如何防止用户共享WPA RADIUS密钥？无AD办公WiFi场景技术问询

我来给你拆解下这个问题——首先得澄清一个误区：当你切换到RADIUS认证时，用户用的是个人账号密码（或证书），而非原来的WPA预共享密钥，所以核心需求其实是防止用户共享个人认证凭证+限制每个账号的设备接入数量，下面分两部分给你详细讲：

一、用RADIUS实现凭证防共享+设备数限制 #

不管是Windows NPS还是FreeRADIUS，都能实现这个需求，具体操作路径如下：

1. Windows NPS的配置方法 #

• 会话数硬限制：
  首先确认你的无线AP/AC支持RADIUS的Max-Number-of-Sessions属性（主流厂商基本都支持）。在NPS中创建网络策略时，找到「设置」标签下的「RADIUS属性」，添加Max-Number-of-Sessions并设置数值（比如2）。如果用本地用户（因为你没有AD），可以直接在用户属性的「拨号」选项卡中设置「最大会话数」。
• MAC地址绑定（进阶防共享）：
  要是想更严格，你可以在NPS的网络策略条件里添加「客户端MAC地址」，同时用SQL数据库（或本地存储）维护每个用户允许的MAC列表，限制列表数量不超过2个。认证时NPS会检查当前设备的MAC是否在用户的允许列表中，不在就直接拒绝接入——这样就算用户共享账号，其他设备也登不上。

2. FreeRADIUS的配置方法 #

• 用rlm_counter模块限制会话数：
  这是FreeRADIUS最常用的方式，先在radiusd.conf里启用rlm_counter模块，然后在users配置文件中给每个用户添加类似规则：

  hussain Cleartext-Password := "yourpassword"
          Reply-Message = "Welcome to the network",
          Max-Sessions := 2
  

  接着在sites-available/default的认证流程中加入counter模块的逻辑，让它跟踪每个用户的在线会话数，超过限制就返回拒绝。
• MAC绑定+SQL存储：
  用rlm_sql模块对接MySQL或PostgreSQL，存储用户ID和允许的MAC地址（每条用户记录最多关联2个MAC）。认证时FreeRADIUS会查询数据库，验证当前设备的MAC是否在用户的允许列表里，以此阻止非授权设备接入。

二、酒店场景的设备限制实现逻辑 #

酒店的需求和你几乎一致，他们常用的两种方案：

1. Portal认证+会话数限制 #

大部分中低端酒店用这种方式：用户连接WiFi后跳转到网页登录，输入房间号+密码（或短信验证码），后台的AC/AP控制器会直接跟踪这个账号的在线设备数，超过2-3台就拒绝新设备。如果要结合RADIUS，就是Portal把用户凭证传给RADIUS，RADIUS返回允许的会话数，由AC执行限制。有些酒店还会在第一次登录时自动记录设备MAC，后续只有已记录的MAC才能用该账号登录，进一步防止共享。

2. RADIUS+AC协同限制 #

高端酒店一般会用商用RADIUS或FreeRADIUS配合专业无线AC，RADIUS给AC返回Max-Number-of-Sessions属性，AC负责实时统计每个用户的在线设备数量，一旦超过阈值就拒绝新的接入请求。还有些会用动态VLAN，每个用户登录后分配独立VLAN，同时限制VLAN内的设备数，不过这种成本较高，普通企业没必要。

几个关键提醒 #

• 所有方案的前提是你的无线AP/AC必须支持RADIUS的会话数属性，否则RADIUS返回的限制参数就是无效的，这点一定要先确认设备兼容性。
• 如果想从根源上杜绝共享，推荐用EAP-TLS证书认证：给每个用户颁发绑定设备的证书（设置证书不可导出），用户只能用自己的设备登录，就算账号密码被共享，没有证书也无法接入，安全性最高。

内容的提问来源于stack exchange，提问作者Hussain Akbar