EAP-TLS 是什么
EAP-TLS 是企业无线认证中安全性最高的一种方式：客户端与服务器各持一张证书，握手时互相验证证书链是否可信，不依赖用户名口令，因此没有口令泄露与被钓鱼骗取的面。客户端证书可以按设备或按人签发，撤销后立刻失效，适合批量设备入网场景。代价是需要一套完整的 PKI：CA、签发流程、证书分发与续期、以及吊销列表的分发与校验，运维成本明显高于基于口令的方式。
基本信息
| 凭据 | 客户端证书加服务器证书，双向验证 |
|---|---|
| 优点 | 抗钓鱼、可吊销、适合设备批量入网 |
| 成本 | 需要 PKI 与证书生命周期管理 |
| 依赖 | RADIUS 服务器与证书颁发机构 |
| 失败常见原因 | 证书过期、证书链不完整、吊销列表不可达 |
| 适用场景 | 高安全办公、设备入网、园区统一身份 |
与 PEAP 的差异
| 维度 | EAP-TLS | PEAP-MSCHAPv2 |
|---|---|---|
| 客户端凭据 | 证书 | 用户名与口令 |
| 服务器证书 | 必须校验 | 必须校验，常被忽略 |
| 钓鱼抗性 | 高，无口令可骗 | 低，内层凭据可被盗取 |
| 运维成本 | 高，需管理证书 | 低，账号体系成熟 |
| 批量设备 | 适合，证书可自动签发 | 不适用，设备难输入账号 |
部署要点
部署要点
1) 建立 CA 与签发流程，明确证书命名与 SAN 规范
2) 服务器证书链完整下发，客户端需预置受信任根证书
3) 客户端证书支持自动续期，到期前可平滑轮换
4) 吊销机制要可用：吊销列表或在线状态查询需对客户端可达典型使用场景
- 办公终端入网：员工笔记本用证书认证，离开即吊销
- 设备入网：打印机、摄像头与工控设备批量签发证书
- 访客隔离：访客走口令方式，企业内部走证书方式
- 合规要求：需要强身份绑定与完整的接入审计
- 多站点统一：跨地域共用同一套 PKI 与认证后端
运维重点在证书
EAP-TLS 配置完成后的主要工作量都在证书生命周期上。最常见的故障是证书过期导致的集体无法接入——通常集中在某个签发批次，时间点整齐，很容易识别；其次是证书链不完整，客户端只装了服务器证书而缺中间证书，表现为部分平台能连、部分平台失败。为降低风险，应建立到期监控与提前轮换机制，把证书有效期、签发批次、影响范围记录成清单，并在更换认证服务器或调整 CA 时同步更新客户端的受信任根证书。
EAP-TLS 的运维重点在证书生命周期，而不是终端配置。
证书吊销是 EAP-TLS 相对口令方式的最大优势：设备丢失时只需吊销对应证书，不必更换全网凭据。