PEAP 失败的四类原因
PEAP 认证失败集中在四类：证书校验、账号凭据、服务器可达性与时间或域环境。客户端侧往往只显示「无法连接」，信息量几乎为零，必须结合客户端事件日志与 RADIUS 服务器记录才能定位到具体阶段。批量失败优先查证书到期与 RADIUS 服务状态，个别失败再查账号本身。
基本信息
| 证书错误 | 客户端不信任 CA、服务器名称不匹配、证书过期 |
|---|---|
| 凭据被拒 | 密码错误或过期、账号被锁定 |
| 超时无响应 | RADIUS 不可达、共享密钥不匹配 |
| 区域性问题 | 该区域 AP 到 RADIUS 的路由或 ACL |
| 日志位置 | Windows 的 WLAN-AutoConfig 事件日志 |
典型使用场景
- 员工笔记本连接企业 Wi-Fi 报「无法连接」
- 批量用户在某个时间点集体认证失败
- 只有某个楼层或区域的终端无法认证
- 排查证书到期引发的全面故障
- 分析 PEAP 与 EAP-TLS 失败原因的差异
日志位置
日志位置
# Windows：事件查看器 → 应用程序和服务日志
# → Microsoft-Windows-WLAN-AutoConfig/Operational
# 关注错误码与失败阶段（证书、凭据或超时）
# 再到 RADIUS 日志核对同一时间点的记录失败类型与方向
| 表现 | 排查方向 |
|---|---|
| 证书错误 | CA 信任链、服务器名称、证书有效期 |
| 凭据被拒 | 密码错误或过期、账号锁定 |
| 超时无响应 | RADIUS 可达性、共享密钥 |
| 仅在部分地点失败 | 该区域 AP 到 RADIUS 的路由或 ACL |
排障顺序是先看客户端事件日志的错误类型，再到 RADIUS 服务器侧核对同一时间点的记录，两边对不上时再怀疑中间链路。
客户端只显示「无法连接」时信息量为零，必须依赖事件日志定位失败阶段，否则容易在错误的方向上排查。
PEAP 与 EAP-TLS 的失败原因分布不同：前者多由凭据与证书信任链引起，后者更多指向客户端证书本身，排查前先确认使用的是哪种方法。
批量失败优先查证书到期与 RADIUS 服务状态，个别失败再查账号：顺序反了会把系统性问题当个案处理。