Ubuntu安全wpa_supplicant无线加密与EAP-TLS认证

在Ubuntu系统中实现安全的无线网络连接，核心就是配置wpa_supplicant服务并结合EAP-TLS证书认证机制。这套方案比传统的WPA2-PSK密码认证安全得多，因为它基于双向证书验证，客户端和服务端互相确认身份，彻底杜绝了密码被暴力破解或字典攻击的风险。具体做法是：先用OpenSSL生成CA证书、服务器证书和客户端证书，然后编写wpa_supplicant配置文件指向这些证书路径，最后通过NetworkManager或直接命令行启动连接。下面我把每一步都讲透。

一、为什么要用EAP-TLS而不是WPA2-PSK

WPA2-PSK（预共享密钥）的本质是所有设备共用一个密码。一旦这个密码泄露，整个网络就暴露了。而且PSK模式下，攻击者可以抓取四次握手包进行离线暴力破解。EAP-TLS完全不同，它要求每个客户端都持有独立的数字证书，服务端也有自己的证书。连接时双方交换证书、验证签名，没有证书就无法接入。这种机制在企业级无线网络、政府机构、金融行业中是标配。Ubuntu原生支持wpa_supplicant，而wpa_supplicant从2.0版本开始就完整支持EAP-TLS，所以在Ubuntu上部署这套方案非常成熟。

二、生成证书的完整步骤

证书体系需要三个角色：CA（证书颁发机构）、服务器、客户端。我们用OpenSSL来生成，Ubuntu默认已安装openssl工具。先创建工作目录：

mkdir -p ~/eap-tls-certs && cd ~/eap-tls-certs

第一步，生成CA私钥和自签名证书：

openssl genrsa -out ca.key 4096
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt -subj "/CN=Ubuntu EAP-TLS CA"

第二步，生成服务器私钥和证书签名请求（CSR）：

openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr -subj "/CN=radius-server"

然后用CA签发服务器证书，这里要注意加上关键的serverAuth扩展：

openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -extfile <(echo "extendedKeyUsage=serverAuth")

第三步，生成客户端私钥和CSR：

openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr -subj "/CN=ubuntu-client"

用CA签发客户端证书，加上clientAuth扩展：

openssl x509 -req -days 3650 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -extfile <(echo "extendedKeyUsage=clientAuth")

最终你会得到六个文件：ca.key、ca.crt、server.key、server.crt、client.key、client.crt。把ca.crt、client.crt、client.key这三个文件拷贝到Ubuntu客户端上使用。server端的证书放在你的RADIUS服务器（比如FreeRADIUS）上。

三、配置wpa_supplicant连接EAP-TLS网络

Ubuntu上wpa_supplicant的主配置文件在/etc/wpa_supplicant/wpa_supplicant.conf，但更推荐为每个网络单独建配置文件放在/etc/wpa_supplicant/wpa_supplicant.conf.d/目录下。创建文件：

sudo nano /etc/wpa_supplicant/wpa_supplicant.conf.d/eap-tls.conf

写入以下内容：

ctrl_interface=/var/run/wpa_supplicant
update_config=1

network={
    ssid="YourNetworkSSID"
    key_mgmt=WPA-EAP
    eap=TLS
    identity="ubuntu-client"
    ca_cert="/etc/wpa_supplicant/certs/ca.crt"
    client_cert="/etc/wpa_supplicant/certs/client.crt"
    private_key="/etc/wpa_supplicant/certs/client.key"
    private_key_passwd="your_private_key_password"
    phase2="auth=TLS"
}

几个关键参数说明：key_mgmt设为WPA-EAP表示使用企业级认证；eap=TLS指定认证类型；identity是客户端证书里的CN字段，必须和证书一致；ca_cert指向CA根证书；client_cert和private_key指向客户端自己的证书和私钥。如果私钥设了密码，必须填private_key_passwd。

把证书文件放到指定目录：

sudo mkdir -p /etc/wpa_supplicant/certs
sudo cp ca.crt client.crt client.key /etc/wpa_supplicant/certs/
sudo chmod 600 /etc/wpa_supplicant/certs/client.key

私钥权限必须设为600，否则wpa_supplicant会拒绝加载。

四、通过命令行和NetworkManager两种方式连接

方法一：直接用wpa_cli命令行连接。先启动wpa_supplicant：

sudo wpa_supplicant -i wlan0 -c /etc/wpa_supplicant/wpa_supplicant.conf.d/eap-tls.conf -B

然后用dhclient获取IP：

sudo dhclient wlan0

方法二：通过NetworkManager的nmcli工具，这是Ubuntu桌面版更常用的方式：

sudo nmcli connection import type wifi ifname wlan0 file /etc/wpa_supplicant/wpa_supplicant.conf.d/eap-tls.conf

导入后启动连接：

sudo nmcli connection up eap-tls

查看连接状态确认是否成功：

sudo wpa_cli status

如果看到state=COMPLETED、pairwise_cipher=CCMP、EAP state=SUCCESS，说明EAP-TLS认证通过了。

五、配合FreeRADIUS搭建完整认证服务端

光有客户端配置还不够，你需要一个RADIUS服务器来做认证。Ubuntu上用FreeRADIUS最合适。安装：

sudo apt install freeradius freeradius-utils

配置证书路径，编辑/etc/freeradius/3.0/mods-enabled/eap：

tls-config tls-common {
    private_key_file = /etc/freeradius/3.0/certs/server.key
    certificate_file = /etc/freeradius/3.0/certs/server.crt
    ca_file = /etc/freeradius/3.0/certs/ca.crt
    dh_file = /etc/freeradius/3.0/certs/dh
    random_file = /dev/urandom
    cipher_list = "DEFAULT:!SSLv3:!TLSv1:!TLSv1.1"
}

把之前生成的server.key、server.crt、ca.crt拷贝到FreeRADIUS的证书目录。然后在sites-enabled/default中启用eap模块：

authorize {
    eap
}
authenticate {
    eap
}

重启FreeRADIUS服务：

sudo systemctl restart freeradius

测试RADIUS服务器是否正常工作：

radtest ubuntu-client password123 127.0.0.1 0 testing123

如果返回Access-Accept，说明服务端配置正确。注意这里的密码只是测试用的，实际EAP-TLS认证时这个密码不会被使用，真正的验证靠证书。

六、安全加固和常见问题排查

证书过期是最常见的问题。建议设置定期检查机制，可以写一个cron脚本监控证书有效期：

openssl x509 -in /etc/wpa_supplicant/certs/client.crt -noout -dates

另外，Ubuntu 22.04及以上版本默认使用wpa_supplicant 2.10，对TLS 1.3有更好的支持。如果你的RADIUS服务器较老，可能需要在wpa_supplicant配置中强制使用TLS 1.2：

tls_disable_tlsv1_3=1

还有一个容易忽略的点：EAP-TLS要求客户端证书的CN字段和identity字段匹配。如果不匹配，认证会失败。排查时用wpa_cli查看日志：

sudo wpa_cli log_level debug

然后在/var/log/syslog中查看wpa_supplicant的详细输出，重点关注"TLS handshake failed"、"certificate verify failed"这类错误信息。

七、EAP-TLS与其他EAP方式的对比

除了EAP-TLS，wpa_supplicant还支持EAP-PEAP、EAP-TTLS、EAP-FAST等方式。PEAP和TTLS只需要服务端有证书，客户端用用户名密码，安全性比EAP-TLS低一个档次，因为密码仍然可能被钓鱼或中间人攻击截获。EAP-FAST使用PAC（受保护的访问凭证），部署简单但安全性也不如EAP-TLS。如果你追求最高安全等级，EAP-TLS是唯一选择。代价是证书管理更复杂，每个客户端都要分发证书，但对于固定设备多、安全要求高的场景，这个成本完全值得。

八、总结与最佳实践

在Ubuntu上部署wpa_supplicant加EAP-TLS认证，核心流程就是：生成完整证书链、配置wpa_supplicant指向证书、搭建FreeRADIUS服务端、测试连接。整个过程不需要额外购买商业软件，全部用开源工具完成。最佳实践包括：私钥文件权限设为600、CA证书有效期设长一些（10年）、客户端证书定期轮换、禁用TLS 1.0和1.1只保留1.2以上版本、启用wpa_cli日志排查问题。这套方案在实际生产环境中已经被大量企业验证，稳定性和安全性都有保障。掌握这套技术，你就具备了企业级无线安全部署的核心能力。

Ubuntu安全wpa_supplicant无线加密与EAP-TLS认证

服务指南

帮助中心