Linux系统下如何配置应用间802.1X EAPOL组播通信？

核心问题原因 #

同一主机内发送的组播报文默认不会回环到本地监听程序，内核的多播回环禁用是主要诱因，同时EAPOL的链路层特殊处理逻辑也可能干扰报文接收。

具体解决步骤 #

1. 启用接口多播回环功能 #

执行命令开启eth0的多播回环与转发：

sudo ip link set eth0 multicast on
sudo sysctl -w net.ipv4.conf.eth0.mc_forwarding=1
sudo sysctl -w net.ipv4.conf.all.mc_forwarding=1

若涉及IPv6环境，补充配置：

sudo sysctl -w net.ipv6.conf.eth0.mc_forwarding=1
sudo sysctl -w net.ipv6.conf.all.mc_forwarding=1

该配置让内核允许组播报文在本地接口回环，确保监听程序能捕获本机发送的组播包。

2. 调整hostapd监听配置 #

修改hostapd配置文件（通常为/etc/hostapd/hostapd.conf），明确指定监听接口并开启EAPOL服务：

interface=eth0
driver=none
eap_server=1
eapol_key_index_workaround=0

driver=none是关键——以太网接口运行认证器无需无线驱动，可专注处理EAPOL报文。

3. 配置wpa_supplicant以太网模式 #

创建以太网专属配置文件（如/etc/wpa_supplicant/eth0.conf）：

network={
    ssid="dummy"
    key_mgmt=IEEE8021X
    eap=PEAP
    identity="你的认证账号"
    password="你的认证密码"
    phase2="auth=MSCHAPV2"
}

启动时强制指定以太网驱动：

wpa_supplicant -i eth0 -D wired -c /etc/wpa_supplicant/eth0.conf

-D wired避免默认无线驱动逻辑干扰以太网环境下的EAPOL交互。

4. 确认组播组加入状态 #

用命令检查eth0是否已加入目标组播地址01:80:c2:00:00:03：

ip maddr show eth0

若未找到该组播地址，手动添加：

sudo ip maddr add 01:80:c2:00:00:03 dev eth0

5. 排查防火墙拦截规则 #

临时关闭防火墙验证是否存在拦截：

sudo iptables -F
sudo systemctl stop nftables

若验证有效，添加永久允许规则：

sudo iptables -A INPUT -i eth0 -p 0x888E -j ACCEPT
sudo iptables -A OUTPUT -o eth0 -p 0x888E -j ACCEPT

验证方法 #

启动两个服务后，同时抓包并查看hostapd日志：

tcpdump -i eth0 ether proto 0x888E -vvv
tail -f /var/log/hostapd.log

若hostapd日志中出现EAPOL Start报文记录，说明通信已正常。

内容的提问来源于stack exchange，提问作者Tommy Lin