peap内层必须也是eap，只能选EAP方法：`EAP-MSCHAPv2 / EAP-GTC / EAP-TLS`

eap-ttls 内层可以eap，也可以非eap。既能选EAP，也能直接跑 `PAP / CHAP / MSCHAP / MSCHAPv2`

相同点：外层都是`TLS握手，只验服务器证书，不验客户端证书`，建一条`AES加密隧道`

| 维度 | EAP-TTLS | PEAP |
| --- | --- | --- |
| 发起阵营 | Funk Software (后被 Juniper 收购) 与 Certicom | 微软 (Microsoft)、思科 (Cisco)、RSA 强强联合 |
| 标准地位 | 正统 IETF 官方 RFC 标准 (RFC 5281) | 非官方标准（Informational 提案草案），但属于事实标准 |
| 协议代号 | EAP Type = 21 | EAP Type = 25 |
| 操作系统支持 | 早期 Windows 原生不支持（必须装第三方客户端软件），直到 Win 8/10 才原生内置。Linux、Android 一直支持极佳。 | 微软自家亲儿子。从 Windows XP SP1 开始全面原生自带，统治了全球企业 PC 终端 20 年。 |
| 安全绑定机制 | 使用标准的 TLS 密钥导出机制。 | 额外定义了 Cryptographic Binding TLV（密码学绑定），防止外层隧道与内层凭据被恶意拼接。 |

| 业务需求 | PEAP 实现方案 | EAP-TTLS 实现方案 | 说明 |
| --- | --- | --- | --- |
| 静态 AD 账号密码认证 | **PEAP/MSCHAPv2（首选标准方案）** | TTLS/MSCHAPv2 或 TTLS/PAP | PEAP-MSCHAPv2：Windows 全系列原生支持，企业 WiFi 最通用标准；TTLS-PAP 内层为明文，生产环境一般不推荐静态密码场景 |
| TOTP 动态码 / 短信 OTP / 一次性密码 | PEAP-GTC | **TTLS-PAP（推荐）** | PEAP-GTC：EAP 唯一可传递明文的方式，但 Windows 原生隐藏 GTC 配置，部署麻烦；TTLS-PAP：外层 TLS 加密隧道，内层 PAP 明文传递 OTP，适配 privacyIDEA、LDAP/OTP 服务，配置简单，项目常用 |

| 系统 | PEAPv0/MSCHAPv2 | PEAPv0/GTC | PEAPv1/GTC |
| --- | --- | --- | --- |
| Windows 10/11 原生 | 默认支持 | 默认隐藏，需注册表开启 | 不支持 |
| wpa\_supplicant Linux/AGV | `phase2="auth=MSCHAPV2"` | `phase2="auth=GTC"` | `phase1="peapver=1"` |
| iOS / Android | 支持MSCHAPv2 | 支持GTC | 支持 |
| FreeRADIUS | 默认支持 | 需开`inner-tunnel`的`pap` | 支持 |
| Cisco ISE / Aruba ClearPass | 全支持 | 全支持 | 全支持 |

EAP方法 = 套了EAP标准头的认证协议

EAP本身不是认证方法，它是一个`认证框架/快递盒`，RFC3748定义的

```bash
EAP快递盒固定格式 4字节头 + 1字节类型：
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length | Type | Type-Data ...  |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
 1=Request  计数器    总长度   类型号   具体认证内容
 2=Response
 3=Success
 4=Failure
```

-   `Code=1/2`时才有`Type`和`Type-Data`
-   `Code=3/4` Success/Failure没有Type

**所有符合这个格式，能塞进这个盒子里跑的，就叫EAP方法。**

#### EAP方法 都有Type号

| Type | 方法 | 我们之前讲的 |
| --- | --- | --- |
| 1 | Identity | 外层匿名身份 |
| 4 | EAP-MD5 | 已废弃 |
| 6 | EAP-GTC | 隧道里传动态码明文，PEAP-GTC专用 令牌 |
| 13 | EAP-TLS | 双向证书 |
| 18 | EAP-SIM | SIM卡 |
| 21 | EAP-TTLS | 隧道方法，本身也是EAP方法 |
| 23 | EAP-AKA | 5G SIM卡 |
| 25 | PEAP | 隧道方法 |
| 26 | EAP-MSCHAPv2 | 隧道里传AD密码，PEAP-MSCHAPv2专用 |
| 50 | EAP-AKA' |  |
| 55 | TEAP | 下一代隧道方法 |

> 隧道方法PEAP/TTLS/TEAP本身也是EAP方法，特点是建好TLS隧道后，里面还能再套一个内层方法，这叫`Tunneled EAP`。

注意：

```bash
EAP-MSCHAPv2  Type=26  有EAP头  只能跑在PEAP里
MSCHAPv2      无Type   无EAP头  只能跑在TTLS里，封装成AVP

算法完全一样，都是算NT-Response，但线上格式是两种协议。
```

EAP方法就是穿了EAP制服的认证，有工号Type，非EAP就是没穿制服的老员工。  
要做动态码TOTP，可以穿GTC制服走PEAP，也可以不穿制服直接PAP走TTLS，后者更简单，所以AGV接OTP都用`TTLS-PAP`。

#### 常见的“非 EAP 方法”代表：

1.  PAP（Password Authentication Protocol，密码认证协议，RFC 1334）：
    -   机制： 客户端直接把用户名和密码以纯明文形式发送给服务器。
    -   历史地位： 极古老，没有任何加密，如果裸奔极度危险。
2.  CHAP（Challenge Handshake Authentication Protocol，挑战握手认证协议，RFC 1994）：
    -   机制： 服务器发一个随机数（Challenge），客户端用 MD5(密码 + 随机数) 算一个哈希给服务器，避免了明文传输密码。
3.  MS-CHAPv1 / MS-CHAPv2（微软原生版本）：
    -   注意混淆点： 微软最早在拨号网络/PPTP VPN 中使用的是原始的 MS-CHAPv2（非 EAP 格式）。后来为了进入 802.1X 时代，才将其重新打包成了 EAP-MSCHAPv2 (Type 26)。

peap内层必须也是eap，只能选EAP方法：EAP-MSCHAPv2 / EAP-GTC / EAP-TLS eap-ttls 内层可以eap，也可以非eap。既能选EAP，也能直接跑 PAP / CHAP / MSCHAP / MSCHAPv2 相同点：外层都是TLS握手，只验服务器证书，不验客户端证书，建一条AES加密隧道 | 维度 | EAP-TTLS | PEAP | | --- | -

PEAP与 EAP-TTLS的区别

网络与通信

安全

PEAP与EAP-TTLS同为TLS隧道认证协议，核心差异在内层方法：PEAP仅支持EAP内层（MSCHAPv2/GTC/TLS），而TTLS可承载EAP或非EAP（PAP/CHAP/MSCHAPv2）。Windows原生支持PEAP-MSCHAPv2，TTLS-PAP适配OTP动态码更简便，企业选型需结合终端兼容性与安全绑定需求。

服务器

Android

Windows

短信

Linux

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

PEAP与EAP-TTLS同为TLS隧道认证协议，核心差异在内层方法：PEAP仅支持EAP内层（MSCHAPv2/GTC/TLS），而TTLS可承载EAP或非EAP（PAP/CHAP/MSCHAPv2）。Windows原生支持PEAP-MSCHAPv2，TTLS-PAP适配OTP动态码更简便，企业选型需结合终端兼容性与...

PEAP与 EAP-TTLS的区别-腾讯云开发者社区-腾讯云

PEAP与 EAP-TTLS的区别

PEAP与 EAP-TTLS的区别

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐