无线与 VPN 认证收一个口：RADIUS Server 搭建与客户端对接
员工连办公 Wi-Fi 要一套账号，登 VPN 网关又要一套账号，离职时 IT 要记得去两个地方删人——认证账号散着放，是中小网络最常见的管理债。RADIUS 的价值就是把认证收成一个口：NAS 上装 RADIUS Server 套件，无线控制器、路由器、VPN 网关都作为客户端把认证请求发过来，用户名密码只查 NAS 里的一份用户库（或既有域/LDAP 目录）。贵州诚鑫致达科技给客户做准入改造时，RADIUS 是把「多个认证点」收拢成「一个账号源」的常规落点。
配置步骤
-
选验证方法与端口：RADIUS Server 支持 PAP、MS-CHAP、PEAP、EAP-MSCHAPv2、EAP-TTLS 等验证方法，验证端口默认 1812。无线 802.1X 场景一般由对端设备协商出 PEAP 一族，端口保持默认即可，关键是与对端设备配置对齐。为什么：方法不匹配是「服务器通了、认证不过」的直接原因。
-
绑定网络接口：选择连接 RADIUS 客户端设备（例如路由器、无线控制器）的网络接口——RADIUS Server 只为来自指定接口的访问请求提供验证服务。为什么：接口选错，客户端根本敲不开门，而且报错很隐蔽。
-
定用户来源：可验证本地用户、LDAP 用户或域用户，三种来源的账号写法不同——本地直接写用户名，LDAP 是用户名@LDAP 域，域用户是「域名\用户名」；账号不区分大小写。选 AD/LDAP 前要先在控制面板的域/LDAP 里完成接入。为什么：账号格式错一个斜杠方向，认证就全数失败，这是实操里最常见的翻车点。
-
在客户端设备侧登记：到无线控制器或 VPN 网关上把 NAS 的地址、共享密钥、认证端口填进去，测试账号先走一遍。为什么：RADIUS 是双向约定的关系，两边密钥与端口对得上才通。
-
TLS 等级按需选：涉及 HTTPS 加密连接的安全性等级，默认「中等兼容性」（TLS 1.2），兼容通用浏览器；「回溯兼容性」放行 TLS 1.0/1.1 等不安全套件，除非对接的老设备必须，否则不要开。为什么：安全等级是防线不是选项，降级要有明确理由并留档。
-
收口检查：停用的账号（控制面板用户和群组里停用）RADIUS 拒绝认证——离职流程里只要停用 NAS 账号，Wi-Fi 与 VPN 同时失效，这正是收口的价值。再用客户端设备的日志核一遍拒绝原因分布。
三条边界先知道
- 它管认证不管授权明细：连上之后能访问什么，由无线网络的 VLAN 划分与网关策略决定，RADIUS 只回答「这个人是谁」。
- 域/LDAP 先行：目录环境没接好就别急着上 RADIUS，账号来源是地基。
- 共享密钥当密码管：客户端与服务器两端的共享密钥要纳入密码管理，定期轮换，泄露等于开门揖盗。
认证账号只有收成一个源，离职回收才是删一个账号的事。你的办公网里，现在有几套并行的人员账号表？
企业存储选型参考｜贵州诚鑫致达
小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。