2.1 802.11链路协商
802.11链路不同于802.3，802.11定义了一套链路协商机制，其中包括802.11链路认证过程和802.11链接协商过程。
只有当WLAN客户端成功发现WLAN服务，并且和WLAN服务设备成功完成链路认证和链接协商后，客户端和设备端才成功的建立802.11链路，客户端才拥有了访问网络的基础。如果网络服务没有使用任何接入认证，此时客户端已经成功的接入到网络服务中；如果网络服务指定了接入认证方式，则WLAN会触发对用户的接入认证，只有接入认证成功后，WLAN客户端才可以成功的访问网络。 下图简单描述了802.11客户端接入到WLAN服务的链路协商过程，如果WLAN使能了接入认证，在链路协商成功以后会触发接入认证，下图没有给出相应的描述。通常WLAN客户端为由无线网卡的主机设备，而WLAN服务端则为AP设备。
2.1.1 WLAN服务发现
WLAN客户端有两种方式可以发现WLAN服务，目前H3C的WLAN同时支持这两种方式：
方式一，WLAN设备会主动发送Beacon通告提供的WLAN服务，客户端可以根据该报文确定周围存在的WLAN服务；
方式二，WLAN客户端可以指定SSID（WLAN服务的标示）或者使用广播SSID（即没有指定SSID）主动地探测（Probe Request）是否存在指定的网络，WLAN设备存在指定的WLAN服务，会发送确认信息（Probe Response）给客户端。
之后，WLAN客户端可以从已经发现的WLAN服务列表中选择特定的服务，发起802.11链路协商。
2.1.2 链路认证
当前802.11的链路认证支持两种认证方式：OSA认证（Open System Authentication）和Shared-Key认证（Shared Key Authentication）。两种认证方式都是在IEEE802.11中定义，802.11链路认证通过Authentication报文实现。
其中OSA认证其实没有对用户进行任何认证操作，只是根据WLAN服务是否支持OSA认证确定对客户端的认证是否成功。当WLAN提供RSN以及WPA的安全服务时，链路认证必须使用OSA认证，而不能使用Shared Key认证。 Shared Key认证是需要客户端和设备端配置共享密钥；WLAN设备会在链路认证过程中随机产生一串字符发送给客户端；客户端会对接收到字符串拷贝到新的消息中加密后发送给WLAN设备端；设备端接收到该消息后，会对解密后的字符串和最初给客户端的字符串进行比较，确定客户端是否通过认证。如果字符串匹配，则说明客户端拥有设备端相同的共享密钥，即通过了Shared Key认证；否则Shared Key认证失败。
2.1.3 链路服务协商
在完成了802.11的链路认证后，WLAN客户端会继续发起802.11链路服务协商，具体的协商通过Association报文或者Re-association报文实现。 在WLAN服务发现过程中，WLAN客户端已经获得了当前服务的配置和参数（WLAN设备端会在Beacon和Probe Response报文中携带，例如接入认证算法以及加密密钥）。WLAN客户端在发起的Association或者Re-association请求时，会携带WLAN客户端自身的各种参数，以及根据服务配置选择的各种参数（主要包括支持的速率，支持的信道，支持的QoS的能力，以及选择的接入认证和加密算法）。
WLAN客户端和WLAN服务设备端成功完成链路服务协商，表明两个设备成功建立了802.11链路。对于没有使能接入认证的服务，客户端已经可以访问WLAN网络；如果WLAN服务使能了接入认证，则WLAN设备端会发起对客户端的接入认证。
2.2 用户接入认证
用户接入认证实现了对接入用户的身份认证，为网络服务提供了安全保护。H3C接入认证主要有802.1x接入认证，MAC接入认证以及PSK认证。其中802.1x
接入认证和MAC接入认证可以支持对有线用户和WLAN无线接入用户进行身份认证，而PSK认证则是专门为WLAN无线用户提供认证的一种方法。
WLAN服务应用中，对于WPA用户或者RSN用户需要进行EAPOL-Key密钥协商。根据WLAN协议服务定义，对于WPA服务和RSN服务需要和802.1x接入认证以及PSK接入认证配合使用：在802.11链路协商的过程中，可以确定用户使用的接入认证算法；并且在链路协商成功后触发对用户的接入认证；随后需要为该接入用户的协商密钥；之后WLAN客户端才才可以访问WLAN网络。
2.2.1 802.1x接入认证
以设备端PAE对EAP报文进行中继转发为例，IEEE 802.1X认证系统的基本业务流程如下图所示（该种认证为典型的有线应用，无线局域网也可以支持该种认证）。
在WLAN应用网络中，WLAN客户端Station为客户端PAE，提供WLAN服务的设备为设备端PAE。设备端通过产生一个随机Challenge发送给客户端；客户端会使用配置的密钥对该Challenge进行加密处理并将处理后的信息返回设备端；设备端根据客户端返回的加密后的Challenge以及原始的Challenge进行比较判断，设备端完成对客户端的单项认证。
图1 IEEE 802.1X认证系统的EAP方式业务流程
为了提高WLAN服务的数据安全性，IEEE 802.1x和IEEE802.11i中使用了EAPOL-Key的协商过程，设备端和客户端实现动态密钥协商和管理；同时通过802.1x协商，客户端PAE和设备端PAE协商相同的一个种子密钥PMK（参见IEEE802.11i），进一步提高了密钥协商的安全性。802.1x支持多种EAP认证方式，其中EAP-TLS为基于用户证书的身份验证。EAP-TLS 是一种相互的身份验证方法，也就是说，客户端和服务器端进行相互身份验证。在EAP-TLS 交换过程中，远程访问客户端发送其用户证书，而远程访问服务器发送其计算机证书。如果其中一个证书未发送或无效，则连接将终断。下图描述了EAP TLS认证方式过程：
图2 EAP TLS认证消息序列图
在无线局域网应用中，当EAP TLS认证成功时，客户端PAE和Radius服务器会对应产生公用的对称的Radius Key，Radius服务器会在认证成功消息中将Radius Key通知设备端PAE。客户端PAE和设备端PAE会根据该Radius Key，客户端MAC地址以及设备端MAC地址，产生种子密钥PMK以及对应的索引PMKID。根据IEEE802.11i协议定义的算法（本文档不再对该算法进行描述，可以直接参见相应的协议），设备端PAE和客户端PAE可以获得相同的PMK，该种子密钥将在密钥协商过程（EAPOL-Key密钥协商）中使用（具体的密钥协商随后将进行专门的介绍）。
2.2.2 MAC接入认证
MAC接入认证是另外一种接入认证方式。MAC接入认证主要为当设备端发现客户端的MAC地址为未知的MAC地址时，设备端会发起对客户端的MAC地址的认证。
MAC接入认证也使用Radius服务器对客户端进行认证。当MAC接入认证发现当前接入的客户端为未知客户端，会主动向Radius服务器发起认证请求。Radius服务器完成对该客户端的认证，并通知设备端认证结果以及相应的授权信息。MAC接入认证过程不需要客户端参与，MAC接入认证可以支持有线用户和WLAN用户。 无线局域网虽然没有明确采用MAC认证，当时在实际的无线局域网应用中，无线局域网会将MAC认证和其它的认证方式一起配合使用。例如，WPA和RSN的WLAN网络，可以同时使用MAC接入认证可以和PSK认证（PSK认证过程逻辑上包含EAPOL-Key的密钥协商过程）。PSK认证完成密钥协商以及预共享密钥确认；而MAC接入认证除了实现MAC地址认证外，还可以实现对该用户的计费，授权。
2.2.3 PSK接入认证
PSK接入认证为IEEE802.11i定义的一种新的接入认证方式，该认证方式仅支持WLAN接入客户端。
PSK认证需要实现在客户端和设备端配置相同的预共享密钥，而具体的认证过程实际上在密钥协商过程（EAPOL-Key密钥协商过程）中完成。在密钥协商过程中，预共享密钥将作为输入生成密钥协商使用的PMK。
可以通过是否能够对协商的消息成功解密，来确定本端配置的预共享密钥是否和对端配置的预共享密钥相同，完成设备端和客户端的互相认证。
如果密钥协商成功，则表明PSK接入认证成功；如果密钥协商失败，则可以认为PSK接入认证失败。