大家好，我是老张，干IT运维十来年了。今天聊个扎心的话题：公司Wi-Fi密码又双叒被破解了。
你是不是也遇到过这种破事？行政小妹把密码贴在茶水间，销售把密码发到客户群，离职半年的前员工还能连上内网。更吓人的是，有人用万能钥匙一跑，整栋楼都能蹭网。你改一次密码，全公司几十号人跑来问你新密码，改完一周又泄露了。死循环。
说白了，传统Wi-Fi密码（PSK）就像公司大门共用一把钥匙。钥匙丢了，只能换锁，然后所有人重新配钥匙。可只要有人把钥匙借出去，这锁就形同虚设。
那怎么办？上802.1X认证
别被这个词吓到。802.1X其实就是把“共用钥匙”换成“门禁卡”。每个人一张卡，刷卡进门。卡丢了，后台一挂失就行，不用换整栋楼的锁。
具体来说，需要两个角色：
- RADIUS服务器：相当于门禁后台。员工刷卡时，它负责核对身份。常用的有Windows Server自带的NPS（如果公司有AD域，直接白嫖），或者FreeRADIUS，再或者华为、Cisco的ISE。
- 企业级AP：相当于门禁读卡器。普通家用AP不支持，但企业级AP（比如华为、H3C、Aruba、Ubiquiti）都支持WPA2/WPA3-Enterprise，能对接RADIUS。
落地三步走，比想象中简单
第一步：账号从哪来？
如果公司有AD域，员工本来就有域账号。没有的话，在RADIUS里建本地账号也行。建议按部门分组，比如“研发组”“销售组”，方便后续策略。
第二步：配置RADIUS
以Windows NPS为例：在服务器上装NPS角色，把企业级AP的IP加为“RADIUS客户端”，然后建连接请求策略。策略里指定：只有“域用户组”的人才能认证通过。这一步就像给门禁后台登记读卡器，并设置权限。
第三步：AP上开SSID
新建一个SSID，比如“Company-Staff”，安全模式选“WPA2-Enterprise”，认证服务器指向NPS的IP和共享密钥。再建一个“Company-Guest”给访客，用Portal或短信认证。两个SSID可以划到不同VLAN，员工能访问内网，访客只能上网。
易用性怎么兼顾？别让员工骂娘
很多人一听802.1X就头疼，觉得配置麻烦。其实可以很丝滑：
- 公司电脑：用组策略或MDM推送Wi-Fi配置。员工开机自动连，连密码都不用输。
- 手机/平板：第一次手动连，输入域账号密码，信任一下证书，以后自动连。写个一页纸的图文教程发群里就行。
- 访客：单独SSID，前台扫码或短信验证，不碰员工网络。
- 离职员工：AD账号一禁用，Wi-Fi立刻连不上。再也不用追着改密码。
实测效果：以前密码泄露，你得像救火队员；现在每人独立账号，谁连了什么设备后台一清二楚。就算有人把账号借出去，你也能精准定位，单独禁用。
几个小坑提醒
- 证书信任：PEAP-MSCHAPv2最简单，但客户端会提示“不信任服务器证书”。要么买正式证书，要么让员工手动信任。EAP-TLS最安全，但每台设备都要发客户端证书，部署重。建议先小范围试点。
- AP选型：别用家用路由器刷机，稳定性和带机量都扛不住。企业级AP支持多SSID、VLAN、RADIUS，几百块到上千块都有。
- RADIUS冗余：如果公司大，建议两台NPS做负载均衡，免得单点故障。
总之，802.1X不是大厂专属，中小公司也能玩。核心就一句话：把“共用钥匙”换成“一人一卡”。安全上去了，管理反而更省心。
更多方案可访问 itfangan.com。