802.1X 運作原理
802.1X 實作連接埠基礎存取控制。無線 AP 與工作站間的連線視為一個邏輯連接埠，分為：
- 非受控連接埠：允許任意通訊（傳統開放模式）。
- 受控連接埠：僅允許傳送驗證流量至驗證伺服器。
同一實體連接埠上兩種邏輯連接埠並存。客戶端 (Supplicant) 連線時，受控連接埠只轉送 EAP 封包至驗證者；驗證通過後，開放非受控連接埠進行一般資料傳輸。
角色定義
- 申請者：請求存取網路資源的裝置（如筆電）。
- 驗證者：執行驗證的裝置。無線 AP 可內建驗證者功能，但採用 RADIUS 協定（Windows 2000/Server 2003 內建 IAS 服務）更具彈性：AP 轉送驗證請求至 RADIUS 伺服器，由其對 Active Directory 進行身分驗證。
驗證流程 (EAP-TLS)
- 工作站嘗試經非受控連接埠連線 AP，AP 發送純文字挑戰。
- 工作站回應身分識別。
- AP 經有線網路轉送身分資訊至 RADIUS 伺服器。
- RADIUS 查詢帳號，決定所需憑證類型（如數位憑證），回傳憑證請求。
- 工作站經非受控連接埠送出憑證。
- RADIUS 驗證通過，發送加密的驗證金鑰給 AP（唯有 AP 能解密）。
- AP 解密並產生工作站專用工作金鑰，雙方以此加密後續通訊。定期更換群組金鑰，解決 WEP 固定金鑰易遭暴力破解問題。
用戶端設定
網路連線 → 無線連線右鍵「內容」 → 「無線網路」索引標籤 → 選取目標 SSID → 「設定」。- 切換至「驗證」索引標籤，勾選「啟用 IEEE 802.1X 驗證」。
- 選擇 EAP 類型：
企業環境：EAP-TLS (智慧卡或本機憑證)
中小環境：PEAP (需 XP SP1 以上)
中小型網路部署 (PEAP + IAS)
- XP SP1+ 用戶端設定使用 PEAP。
- 至少一台電腦安裝 Windows 網際網路驗證服務 (IAS) 提供 RADIUS 服務。
- 每台 IAS 伺服器需擁有數位憑證（自簽或第三方 CA 簽發）。
- 安裝 IAS：
控制面板 → 新增/移除程式 → 新增/移除 Windows 元件 → 管理與監視工具 → 網際網路驗證服務。
大型企業部署 (EAP-TLS + Active Directory)
- 透過群組原則自動向 CA 申請電腦/使用者憑證。
- 部署 IAS 叢集，設定遠端存取原則整合 AD 群組與條件。
- 無線 AP 設定為 RADIUS 用戶端，指向 IAS 伺服器陣列。
- 完成後，WLAN 流量受完整保護，支援動態金鑰更新與集中管理。
