为什么这一步不能省
802.1X 的双向信任里，客户端对服务器的验证完全依赖服务器证书：配置了校验，客户端才会确认对面是真的 RADIUS；不配置校验，任何伪造的认证者都能把终端引过去并套取凭据。对 PEAP-MSCHAPv2 这类内层使用口令的方法，口令摘要一旦被截获就可以离线破解，风险是实质性的。
校验什么、为什么常失败
校验三件事：证书链是否由受信任的 CA 签发、证书是否在有效期内、证书中的服务器名称与配置值是否一致。常见失败原因是根 CA 未下发、配置的服务器名称与证书 SAN 不匹配，以及设备时间偏差导致有效期判定失败——三者都表现为「配置看起来没问题但连不上」。
基本信息
| 校验内容 | 证书链、有效期、服务器名称（SAN） |
|---|---|
| 配置位置 | 客户端无线配置文件或组策略下发的 SSID 配置 |
| 信任锚 | 企业根 CA 证书需提前下发到终端 |
| 风险后果 | 不校验等于允许中间人，PEAP 内层口令可被离线破解 |
| 企业版联动 | WPA3-Enterprise 强制 PMF，与证书校验配合构成完整信任链 |
配置模板要点（Windows 组策略）
配置模板要点（Windows 组策略）
# SSID 配置：身份验证模式 = WPA2-Enterprise 或 WPA3-Enterprise
# 勾选：验证服务器证书
# 受信任根证书颁发机构：指定企业 CA（不要勾选「不验证」）
# 服务器名称：rad.example.com，需与证书 SAN 完全一致
# 认证方法：PEAP → 内层 MSCHAPv2 或 EAP-TLS校验项与失败表现
| 校验项 | 失败表现 | 处理 |
|---|---|---|
| 证书链 | 客户端提示证书不受信任 | 下发企业根 CA 到终端信任库 |
| 服务器名称 | 名称与证书不匹配，直接拒绝连接 | 核对配置值与证书 SAN 的一致性 |
| 有效期 | 证书未生效或已过期 | 核对设备时间并更新时间戳证书 |
| 时间同步 | 无明确提示但校验失败 | 让终端、RADIUS、AP 统一走同一 NTP 源 |
典型使用场景
- 企业统一推送无线配置：把证书校验写入组策略模板，避免用户手工跳过
- 外包与自带设备接入：先确认其是否导入了企业 CA，否则无法完成校验
- 证书更换或 CA 迁移：切换前核对新证书的 SAN 是否覆盖所有认证节点
- 排查「突然连不上」：优先怀疑证书过期或时间偏差，而非网络本身
- 审计与合规检查：把「验证服务器证书」列为必查配置项
- 多认证节点部署：为每个 RADIUS 节点申请带相应名称的证书
让用户手工连接无线网络，会带来为省事而跳过证书校验的风险；大规模环境应统一用组策略或配置文件下发。