波仔
📡 第六章 高速普及的无线LAN及其基础知识
📄 一句话概括

认证回答「你是谁」，加密回答「别人听不听得懂」——两件事别混。 而企业网一定要上 802.1X 的理由，是「能只吊销一个人」。

📝 本节和前面几节的关系

上一节讲「按设备控制」（很弱），这一节讲「按身份控制」。 这一节是无线安全的核心，因为「WPA2 个人版还是企业版」这个选择，实际就是在这里做的。

一、四代做法，各防住谁

开放认证：什么都不验。谁都能连。 共享密钥：双方都有同一个密钥。PSK（预共享密钥）：双方都有同一个口令。 802.1X：每人一套凭据。

做法 验证什么 泄露的后果

开放认证 什么都不验 完全没有防护 共享密钥 同一个 WEP 密钥 全体泄露 PSK 同一个口令 全体泄露 802.1X 每人的账号 只泄露一个人

关键差别在最后一列：前三者的凭据是「共享」的，所以「一个人泄露等于全体泄露」。 而 802.1X 的凭据是「各自」的，可以单独吊销。

二、「换口令」暴露了一切

一个人离职要「把他挡在外面」，这件事把两种做法的高下彻底分开了：

PSK 的做法：换口令 → 所有设备重新配置。 300 台设备、每台 5 分钟 ＝ 25 小时的工作量。 而现实是「先不换，等他走了再说」——于是那个离职的人还能连。

802.1X 的做法：停用他的账号 → 完事。 30 秒。

所以企业网一定要上 802.1X 的实际理由不是什么「更安全」，而是「它能只吊销一个人」。 而「能只吊销一个人」这件事，直接决定了「安全策略能不能被执行」。

这也是一个普遍规律：任何「执行成本太高」的安全措施，最终都会被绕过。 所以好的安全设计，一个标准就是「操作起来不痛苦」。

三、802.1X 的三个角色

客户端（Supplicant）：要连网的设备。认证者（Authenticator）：AP 或交换机。 认证服务器（RADIUS）：真正做判断的那台。

关键点是「AP 自己不判断」： 它只是把 EAP 报文封进 RADIUS 请求转给服务器，然后按回包决定「开不开端口」。 所以「换一个 RADIUS 就能换一整套认证策略」，AP 不用动。

这带来两个实际好处：一、账号集中管理（和 AD／LDAP 对接，离职流程自动生效）。 二、策略集中管理（按部门、按时间段、按设备类型分别授权）。

而它的代价是「多一台不能挂的服务器」：RADIUS 一挂，所有人连不上。 所以工程上要配「双 RADIUS + 备用放行策略」， 而「备用放行」这一条往往决定了「故障时是「部分不可用」还是「全网瘫」」。

四、动手 Demo：认证的四代做法，各防住了谁

这段把四种认证做法与「泄露的后果」列出来， 再算「一个离职员工」在 PSK 与 802.1X 两种做法下各要付多少代价。

P(u"  PSK：一个人离职 → 换口令 → 全公司所有设备重新配置。")
P(u"    300 台设备、每台 5 分钟 ＝ %.1f 小时的工作量。" % (300 * 5 / 60.0))
P(u"  802.1X：一个人离职 → 停用他的账号 → 完事。")

实跑输出：

--------------------------------------------------------------------
认证的四代做法，各防住了谁
--------------------------------------------------------------------
**「认证」与「加密」是两件事。**
**认证回答「你是谁」，加密回答「别人听不听得懂」。**

  做法         验证什么               防住了谁
  ------------------------------------------------------
  开放认证     什么都不验             谁都没防
  共享密钥     双方都有同一个密钥     不知道密钥的人
  PSK          双方都有同一个口令     不知道口令的人
  802.1X       每人的账号             没有账号的人

**关键差别在「密钥是共享的还是各自的」**：
  PSK：全公司一个口令，一个人泄露等于全体泄露。
  802.1X：每人一套凭据，可以单独吊销。

**所以「换口令」这件事暴露了两种做法的高下**：

  PSK：一个人离职 → 换口令 → 全公司所有设备重新配置。
    300 台设备、每台 5 分钟 ＝ 25.0 小时的工作量。
  802.1X：一个人离职 → 停用他的账号 → 完事。

**这就是企业网一定要上 802.1X 的实际理由**，**不是因为它「更安全」，是因为它「能只吊销一个人」。**

**802.1X 的三个角色要分清**：
  客户端（Supplicant）：要连网的设备。
  认证者（Authenticator）：AP 或交换机，只做转发。
  认证服务器（RADIUS）：真正做判断的那台。
**注意 AP 自己不判断**——它只是把认证报文转给 RADIUS，所以「换一个 RADIUS 就能换一套认证策略」。**

「25 小时与 30 秒」这一组数是这一节最有力的一击：它把「技术选择」变成了「执行成本」。 而执行成本高到一定程度，措施就会被绕过——不是「有人不守规矩」，是「规矩本身不可执行」。

注意「AP 自己不判断」这个设计：它的价值在于「策略可以独立演进」。 换 RADIUS、接 AD、加多因子，都不用碰 AP，这对一个有几百台 AP 的网络来说是决定性的。

最后那句「RADIUS 一挂全网连不上」是必须提前想清楚的： 所以「备用放行策略」不是「图省事」，是「可用性设计」。 而它的取舍很直白：要么「故障时全断」，要么「故障时全通」。 多数单位选后者，因为「全通」至少还能办公。

30 秒实验

  1. 看你单位的 Wi-Fi 是「个人版（PSK）」还是「企业版（802.1X）」。
  2. 如果换了 Wi-Fi 口令，你需要通知多少人？
  3. 想一想：RADIUS 挂了，你的网络会怎样？

常见误区

  1. 以为 WPA2 个人版和企业版只是「加密强度不同」。差的是认证方式。
  2. 以为 802.1X 只是「更安全」。它的核心价值是「能单独吊销」。
  3. 以为 AP 会自己判断身份。它只转发，判断在 RADIUS 上。
自测三问（点开对答案） 1. PSK 与 802.1X 最本质的差别是什么？ —— 凭据是共享的还是各自的，决定了泄露影响范围与能否单独吊销。 2. 802.1X 的三个角色分别是什么？ —— 客户端（Supplicant）、认证者（AP 或交换机）、认证服务器（RADIUS）。 3. 为什么说「执行成本太高的安全措施最终会被绕过」？ —— 因为规矩不可执行时，实际做法就会打折扣，制度名存实亡。

下一节：认证之后，数据怎么加密——四代加密的演进。

相关笔记