先认证，后授权 | 依赖认证结果 |
| 传递信息 | 身份凭证（密码、证书、令牌） | 权限策略（角色、范围、ACL） |
| 失败结果 | 拒绝访问（401 Unauthorized） | 禁止操作（403 Forbidden） |
| 边缘网关例子 | 运维人员输入密码登录网关 | 登录后只能查看日志，不能修改配置 |
说白了，认证是「验明正身」，授权是「分配权限」。你拿着身份证进了大楼（认证通过），但能不能进机房，还得看门禁卡刷不刷得开（授权检查）。
我在一次安全审计中发现，某网关的API接口只做了认证，没做授权。结果普通用户通过抓包拿到了管理员Token，直接修改了网关固件……这就是典型的「认了证，没授权」的坑。
3.4 知识体系总览
下面这张图，把本章的核心逻辑串起来。你可以把它当作一个快速索引。
3.5 小结
这一章咱们把身份认证的底子打好了。三要素是「原料」，RADIUS、LDAP、OAuth 2.0 是「加工方法」，认证与授权的区别是「加工流程」。后面几章，我们会把这些东西装进边缘网关里，做成真正的防护策略。
嗯，记住一句话：认证是门禁，授权是权限卡。门禁坏了，谁都能进；权限卡乱了，进了也乱来。