1x认证debug看用户名不对

当一台加入了Windows域的电脑，第一次连接一个要求802.1X认证的Wi-Fi网络时，它会执行一种“智能”的认证逻辑：

1. 第一步：尝试用计算机身份登录
   系统会默认认为这是“公司网络”，为了给用户提供“无感”的单点登录体验，它会先用这台电脑在域中的计算机账户（格式为 host/计算机名.域名）去尝试认证。对于大多数企业网络来说，这就是认证失败的直接原因，因为RADIUS服务器上通常只创建了用户账号，而没有创建计算机账号。

2. 第二步：失败后回退到用户身份
   当计算机账号认证失败后，系统才会弹出窗口，让用户输入自己的域用户名和密码进行认证。

你通过debug看到的 host/***.***，正是第一步的“计算机账号”认证尝试。如果它成功了，用户就可以无感入网。但现在它失败了，不过理论上用户接着输入自己的账号密码后，认证还是可以成功的。

为什么AC上配置了 user-name-format without-domain 没效果？

这是个很关键的问题。你之前尝试在AC的RADIUS方案下配置 user-name-format without-domain，但对这个情况无效。

原因是你们采用的EAP中继认证方式。在这种方式下，AC只负责将客户端的认证报文“原封不动”地中继给RADIUS服务器，不能对报文中的用户名进行任何修改。AC上的配置只对PAP、CHAP或MAC认证等非EAP中继方式生效。

你有两种解决思路，可以根据实际需求来选择。

 方案一：接受现状，让用户手动输入账号（最简单）

如果网络中的802.1X认证只为验证“人”的身份，而不需要验证“计算机”的身份，那么最简单的方法就是接受当前的行为。

• 操作方法：什么都不用改。

• 用户体验：电脑第一次连接时，会先尝试几秒钟（计算机认证失败），然后弹出窗口，用户输入自己的域账号和密码即可成功上网。

• 适用场景：员工自有设备（BYOD）、或对终端安全要求不高的环境。

 方案二：配置“计算机认证”，实现完全无感知（最彻底）

如果你希望电脑连接Wi-Fi时完全不需要输入账号密码，实现真正的“无感接入”，则需要配置计算机认证。这需要你在RADIUS服务器（如Windows NPS）上进行配置，让计算机账号也能通过认证。

• 操作方法：

  1. 在RADIUS服务器上：将Domain Computers组添加到RADIUS策略的访问条件中，并为计算机账号授予访问权限。

  2. 在终端上（可通过域组策略下发）：

     • 为这个SSID配置单点登录（SSO），让电脑在用户登录之前就用计算机账号完成网络认证。

     • 这样，电脑一开机就自动连上Wi-Fi，用户登录时网络已经就绪，体验最佳。

• 适用场景：公司统一配发的办公设备（笔记本电脑），对安全和体验都有较高要求。