| 外层 | PEAP（服务器证书） |
|---|---|
| 内层 | MSCHAPv2 |
| 接入 | 域账号/密码 |
| 客户端证书 | 不需要 |
客户端关键设置
客户端关键设置
「验证服务器证书」= 勾选
「受信任根证书」= 指定企业 CA
不勾选 → 存在被仿冒热点套取凭据的风险PEAP 部署门槛低，是存量企业最广的组合；高安全场景建议逐步过渡到 EAP-TLS。
PEAP + MSCHAPv2：企业常见组合
Windows 域环境的主流组合：TLS 隧道内用 MSCHAPv2 校验域账号，客户端只需信任服务器证书、无需客户端证书。
易错点
- 密码变更后终端缓存旧凭据会反复认证失败，需清理凭据缓存或重新输密码
- 不校验证书的 PEAP 在企业安全评估中通常直接判为高风险
数据来源与参考
- RFC 7170 对比参考
- Microsoft Learn：PEAP 部署指南