EAP-TLS 与 PEAP：哪种认证协议适合您的网络？

当您控制设备时，请选择 EAP-TLS。每台设备通过证书证明其身份，因此不存在可通过钓鱼或破解获取的密码。当您无法颁发证书时（例如在个人设备上），请选择 PEAP，并在每个客户端上强制进行服务器证书验证。这两种方式都不适合匿名访客，因此请改用 Captive Portal 或 OpenRoaming。

您应该选择 EAP-TLS 还是 PEAP？

这两种协议都在 IEEE 802.1X 内部运行，802.1X 是基于端口的网络接入控制标准。802.1X 使设备在 AP 转发其流量之前证明自己的身份。该证明作为 EAP (可扩展身份验证协议) 消息传输到 RADIUS 服务器，该服务负责批准或拒绝每个连接。

EAP-TLS 和 PEAP 是传输该证明的两种方式。区别在于设备所出示的内容。

• EAP-TLS 在 RFC 5216 中定义，并在 RFC 9190 中针对 TLS 1.3 进行了更新。服务器和设备各出示一个数字证书。身份验证基于永远不会离开设备的私钥。
• PEAP (受保护的 EAP) 仅要求服务器出示证书。设备构建一条通往服务器的加密隧道，然后在该隧道内发送用户名和密码，几乎总是搭配 MSCHAPv2 使用。

简短的建议：

• 托管的笔记本电脑、平板电脑、扫描仪和支付设备： EAP-TLS。
• 您无法注册的个人手机和承包商设备： PEAP，并开启服务器证书验证锁定。
• 访客、粉丝、乘客和购物者： 两者皆不适用。请通过 Guest WiFi 使用 Captive Portal 或 OpenRoaming。

大多数网络环境在一个 RADIUS 服务上运行这两种方法，并按设备所有权进行区分。本指南的其余部分将展示界限在哪里以及每种方式的运行成本。

EAP-TLS 和 PEAP 在实际应用中有何不同？

EAP-TLS 握手如何工作

RADIUS 服务器首先发送其证书。设备对照受信任的根证书颁发机构 (CA) 对其进行检查。然后设备发送自己的证书，并证明其拥有匹配的私钥。

服务器确认设备证书有效且未被吊销。它通过证书吊销列表 (CRL) 或 OCSP (在线证书状态协议，RFC 6960) 检查吊销状态。只有在此之后，AP 才会允许设备接入。

任何环节都不会在网络上传输密码。通过网络钓鱼获取的密码无法打开网络，因为网络根本不会索取密码。

PEAP 握手如何工作

RADIUS 服务器发送其证书，设备对其进行验证。双方建立 TLS 隧道。在该隧道内部，设备对照 Active Directory 等目录运行 MSCHAPv2 (微软挑战握手身份验证协议第 2 版)。如果凭据匹配，设备即可获得访问权限。

Microsoft、Cisco 和 RSA Security 共同开发了 PEAP。它从未成为 IETF 标准。Microsoft 在其 MS-PEAP 协议规范中发布了大多数设备使用的版本。

为什么服务器证书验证决定了 PEAP 的安全性

只有当设备检查另一端的身份时，隧道才能保护密码。如果跳过该检查，攻击者就可以从流氓接入点（称为“恶魔双胞胎”）广播您的网络名称。然后，设备与攻击者完成 MSCHAPv2 并交出挑战和响应。

2012 年，微软安全公告 2743314 警告说，未封装的 MSCHAPv2 交换可能会被破解。微软的缓解措施是将它们包裹在强制执行服务器证书验证的 PEAP 中。这在今天仍然是标准规则。

EAP-TLS 没有这个弱点。连接到流氓接入点的设备没有可供泄漏的可复用密码。

EAP-TLS 与 PEAP 详细对比

Windows。 微软的 Credential Guard 文档指出，开启 Credential Guard 时，基于 MSCHAPv2 的 WiFi 和 VPN 连接无法使用保存的凭据。从 22H2 版本开始，符合条件的 Windows 11 Enterprise 和 Education 设备默认启用 Credential Guard。微软建议迁移到基于证书的方法，例如 EAP-TLS。

Android。 最近的 Android 版本去除了跳过服务器证书验证的选项。PEAP 配置现在必须指定 CA 证书和服务器域名。这填补了恶魔双胞胎漏洞，但增加了员工手动设置的难度。

何时选择 EAP-TLS 是正确的决定？

当满足三个条件时，请选择 EAP-TLS：您拥有这些设备、您可以向它们推送配置，并且密码泄露会造成实质性损害。

• 通过 MDM（移动设备管理）平台（如 Microsoft Intune）管理的企事单位专用笔记本电脑。
• 属于 PCI-DSS 评估范围的网络上的 POS 终端和手持扫描仪。
• 医疗保健 领域的临床平板电脑和推车，其中共享病房密码是一个长期存在的风险。
• 酒店后勤、前台和客房打扫设备。
• 为 WPA3-Enterprise 192 位模式构建的网络，WPA3 规范将其与 EAP-TLS 加密套件强绑定。

证书还使离职和设备下线管理更加精准。撤销一张证书即可终止单个设备的访问权限，而该用户的其他设备仍可正常工作。这能完美匹配 MDM 和目录中的入职、调岗和离职流程。

在硬件支持的情况下，请将私钥作为不可导出的密钥存储在设备的 TPM（可信平台模块）或安全围域（secure enclave）中。无法从设备复制的证书也就无法在其他地方被滥用。

操作场景示例：拥有 30 家门店的酒店集团

本指南中的场景是常见部署的综合示例，并非具体客户的命名结果。

现状。 某酒店集团经营 30 家酒店，每家约 200 间客房。后勤笔记本电脑、客房部平板电脑和前台 PC 共享同一个 Staff WiFi 网络。设备使用 PEAP 并通过少数几个共享的 Active Directory 账户登录。当一台平板电脑丢失时，IT 部门需要重置共享密码并重新配置所有使用该密码的设备。

应对措施。 每台设备都已经注册到 MDM 中。团队建立了云 PKI（公钥基础设施，即颁发和撤销证书的系统）。他们使用 SCEP（简单证书注册协议，RFC 8894）推送设备证书。随后将 Staff WiFi 配置切换为 EAP-TLS。在割接过程中，PEAP 在同一个 RADIUS 服务上保持实时运行。动态 VLAN 分配将客房部平板电脑置于与财务笔记本电脑不同的网段。

结果。 共享 WiFi 账户降至零。丢失平板电脑的代价从在几十台设备上重置密码变成了仅需撤销一张证书。密码轮换不再会导致 WiFi 连接中断，因为已经不再存在 WiFi 密码。有关住宿业网络的更多信息，请参阅我们的 酒店 页面。

何时选择 PEAP 才是正确的？

当您无法在设备上安装证书，且登录人员拥有目录账户时，请选择 PEAP。

• 处于 BYOD（自带设备）政策下的员工使用个人手机，且不接受注册 MDM。
• 拥有短期账户的承包商、临时活动工作人员和中介劳务人员。
• 拥有 Active Directory 但没有 PKI 的园区，将其作为过渡到 EAP-TLS 的中间步骤。

仅在具备以下三项控制措施时，上述情况才允许使用 PEAP。

1. 在每台设备上锁定服务器证书验证。 指定受信任的 CA 和确切的服务器名称。通过组策略、MDM 配置文件或配置工具进行部署，绝不手动配置。
2. 保持服务器证书的可预测性。 从设备已经信任的 CA 颁发证书，并在续订时保持服务器名称稳定。
3. 强化目录密码。 PEAP 的安全强度取决于隧道内的密码强度。请强制执行密码长度要求，并在目录层面拦截已知已泄露的密码。

操作场景示例：拥有季节性员工的会议中心

情况。 一家位于市中心的会议与活动场地在每个旺季都会雇用大约 300 名临时员工。这些员工使用自己的手机进行排班和使用无线电应用程序。该场地无法要求员工将其个人手机注册到 MDM 中。在此之前，员工休息室的公告栏上一直挂着一个共享的 WPA2-Personal 密码。

应对措施。 IT 部门为每位临时工创建了一个带有终止日期的目录账户。员工 WiFi 迁移到了 PEAP。通过一次性配置入网文件，在每部手机上固定了 CA 和服务器名称。账户在合同终止日期会自动禁用。活动参加者则保留在独立的 Captive Portal 网络上。

结果。 共享密码被废弃。离职人员现在会在其终止日期失去访问权限，而不是在下一次密码更改时。每个员工连接都映射到 RADIUS 日志中的一个实名账户，安全团队可以在每次活动后对其进行审计。

运行 EAP-TLS 和 PEAP 的成本是多少？

这两种协议都不需要许可证费用。它们都内置于 Windows、macOS、iOS、Android 和 ChromeOS 中。成本主要集中在基础设施和人员时间上。

EAP-TLS 的支出项

EAP-TLS 前期投入成本高。您需要为 PKI 以及设计证书模板、注册和吊销的人员时间付费。如果您已经在使用 MDM，大部分交付成本已经涵盖。上线后，主要的经常性任务是证书更新，MDM 可以实现自动化。

PEAP 的支出项

PEAP 启动成本低，但后续成本更高。每次更改密码都可能在手机和笔记本电脑上留下过期的凭据。多次失败的尝试随后可能会锁定 Active Directory 中的账户，从而生成 IT 服务台工单。这些成本会随着员工人数和密码轮换频率的增加而增加。

注意服务器证书的有效期

如果您的 RADIUS 服务器证书来自公共 CA，其有效期正在缩短。CA/Browser Forum 的 Ballot SC-081 分阶段缩短了公共 TLS 证书的最大有效期。该限制自 2026 年 3 月起降至 200 天，自 2029 年 3 月起降至 47 天。许多团队转而从私有 CA 颁发 RADIUS 证书，从而使更新保持在自己的计划轨道上。

犯错的代价

IBM 的《2024 年数据泄露成本报告》显示，全球平均数据泄露成本高达 488 万美元。在该报告中，凭据被盗或受损是最常见的初始攻击途径之一。EAP-TLS 可消除其覆盖的所有设备的 WiFi 密码攻击面。

实际案例分析：拥有 120 家门店的零售商

背景。 一家零售商拥有 120 家门店，其手持扫描仪和移动 POS 设备均使用 PEAP。这些设备共享一个服务账户。该账户每次按计划轮换时，都会导致保留旧密码的门店发生夜间身份验证失败。

采取的措施。 IT 部门利用现有的 MDM，将扫描仪和支付设备迁移至 EAP-TLS。每台设备都接收到了专属的证书。店员手机保持使用 PEAP，并置于独立的 VLAN 中，无法路由至持卡人数据环境。

结果。 轮换日停机问题彻底解决，因为相关设备不再依赖共享密码。吊销操作变为了针对单台设备，而非针对整个门店。PCI DSS 要求 11.2.1 下的季度流氓接入点检查照常进行。了解更多关于门店网络的信息，请访问我们的 零售 页面。

是什么破坏了每种协议，如何进行预防？

证书过期

如果 CA 证书或 RADIUS 服务器证书过期，所有身份验证将同时失败。这同样会影响 EAP-TLS 和 PEAP。请在每个到期日前 90 天、30 天和 7 天设置警报，并为每张证书指定责任人。

未开启服务器验证

跳过服务器验证的 PEAP 配置文件会将凭据拱手让给任何伪造节点 (evil twin)。请定期审计设备配置文件，并将此项检查纳入安全审查中。删除任何指导员工点击“不验证”的手动设置说明。

RADIUS 延迟与单点故障

身份验证处于关键路径上。控制器、RADIUS 服务器和目录服务之间的的高延迟会导致 EAP 超时。请引入冗余机制运行 RADIUS，或使用跨多个区域的云 RADIUS。对于诸如 列车 上的车站和移动机车车辆等分布式资产，请在靠近接入点的位置部署本地 RADIUS 代理。

流氓接入点

利用接入点平台内置的无线入侵检测功能来持续标记未授权设备。如果您接受刷卡支付，PCI DSS 要求 11.2.1 规定您必须至少每三个月对未授权接入点进行一次检测。

身份验证后的单层扁平网络

成功的 802.1X 登录不应开放整个网络。请使用动态 VLAN 分配，由 RADIUS 使用 RFC 3580 中定义的属性返回每台设备的 VLAN（虚拟局域网）。如此一来，支付设备、员工手机和楼宇系统将进入各自独立的网段，并配备各自的访问控制。

如何针对您的资产进行决策？

请从设备所有权出发，而不是协议偏好。下表将常见场景映射到了推荐方案。

iPSK（身份预共享密钥，也称为 PPSK）在同一个网络名称下为每个设备或分组提供专属的 WiFi 密钥。适用于无法运行 802.1X 请求方的设备。

决策的四个步骤

1. 按所有权清点设备。 将其划分为企业管理设备、个人设备、无头设备（headless）和访客设备。
2. 检查现有的运行环境。 现有的 MDM 可以使受管设备的 EAP-TLS 部署成为一个适度的项目。
3. 设定目标状态。 为每个受管设备部署 EAP-TLS，仅在无法注册的情况下使用 PEAP。
4. 就地迁移。 在同一个 RADIUS 服务上运行这两种方法，将受管设备迁移到 EAP-TLS，然后停用其 PEAP 配置文件。

Purple 适用于哪些场景？

Purple 独立于硬件。我们作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。无需全面替换设备。Purple 可以直接叠加在您现有的网络之上。

对于员工和租户，Purple 的 Identity-Based Networks 将 Staff WiFi 和 Multi-Tenant WiFi 访问权限与身份绑定。它们通过连接到 Microsoft Entra ID、Okta 或 Google Workspace 的云 RADIUS 工作。入职、异动和离职人员的处理均可直接从目录中完成，无需手动操作。无法运行 802.1X 的设备可以使用 iPSK。

对于访客，Purple 的 Guest WiFi 提供了 Captive Portal（获取访问权限前显示的网页），带有明确选择的许可选项。它还支持 OpenRoaming，这是基于 Passpoint (Hotspot 2.0) 构建的无线宽带联盟（Wireless Broadband Alliance）联盟。OpenRoaming 让再次到访的设备可以通过加密连接自动加入。Purple 的 Connect 计划包含用于 OpenRoaming 的身份提供者。WiFi Analytics 随后可将这些连接转化为关于停留时间和重复到访的一方数据。

Purple 在 80,000 多个真实场所运行，并在 2024 年处理了 4.4 亿次登录（基于 Purple 自有数据）。Purple 已通过 ISO 27001 认证、符合 GDPR 并通过 Cyber Essentials 认证。

常见问题

EAP-TLS 比 PEAP 更安全吗？

是的。EAP-TLS 通过证书对双方进行身份验证，因此不存在可被钓鱼、猜测或被恶意接入点截获的密码。PEAP 则在加密隧道内保护密码。其安全性取决于每台设备是否能有效验证服务器证书。配置得当时，PEAP 对于个人设备来说是可以接受的。而对于公司拥有的设备、支付终端和临床设备，EAP-TLS 可以彻底消除这一类凭据攻击。

PCI DSS 是否要求无线网络必须使用 EAP-TLS？

否。PCI DSS v4.0 未指定具体的 EAP 方法。它要求传输持卡人数据的无线网络使用强加密，并根据要求 11.2.1 定期（每季度）检查未经授权的接入点。此外，只要使用密码，它就会设置密码控制要求。EAP-TLS 使适用设备无需再纳入 WiFi 密码合规审查范围，从而简化了您的合规证明。如果强制实施并记录了服务器验证与密码策略，PEAP 也可以符合要求。

我们能否在不停机的情况下从 PEAP 迁移到 EAP-TLS？

可以。同一个 RADIUS 服务可以在相同的网络名称上同时接收这两种方法。每台设备使用其配置文件指定的任何方法。通过 MDM 分发证书并推送新的 EAP-TLS 配置文件，然后在设备切换时监控 RADIUS 日志。当不再有托管设备使用 PEAP 进行身份验证时，移除它们的 PEAP 配置文件。仅对无法注册的个人设备保留 PEAP。

运行 EAP-TLS 是否需要 MDM？

对于超过少数几台设备的情况，实际操作中是的。每台设备都需要一个证书、一个受信任的 CA 和一个 WiFi 配置文件。每个证书在过期前还必须进行更新。诸如 Microsoft Intune 之类的 MDM 可以通过 SCEP 或类似的注册协议实现此过程的自动化。如果没有 MDM，可以使用引导注册工具在个人设备上安装证书，但手动安装无法扩展到试点阶段之外。

与 PEAP 相比，EAP-TLS 的成本如何？

这两种协议都没有许可证费用。区别在于基础设施和人员时间。PEAP 需要 RADIUS 服务、一张服务器证书以及您可能已经在运行的目录服务。EAP-TLS 则增加了 PKI（无论是在云端还是本地）以及用于交付和更新证书的 MDM。如果您已经为 MDM 付费，额外的成本主要是 PKI。作为回报，WiFi 密码重置和轮换锁定问题将不复存在。

Purple 是否适用于我们现有的接入点？

是的。Purple 与硬件无关，可作为云叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。所有这些设备都支持带有外部 RADIUS 服务器的 802.1X。您的接入点不会限制对 EAP-TLS 和 PEAP 的选择。无需推倒重来：Purple 可以直接叠加在您现有的网络之上。

访客应该使用 EAP-TLS 还是 PEAP？

不适合。这两种协议都假设用户是已知人员或设备是受控设备，而酒店、体育场和车站的访客两者都不是。请使用 Captive Portal 获取用户同意并展示使用条款。同时使用基于 Passpoint 构建的 OpenRoaming，以便再次光临的设备能够通过加密链接自动连接。Purple 的 Guest WiFi 完美兼顾这两者，且 Connect 方案中已包含适用于 OpenRoaming 的身份提供程序。

PEAP 在 2026 年使用是否依然安全？

是的，但在一定范围内。结合锁定服务器证书验证和强目录密码的 PEAP，对于个人设备来说依然是一个合理的选择。不过它在 Windows 上的应用正在减少，因为 Credential Guard 会阻止保存 MSCHAPv2 凭据。Microsoft 建议改用基于证书的认证。请为所有受控的 Windows 设备规划 EAP-TLS，并将 PEAP 仅用于非您控制的设备。