选型看三个维度
认证方法的选择取决于三点：凭据类型（双向证书还是账号口令）、部署成本（是否需要搭建证书体系）、终端支持度。三者的权重因环境而异，但顺序通常是先看终端能不能支持，再看运维能力，最后才比较纸面上的安全强度，否则方案再好也落不了地。
两种最常见的取舍
双向证书方式（如基于证书的方法）安全性最高，能做设备级身份认证，但需要完整的证书签发与更新流程；服务器证书加域口令的方式部署成本低、终端兼容广，是存量企业网络里最常见的做法，前提是客户端必须启用服务器证书校验，否则口令会被仿冒认证者套取。
基本信息
| 核心维度 | 凭据类型、部署成本、终端支持度 |
|---|---|
| 选择顺序 | 终端支持优先，其次运维能力，最后纸面安全强度 |
| 证书类方法 | 安全性高，需完整的证书签发与更新流程 |
| 口令类方法 | 部署成本低，必须配合服务器证书校验 |
| 共存环境 | 多方法并存时需统一身份源与审计口径 |
方法选择参考
| 方式 | 凭据 | 部署成本 | 典型场景 |
|---|---|---|---|
| 双向证书 | 客户端与服务器证书 | 高，需要 PKI 支撑 | 高安全要求、设备级认证 |
| 服务器证书 + 域口令 | 服务器证书加账号口令 | 低，复用现有账号体系 | 企业存量网络最常见 |
| 带隧道的方法 | 服务器证书（可选客户端证书）加内层凭据 | 中 | 需要兼容多种内层认证 |
| 口令类免证书方法 | 仅口令 | 低 | 无证书体系但需抵御字典攻击 |
落地检查要点
落地检查要点
# 1. 盘点终端支持的方法类型与是否支持证书
# 2. 确认认证服务器与 AP 支持所选方法
# 3. 客户端统一启用服务器证书校验
# 4. 先小范围试点，统计认证成功率与失败原因典型使用场景
- 新建企业网络：根据终端构成选择方法组合
- 安全等级提升：评估是否具备引入证书体系的运维能力
- 存量网络排障：多方法并存时统一审计口径
- 外包与访客接入：选择部署成本低且可控的方式
- 设备认证需求：需要区分设备身份时优先考虑证书方案
- 海外或跨区域部署：核对终端对特定方法的支持情况
选型先看终端能不能支持，再看运维能力，最后才是纸面安全强度，顺序颠倒会导致方案无法落地。