认证失败怎么分头查
认证失败的原因取决于安全类型，两类网络的排查路径差别很大。个人版（PSK 或 SAE）失败大多与口令有关：口令被改过、终端仍保存旧口令、或终端对 SAE 的支持不完整。企业版（802.1X）失败则要分三段查：终端凭据与配置、无线侧能否把请求送到服务器、服务器为什么拒绝。把两类混在一起排查，往往会在口令与证书之间来回折腾，浪费大量时间。
认证类型与查法
| 类型 | 典型提示 | 排查重点 |
|---|---|---|
| WPA2-PSK | 密码错误或无法连接 | 口令是否被改、终端是否保存旧口令 |
| WPA3-SAE | 无法加入或反复提示 | 终端兼容性、过渡模式与 PMF 配置 |
| 802.1X(PEAP) | 身份验证失败 | 用户名域格式、证书信任、服务器证书有效期 |
| 802.1X(EAP-TLS) | 证书相关错误 | 客户端证书有效期、CA 链完整性、用途扩展 |
RADIUS 侧对齐
RADIUS 侧对齐
# 用失败时间戳在 RADIUS 日志中检索对应的拒绝记录
# 对比用户名、NAS 端口与拒绝原因（口令错误 / 证书问题 / 无此用户）
# 注意时间同步：服务器与控制器时钟不一致会让对齐失效典型使用场景
- 个别用户改密码后无法接入
- 全员同时无法接入，怀疑证书或服务器问题
- 新采购终端在 WPA3 网络上接入失败
- 访客账号被锁定导致认证失败
- 改造后老终端逐步开始认证失败
两条最高频的根因
第一条是凭据不同步。口令在服务器侧更新后，终端仍按旧凭据反复尝试，表现为「只有我一个人连不上」，而这台设备在别的网络里一切正常。处理办法是删除已保存的网络配置后重新输入，或清理凭据缓存。第二条是证书问题。企业认证里最常见的集体故障是服务器证书过期或证书链缺失，症状是所有人同时失败或部分平台失败，时间点整齐。遇到集体故障，先查证书有效期与信任链，比逐个检查终端快得多。
认证失败先做「单终端最小化复现」，再拿精确时间戳对 RADIUS 日志，效率高于盲测。
用户名格式（域与用户名之间用反斜杠还是 @）在不同平台上要求不同，跨平台部署要统一规范。