单SSID w/PSK到默认VLAN，二级8月EAP-TLS到第二个VLAN

Question

考虑到RADIUS、CoA和802.11身份验证的基本限制等的限制/约束，我想知道下面的内容是否可行。

我想要一个有保护(PSK)的单一SSID的无线配置。然后将使用使用RADIUS后端的EAP进行可选的二级身份验证。

只有PSK的用户将进入VLAN。带有PSK和证书(EAP)的用户将进入VLAN。

一项要求是，如果RADIUS服务器不可用，用户仍然可以通过PSK连接到VLAN X。

从根本上说，这个方案可以使用两个不同的SSID来实现，但我想知道它们可以结合在一起。

Answer 1

这似乎不可能。

IEEE 802.11 SSID信标识别WAP为SAE能力，然后使用PSK (或不使用)，然后使用802.1X。不能两者兼而有之。

如果您的意思是首先是PSK，然后是802.1X，那么这是可能的--但不是在802.11标准之内。您需要在WAP和客户端创建自己的扩展。

详见IEEE 802.11-2020条款11.1.4 (注册后免费下载)。