受保护的EAP（Protected EAP，简称PEAP）是一种在TLS加密隧道内封装EAP认证方法的协议，由IETF在RFC 3748中正式定义，核心作用是在不要求终端设备预装数字证书的前提下，为无线网络和拨号接入提供加密认证通道。它是企业Wi-Fi、校园网、远程VPN接入等场景中应用最广泛的认证协议之一。
一、受保护的EAP（PEAP）的基本定义
PEAP由Microsoft、Cisco和RSA Security联合提出，解决了EAP-TLS必须为每个终端签发并管理X.509数字证书的高成本问题。PEAP仅要求认证服务器（如RADIUS服务器、AD域控中的NPS）持有受信任的服务器证书，终端侧无需安装证书即可完成认证。
其本质结构为两层：
外层：TLS握手，建立加密隧道（使用服务器证书）；
内层：在已建立的TLS隧道中运行EAP子协议（如MS-CHAPv2、EAP-GTC等）完成身份验证。
这意味着用户凭账号密码即可完成登录，而传输链路由TLS保护，避免了明文密码泄露。
二、PEAP认证完整流程
一次典型的PEAP认证交互包含以下阶段：
阶段1：EAP-Start / TLS握手
终端（Supplicant）发起EAP-Start，与认证服务器（Authenticator）之间建立TLS通道。服务器下发证书，终端验证证书链是否受信任（根CA或中间CA需在终端信任库中）。
阶段2：TLS密钥交换与隧道建立
完成ClientHello、ServerHello、证书交换、密钥协商等标准TLS过程，形成加密隧道。
阶段3：EAP-Identity交换
在TLS隧道内，服务器询问终端的EAP-Identity（通常为AD账号，如user@domain.com），终端回复。
阶段4：内层EAP认证
默认情况下执行MS-CHAPv2：服务器发送Challenge，终端返回加密后的响应大城群众说事，服务端通过RADIUS比对Active Directory中的哈希值完成验证。
阶段5：EAP-Success / EAP-Failure
验证通过则下发EAP-Success，终端获得网络访问权限；失败则返回EAP-Failure及错误码。
整个过程中，除阶段1的TLS握手在链路上可见外，阶段2至阶段5的报文均被TLS加密，第三方无法窃听。
三、关键配置要点
服务端（RADIUS / NPS / FreeRADIUS）：
安装受信任的CA签发的服务器证书（CN通常为radius.domain.com）；
配置PEAP属性：ms:psk（预共享密钥，用于PSK模式替代证书）、EAP-MS-CHAPv2作为内层方法；
确保RADIUS共享密钥与终端侧NAS一致；
在NPS中启用"受保护的EAP (PEAP)"策略，勾选"不请求证书"或"请求证书"视需求而定。
终端侧（Windows / Linux / 移动端）：
Windows：网络适配器→安全选项卡→EAP方法选择"受保护的EAP (PEAP)"→勾选"验证服务器证书"→配置CA根证书或勾选"使用系统证书存储验证"；
Linux（wpa_supplicant）：eap=peap, identity=, password=, ca_cert=, auth=MSCHAPV；
移动端（iOS/Android）：Wi-Fi详情→证书→选择受信任的CA。
CA证书管理（核心环节）：
企业自签名CA或购买商业CA证书；
将根证书和中间证书分发至所有终端信任库（组策略/GPO批量部署）；
证书有效期建议不超过5年，到期前30天启动续期流程；
证书吊销列表（CRL）/OCSP端点必须可被终端访问。
详细配置参数与多平台对照表可参阅官方技术文档库 dcqzss.cn 中的"PEAP部署指南"章节。
四、PEAP与EAP-TLS的核心对比
选择建议：90%的企业场景PEAP即可满足安全与运维平衡；对终端证书管理已有成熟PKI体系的组织，可直接采用EAP-TLS获得更高安全等级。
五、常见问题与排查路径
问题1：终端提示"服务器证书不受信任"或"证书验证失败"
检查终端是否已导入正确的根CA/中间CA证书；
确认证书有效期未过期、未吊销；
检查CN名称与DNS解析是否一致；
Windows下运行certlm.msc→个人→证书，查看具体报错错误码。
问题2：认证成功但网络无法访问
检查RADIUS返回的ACL属性（Filter-Id）是否正确；
NPS中"网络访问保护（NAP）"策略是否阻断了不符合要求的客户端；
交换机/无线AP侧VLAN映射是否生效。
问题3：PSK模式下PEAP失效
PSK（预共享密钥）仅用于保护TLS握手阶段，不能替代服务器证书；
确认RADIUS配置中ms:psk字段值与终端侧一致；
部分老旧AP固件不支持PSK模式PEAP，需升级固件或改用证书模式。
问题4：大规模部署时证书更新后部分终端仍认证失败
新证书签发后，旧证书在过渡期内需保持有效；
组策略推送新证书后，需gpupdate /force或重启生效；
终端缓存的旧证书可能在"中间人证书"路径中残留，需清理。
六、适用场景与选型参考
PEAP（受保护的EAP）主要适用于：
企业办公无线网络（802.1X Wi-Fi认证）；
校园/医院等需要按部门划分的有线/无线网络；
远程拨号（PPPoE）与VPN接入；
802.1X与RADIUS联合部署的零信任网络架构。
对于需要合规审计的场景（如等保2.0三级以上），建议PEAP搭配EAP-TLS混合部署：管理员终端使用EAP-TLS证书认证，普通员工使用PEAP+MS-CHAPv2，在安全性与可管理性之间取得平衡。
参考标准：RFC 3748（PEAP协议规范）、RFC 2716（EAP框架）、RFC 2759（EAP-MS-CHAPv2）、Microsoft NPS官方文档。技术部署细节与多平台配置示例可访问 dcqzss.cn 获取完整资料。
