无线接入里的 AAA 与 EAP 分别是什么？

AAA 指认证（Authentication）、授权（Authorization）、计费（Accounting），是网络接入控制的框架；EAP（扩展认证协议）是 AAA 中承载认证消息的灵活框架，本身不定义具体认证法，而是封装多种机制（如 PEAP、TTLS）在客户端与服务器间传输。

异构无线网络为什么需要 EAP/AAA？

酒店、校园、园区等多厂商、多制式设备并存，接入身份复杂。EAP 能在 TLS 隧道内隐藏身份与凭据，AAA 通过 RADIUS/Diameter 后端集中校验，既防窃听又支持跨网漫游，是保护异构无线网络的关键。

EAP-TTLS 与 PEAP 是怎么工作的？

两者都先建立服务器证书保护的 TLS 隧道，再在隧道内协商具体认证。PEAP 不要求客户端持有证书，依赖服务器证书即可建隧道，但不支持 PAP/CHAP 等传统机制；EAP-TTLS 同样隐藏协商过程、保护客户端身份与认证信息。

认证后端 RADIUS 与 Diameter 怎么选？

RADIUS 简单成熟、广泛部署，早期仅支持 PAP/CHAP，后经 RFC 3579 支持 EAP。Diameter 运行在可靠传输上，支持能力协商、故障转移、IP 移动性与漫游，安全性与可靠性更好，更适合大规模异构无线保护；中小场景 RADIUS 仍够用。

WLAN 安全部署还要留意哪些点？

除 EAP 认证外，仍要控制空口干扰（按 1/6/11 规划 2.4G）、区分员工与访客 VLAN、启用 WPA2/WPA3、对 AP 管理平面做访问控制。认证解决「谁可以进」，加密与隔离解决「进来后如何受控」。

酒店或企业无线接入安全怎么落地？

用 AC+AP 集中管控，员工网络走 802.1X+EAP（RADIUS 后端），访客网络单独 SSID 与 VLAN 隔离并限时；AP 发射功率按场强仿真优化，管理流量加密。上线前用 Wireshark 抓 EAP 握手确认隧道建立、身份不外泄。

异构无线网络接入安全：EAP 认证与 AAA 协议

异构无线网络的接入安全

1. AAA 协议概述

1.1 EAP 认证方法

EAP-TTLS 允许信息通过 TLS 隧道传输，能防止窃听攻击，目前 IETF 仍在对其进行开发。Protected EAP (PEAP) 则隐藏 EAP 协商过程，保护客户端身份和其他认证信息。它与 EAP-TTLS 类似，依赖服务器证书，客户端无需持有数字证书即可建立 TLS 隧道，但不支持 PAP 和 CHAP 等传统认证机制，仅允许使用 EAP 中的认证机制。

异构无线网络接入安全：EAP 认证与 AAA 协议 — 图片素材来自免费商用图库（pixabay），非本站项目实拍。

1.2 EAP 在 RADIUS 和 Diameter 中的应用

最初，RADIUS 仅支持 PAP 和 CHAP 认证，RFC 3579 指定了基于 RADIUS 协议的 EAP 认证机制，并引入新的 RADIUS 属性来携带 EAP 消息。Diameter EAP 应用用于支持 Diameter 中的 EAP 认证方法，Diameter NAS 应用最初仅支持 PAP 和 CHAP 认证。AAA WG 为 Diameter EAP 引入了新的 AVP，使其能与 RADIUS EAP 向后兼容，Diameter EAP 消息通过 IPsec 和 TLS 进行逐跳保护。

总体而言，Diameter 相较于 RADIUS 提供了更好的安全性和可靠性，如运行在可靠的传输协议上，支持能力协商、错误处理和标准化的故障转移技术，支持 IP 移动性和漫游服务，因此更适合用于保护异构无线网络。

2. IEEE 802.11 WLAN 安全

2.1 IEEE 802.11 标准安全问题

目前，WLAN 最流行的标准是 IEEE 802.11，

一、2.4GHz 与 5GHz/6GHz 频段的工程取舍

无线局域网真正可稳定使用的 2.4GHz 信道只有 1、6、11 三条互不重叠信道——每条 802.11 信道占用约 22MHz 带宽，而 2.4GHz 总可用带宽仅 83.5MHz，相邻信道频域重叠会直接引发邻频干扰。办公、酒店、公寓等 AP 密集场景，手动把相邻 AP 错开到 1/6/11 比”自动信道”更能避免同频踩踏。5GHz 信道多、干扰少、速率高，但穿墙衰减大；6GHz（Wi-Fi 6E/7）进一步打开连续频谱，适合高密场馆。工程上低密度家用优先走 5GHz，高密度公共区域再用 2.4GHz 做覆盖补充。

二、干扰定位的实测方法

同频干扰：多个 AP 用同一信道，CSMA/CA 退避加剧，表现为 ping 抖动、吞吐腰斩。用 WiFi Analyzer、InSSIDer 或 AC 自带频谱图看同信道 AP 数量。
邻频干扰：信道 1 与 2、6 与 7 相邻重叠，必须严格按 1/6/11 规划。
非 Wi-Fi 干扰：蓝牙、Zigbee、无绳电话、微波炉、无线图传都可能污染空口。普通 Wi-Fi 嗅探看不到非 802.11 能量，需频谱仪或支持频谱扫描的 AP。
多径干扰：信号经墙体多次反射叠加引起深衰落，典型症状就是”信号满格却卡顿”，可通过调整 AP 位置、降低发射功率、启用波束成形缓解。

三、商用场景的信道与功率规划

酒店/宿舍按楼层错开信道组；仓库/车间用 5GHz 定向天线做回传；会议室投屏卡顿多为 2.4G 拥堵，建议给投屏终端单独开 5G SSID。AP 发射功率并非越大越好——过大会造成跨区同频、过小留覆盖空洞，需结合场强仿真（Ekahau、AirMagnet）做 AP 点位与功率联合优化。Wi-Fi 6 的 OFDMA、MU-MIMO、TWT 从调度层面提升多用户效率，但前提是物理层干扰已先控制住。

异构无线网络接入安全：EAP 认证与 AAA 协议