WX3508H-苹果新版本无法连接WiFi

只有特定IOS的特定版本以上才会出问题吗，发生问题的时候无法关联WIFI？可以在AC上看下终端关联失败的原因，另外可以通过debug和空口抓包分析下

升级下最新版本

根本原因

1. 旧版苹果系统：PEAP 连接 RADIUS 自签 / 内部 CA 证书，会弹出弹窗，用户点信任即可。
2. 26.4.2 + 新版本苹果系统：系统模式 802.1X，不再自动弹出证书信任弹窗。证书不在系统信任锚列表里，TLS 隧道直接静默失败，不会给用户手动信任机会。
   • 临时成功：首次协商侥幸建立；证书信任状态过期后，再次认证直接失败，就是你看到 “过几天就提示无法连接 WiFi”。
   • 安卓不受影响：安卓 PEAP 可以直接关闭服务器证书校验。

⚠️注意：证书问题是RADIUS 服务器证书，不是 WX3508H 无线 AC 上的证书。

前置检查项（RADIUS 服务器）

1. 证书签名算法：禁止 SHA1，必须 SHA256；密钥长度≥2048 位；证书有效期正常、时间不漂移。
2. 证书 SAN 主题备用名称：证书 SAN 必须填写 RADIUS 服务器 FQDN，苹果 26 系统强制校验 SAN，缺失直接校验失败。
3. TLS 版本：RADIUS 服务 TLS 最低 TLS1.2，推荐 TLS1.2+ECDHE 密码套件；禁用老旧弱加密套件。
4. 证书链完整：RADIUS 服务器返回证书时，完整返回中间证书 + 根证书，不能只下发服务器证书。

两套可行解决方案（二选一）

方案 A（推荐，企业正式环境）：苹果设备推送配置描述文件.mobileconfig

用 Apple Configurator2 制作配置描述文件，包含三项内容：

1. 导入 RADIUS 根 CA 证书，标记为信任
2. 802.1X 负载：EAP 类型 PEAP，阶段 2 MSCHAPv2
3. 可信服务器名称：填写 RADIUS 证书上的 FQDN（SAN 里的域名）

手机安装这个描述文件后，不再需要弹窗，系统直接信任 RADIUS 证书，永久解决。

适合批量办公设备，MDM 分发最佳；单台可直接 airdrop 邮件推送 mobileconfig。

方案 B（临时过渡，不推荐长期使用）：修改 RADIUS 配置

RADIUS 侧关闭 PEAP 服务器证书校验（部分 RADIUS 支持），但安全性下降。

注意：苹果新版系统终端侧没有手动关闭服务器证书校验的开关，这点和安卓完全不同，不能在苹果 wifi 页面取消验证证书。

WX3508H AC 侧配置核查（无线部分）

1. 优先使用WPA2-Enterprise，暂时避开 WPA3-Enterprise（26 版本苹果存在更多 EAP 兼容问题）
2. EAP 转发模式：AC 透传 EAP 报文给 RADIUS，确认 EAP 报文完整转发，AC 不做 EAP 终结。
3. AC 版本：检查 WX3508H Comware 版本，老旧版本 EAP 报文处理存在缺陷，升级到最新稳定 R 版本。

故障定位命令（收集日志提交 400）

抓包看 EAP 协商，苹果终端会在 PEAP 的 TLS 握手阶段直接断开，就是证书校验失败。

快速简易验证步骤

1. 苹果手机：忽略此网络 → 重启手机 → 重新连接，依旧不弹出证书信任，确认是 26 系统机制。
2. 把 RADIUS 证书导出根证书，在苹果手机安装根证书，进入设置→通用→VPN 与设备管理，手动信任证书；再连 WiFi 测试，能正常连接，100% 确认就是证书信任链问题。

补充说明

很多人误以为是 AC WX3508H 的问题，AC 只负责转发 EAP 报文，证书校验发生在苹果终端和 RADIUS 服务器之间。 苹果 26 系列系统大幅收紧 802.1X PEAP 安全策略，取消交互式证书信任弹窗，是最近大量企业遇到同类故障的共性变更。