集体认证失败先查证书
某天开始大量设备同时认证失败，最先怀疑的应该是共享依赖，而证书过期是其中最常见的一种。企业无线里涉及的证书不止一张：认证服务器自身的证书、客户端信任的根证书、Portal 的 HTTPS 证书，以及 AP 与控制器之间的互信证书。其中任何一张过期，都会造成成片的接入失败。判断特征很明确：失败时间点整齐、影响范围覆盖所有依赖该证书的设备，而不是零星几台。
基本信息
| 典型特征 | 同一时刻起所有设备失败，认证服务器日志出现证书校验错误 |
|---|---|
| 检查对象 | 认证服务器证书、客户端信任的根证书、Portal 证书、设备互信证书 |
| 快速确认 | 用 openssl s_client 查看证书有效期与链完整性 |
| 恢复步骤 | 更新证书并同步所有信任库，再重启相关服务 |
| 影响广度 | 服务器证书过期会影响全部客户端，优先级高于逐台终端排查 |
检查证书链
检查证书链
openssl s_client -connect host.example.com:443 -showcerts
# 查看输出中的 notBefore 与 notAfter，以及证书链是否完整
openssl x509 -in server.crt -noout -dates -subject -issuer
# 检查是否缺少中间证书：浏览器正常但部分客户端失败常见于此该查哪些证书
| 证书 | 影响范围 | 续期注意 |
|---|---|---|
| 认证服务器证书 | 全部使用该服务器的无线接入 | 更新后需同步客户端信任库 |
| 客户端根证书 | 预置了该根证书的全部终端 | 更换根证书需规划过渡期 |
| Portal 证书 | Portal 认证与跳转页面 | 域名与证书必须匹配 |
| 设备互信证书 | AP 与控制器之间的管理通道 | 批量设备需批量更新 |
典型使用场景
- 早晨开始全员无法接入无线
- 证书自动续期失败导致的接入故障
- 更换认证服务器域名后的兼容问题
- Portal 页面提示证书风险警告
- 新增设备批量入网时的证书校验失败
怎么避免再次发生
第一，建立到期清单与提醒。把每张证书的到期时间、影响范围与责任人记入清单，提前一到两个月安排轮换，而不是等到期当天处理。第二，尽量使用自动化续期，并保证续期后服务能自动重载证书。第三，重要证书更换要预留过渡期：新旧证书并行一段时间，让所有客户端都完成信任库更新，避免出现「改完只有一半设备能用」的情况。第四，把证书检查纳入例行巡检，与设备固件、授权到期一起形成固定检查项。
服务器证书过期会同时影响所有依赖它的客户端，排查优先级高于逐台终端检查。
部分客户端对证书链完整性要求更严格，浏览器能打开并不代表所有终端都能通过校验。