| 凭据 | 客户端证书 + 服务器证书 |
|---|---|
| 优点 | 抗钓鱼、可吊销、适合设备入网 |
| 成本 | 需要 PKI/证书生命周期管理 |
部署要点
部署要点
1) 建立 CA 与签发流程（含 SAN/CN 规范）
2) 服务器证书链完整下发
3) 客户端证书支持自动续期与吊销EAP-TLS 的运维重点在证书生命周期，而不是终端配置。
EAP-TLS：双向证书认证
企业与高安全场景推荐：客户端与服务器各持证书，互验证书链，无口令泄露面，支持吊销管理。
易错点
- 证书过期会造成「集体无法入网」，需监控到期时间并提前轮换
- 客户端证书私钥保护不当等于凭据泄露，建议使用系统密钥库或 TPM
数据来源与参考
- RFC 5216（EAP-TLS）
- NIST SP 800-97