为 MAC RADIUS 身份验证配置 PEAP

可扩展身份验证协议（EAP）是一种可扩展协议，支持多种身份验证方法，包括基于密码的身份验证方法和更安全的基于证书的身份验证方法。EAP 有助于验证方（或交换设备）与身份验证服务器之间的协商，以确定对请求方使用的身份验证方法。用于 MAC RADIUS 身份验证的默认身份验证方法是 EAP-MD5，其中服务器向客户端发送随机质询值，客户端通过使用 MD5 对质询及其密码进行散列来证明其身份。由于 EAP-MD5 仅提供客户端身份验证，而不提供服务器身份验证，因此可能容易受到欺骗攻击。

可以配置受保护的可扩展身份验证协议（也称为受保护的 EAP 或简称为 PEAP）来解决 EAP-MD5 的安全漏洞。PEAP 是一种将 EAP 数据包封装在经过加密和身份验证的传输层安全性（TLS）隧道中的协议。PEAP 称为外部身份验证协议，因为它设置隧道，不直接参与对端点的身份验证。用于在隧道内验证客户端MAC 地址的内部身份验证协议Microsoft质询握手身份验证协议版本 2 （MS-CHAPv2）。隧道内的信息加密交换可确保用户凭据不会被窃取。

PEAP 与 MS-CHAPv2 一起使用时，其优点之一是它只需要服务器端证书即可建立安全隧道，并使用服务器端公钥证书对服务器进行身份验证。这消除了为每个需要身份验证的客户端部署数字证书所涉及的开销。

使用 MAC RADIUS 身份验证在交换机上对客户端进行身份验证后，后续客户端就可以使用第一个客户端建立的同一外部隧道与服务器进行通信。这是使用 SSL 提供的会话恢复功能实现的。会话恢复可减少后续客户端等待新 TLS 隧道建立时可能出现的延迟。

在为 MAC RADIUS 身份验证配置 PEAP 身份验证协议之前，请确保身份验证服务器也配置为将 PEAP 与 MS-CHAPv2 用作内部身份验证协议。有关配置身份验证服务器的信息，请参阅服务器的文档。

注意：

身份验证协议可以使用该 interface all 选项进行全局配置，也可以使用单个接口名称在本地配置。如果同时为单个接口和所有接口配置了身份验证协议，则该接口的本地配置将覆盖全局配置。

要为 MAC RADIUS 身份验证配置 PEAP 身份验证协议：

为语句配置 eap-peap 选项 authentication-protocol ：

（可选）启用会话恢复，以便更快地对后续客户端进行身份验证：

使用文件名或路径加载服务器端 SSL 证书。
1. 要使用文件名加载证书：
2. 要使用文件路径加载证书：
  注意：
  如果使用的 SSL 证书路径不是默认路径 /var/tmp/，则必须先使用以下命令配置 SSL 证书路径：
3. 要验证证书：