Wi-Fi EAP 网络验证过程.pdfVIP

Wi-FiEAP网络验证过程

1.什么是EAP

ExtensibleAuthenticationProtocol，简称EAP，是一种支持多种验证方式的协议

框架，EAP通常运行在链路层例如PPP和IEEE802。EAP协议是IEEE802.1x认证机制

的核心，它将实现细节交由附属的EAPMethod协议完成，如何选取EAPmethod由认

证系统特征决定，这样实现了EAP的扩展性及灵活性（摘自”百度百科”）。这篇文章

主要描述的场景是基于Radius服务器的EAP身份认证方式。

了解本文前，如果您的身边没有EAP网络环境，可以通过路由器和Radius进行搭

建。

2.IOS和Android对EAP支持的区别

下图分别是IOS（左图）和Android（右图）连接EAP-TTLS加密方式网络的设置

界面：

从上图看，IOS系统中，只需要用户输入用户名和密码，但是在Android系统上，

则需要用户指定具体的EAP方法（默认使用PEAP），如果选择的EAP方法与AP认证

服务器指定的不对应，则无论用户名和密码正确与否都会验证失败。

我们知道，在未开始连接前，设备是只知道这个AP是EAP加密方式，但不知道具

体的EAP方法。那为什么IOS都没有选择具体EAP方法就可以连上这个TTLS加密方式

的网络呢？而且，将AP的EAP方法改为PEAP，IOS同样可以连上，这点很奇怪！需要

刨根问题追究缘由，则需要抓出认证过程中，IOS与认证服务器的交互包。

3.IOSEAP认证过程探究

设定RadiusEAP方法为TTLS，开启Radius服务：

xyzc@xyzc-ul:~$sudoradiusd-X

FreeRADIUSVersion3.0.16

Copyright(C)1999-2017TheFreeRADIUSserverprojectandcontributors

ThereisNOwarranty;notevenforMERCHANTABILITYorFITNESSFORA

...

Listeningonauthaddress*port1812boundtoserverdefault

Listeningonacctaddress*port1813boundtoserverdefault

Listeningonauthaddress::port1812boundtoserverdefault

Listeningonacctaddress::port1813boundtoserverdefault

Listeningonauthaddress127.0.0.1port18120boundtoserverinner-tunnel

Listeningonproxyaddress*port43060

Listeningonproxyaddress::port48623

Readytoprocessrequests

在搭建了Radius服务的主机上开始抓取tcpdump，并使用IPhone开始连接

xyzc@xyzc-ul:~/ulangch/eap$sudotcpdump-iany-wtcpdump-ios.pcap

tcpdump:listeningonany,link-typeLINUX_SLL(Linuxcooked),capturesize

262144bytes

实验完成后使用wireshark分析IPhone连接过程中抓取Radius服务所在主机的

tcpdump。

如下为tcpdump抓取的Radius协议数据包，这部分即代表了认证过程，

192.168.1.1和192.168.1.100分别代表了路由器网关IP和Radius服务主机IP。

1792018-05-1415:43:19.055587192.168.1.1192.168.