EAP-TLS 部署检查清单是什么
EAP-TLS 用双向证书替代口令：终端与服务器各自出示证书完成认证，因此最难的从来不是无线配置，而是背后的证书体系——谁签发、怎么自动注册与续期、吊销状态怎么被查到、到期怎么轮换。这份清单把上线前必须确认的六件事固定下来，避免出现「部署当天都能连，半年后集体断网」的典型事故。
基本信息
| 认证方式 | 双向证书（客户端证书 + 服务器证书） |
|---|---|
| 依赖设施 | 企业 CA、证书模板、CRL/OCSP 服务 |
| 关键要求 | 服务器证书含正确 SAN，客户端证书可自动续期 |
| 运维重点 | 到期监控、吊销可达性、轮换流程 |
| 失败影响 | 证书问题通常是全网级故障，不是单点故障 |
部署清单
部署清单
# □ 企业 CA 就位，根证书已分发（含非域与自带设备）
# □ 服务器证书包含正确的 SAN 名称列表
# □ 客户端证书模板可用，支持自动注册与续期
# □ CRL/OCSP 服务对终端可达，吊销策略已验证
# □ 证书到期监控与轮换流程已定义并明确责任人
# □ 应急预案：临时 SSID 或备用认证方式可快速启用典型使用场景
- 高安全园区：以证书替代口令，降低凭据泄露风险
- 医院与政务：满足审计与合规对身份强认证的要求
- 无人值守设备：终端长期在线，证书自动续期减少人工干预
- 访客转员工：员工入职即签发证书，随离职流程回收
- 多厂区统一身份：一个 CA 体系覆盖全部站点
上线前逐项核对
| 检查项 | 验证方式 |
|---|---|
| 根证书分发 | 在样板机上确认信任链完整，无证书告警 |
| 服务器 SAN | 比对客户端配置名与证书名称列表 |
| 吊销可达 | 断网与内网两种状态分别验证策略表现 |
| 自动续期 | 让样板证书临近到期，观察是否自动更新 |
| 应急预案 | 演练切换到备用 SSID 与备用认证方式 |
吊销列表不可达时，部分系统会按「放行」处理，授权实际形同虚设。上线前必须验证吊销服务不可达时系统是阻断还是放行，并按安全要求确定策略。
证书体系一次搭好可以用很多年，因此值得纳入变更管理与监控：到期提醒、轮换窗口、责任人缺一不可。