802.1X 与 Portal 认证的原理差异与选型

网络认证的本质是控制终端（STA）的访问权限：没通过认证就不让访问网络资源，通过了才放通。控制手段多样——Linux 上用 iptables、交换机上用 ACL——难点不在”怎么拦”，而在”怎么判定该不该放通这个终端”。

一、两大常用方式

Portal 认证（Web 认证）：连上开放 WiFi 一开浏览器就被重定向到认证网页，输账号或点同意后放行，实现简单、对终端无要求，适合访客。802.1X 认证：基于端口的准入，终端须用账号密码（走 EAP over LAN，经 RADIUS 服务器校验）才能上线，安全性更高、适合员工内网，但需要客户端支持 Supplicant。有线和无线都能用这两种方式。

二、实现与参考资料

802.1X 最经典的开源实现是 hostapd（服务端）+ wpa_supplicant（客户端），配合 RADIUS（如 FreeRADIUS）。官方规范是 IEEE 802.1X-2004/2010 与 EAP 相关的 RFC3748/RFC5247，但这些文档晦涩；入门推荐结合状态机清晰的论文/书籍章节理解 EAPOL 四次握手与认证状态机，再回头读 RFC 与 hostapd 代码。hostapd 不必从最新版啃，早期版本代码量小、状态机完整，更适合学习。

三、选型

要零门槛接入（访客、公众）用 Portal；要强准入与可审计（员工、内网）用 802.1X；很多园区两者并存——内网 802.1X、访客 Portal，同一套 RADIUS 做统一认证与授权。

一、机制层面的根本差别

802.1X 工作在二层接入控制：交换机在端口上做状态机（EAP），认证不通过端口就不放行帧，是「先认证后通信」；Portal 工作在三层可达性：终端其实已经能通信，只是被限制访问范围，认证通过后解除限制，是「先受限后放行」。这个差别决定了二者的安全强度与适用面。

二、关键要素对比

三、常见误解澄清

① 以为 802.1X 就是「输个账号密码」，实际还要有认证器与后端 RADIUS，缺一不成立；② 以为 Portal 不安全——它的弱点在「未认证期仍可达」，靠隔离补住，不是不能做准入；③ 以为两者互斥——常见最优解是访客 Portal、员工 802.1X，权限与日志统一。

四、混合部署的接入要点

同一台接入设备上并存两种认证时，务必保证：终端特征与账号的绑定关系正确（谁在哪个段）、未认证终端的可达范围最小化（只放行认证服务器与 DNS）、以及两套认证的日志能按终端与时间对齐——排障时靠的就是时间轴对齐。