imc的eap证书到期

iMC EIA 内置预置 EAP 根证书 / 服务器证书过期，会导致采用 PEAP/EAP-TLS 方式的 802.1X 终端认证失败，终端提示无法验证服务器证书。
分为两种场景：官方预置证书过期（绝大多数现场）、自建 CA 签发证书过期。
方案一：使用新华三官方新版预置证书（推荐，最简方案）
iMC 出厂自带内置预置证书，到期需要向 H3C 获取新版证书包
获取新版证书
联系 H3C 400 技术支持，说明场景：iMC EIA 预置 EAP 证书过期，索取对应版本【EIA 四段式预置证书包】（包含 topRoot.cer、secondRoot.crt、server.crt、server.key）。
证书无公开下载链接，需要依托有效服务合同调取。
Web 界面替换证书（iMC V7 EIA）
路径：【用户】→【接入策略管理】→【业务参数配置】→【证书配置】
① 根证书配置：先删除旧根证书，依次导入topRoot.cer、secondRoot.crt；
② 服务器证书配置：删除旧服务器证书，导入server.crt与私钥server.key（私钥密码为空）；
③ 保存配置，重启全部 iMC 服务生效。
重要提醒
无需修改交换机、终端 802.1X 配置；
如果终端本地手动导入过旧根证书，建议分批推送新根证书至终端，避免部分终端不信任新 CA 导致认证失败。
方案二：自建 CA 重新签发证书（无法获取官方预置包备选）
自行搭建 Windows AD CA 或独立 CA 服务器：
申请根证书、EAP 服务器证书；
将根证书导入 iMC 证书配置页面；服务器证书 + 私钥导入服务器证书栏；
将根证书下发至所有终端信任存储；
⚠️缺陷：所有终端需要批量部署新根证书，改造工作量更大。
应急临时规避（不建议长期使用）
临时在接入策略中更换认证方式，改为仅密码认证（不启用 PEAP 证书校验），仅用于故障抢修窗口期，安全存在削弱。
高频踩坑点
导入证书后没有重启 iMC 服务，证书不生效；
只导入服务器证书，缺失二级根证书 secondRoot，证书链断裂；
终端电脑时间异常，误判证书过期；
集群 iMC 环境，所有 iMC 节点都需要同步更新证书文件。

iMC的EAP证书过期，会导致802.1X认证失败。证书过期本身无法“延期”，只能替换。

具体操作取决于你用的是 H3C内置预置证书 还是 自建证书。

🔑 第一步：确认证书类型

登录iMC，进入 【用户】->【接入策略管理】->【业务参数配置】->【证书】 页面。查看证书的“使用者”和“有效期”：

• H3C内置证书：如果使用者为 CN=byod.h3c.com, O=新华三技术有限公司，且有效期至 2025-08-19，则是H3C内置证书。

• 自建证书：如果使用者是你们公司自己的信息，则为自建证书。

确认类型后，按对应方案操作。

🛠️ 方案一：替换 H3C 内置证书 (EIA预置证书)

H3C已针对 2025-08-19 到期的内置证书发布官方公告。请按以下流程操作：

1. 获取新证书
目前官方尚未提供公开下载链接，需通过以下渠道获取：

• 联系H3C技术支持或办事处，申请最新的EIA证书包。

• 获取的新证书包通常包含：topRoot.cer、secondRoot.cer（根证书）和 server.crt、server.key（服务器证书）。

2. 在iMC中导入新证书

1. 删除旧证书：

   • 进入上述 【证书】 配置页面。

   • 在 【根证书】 选项卡，删除旧证书。

   • 在 【服务器证书】 选项卡，删除旧证书。

2. 导入新证书：

   • 在 【根证书】 选项卡，依次导入 topRoot.cer 和 secondRoot.cer。

   • 在 【服务器证书】 选项卡，导入 server.crt 和 server.key，密码为空。

3. 验证：导入后，页面证书有效期应变为 2026-08-22。点击 【验证导入的证书】 确认有效。

4. 重启服务：建议重启iMC相关服务使配置生效。

🏢 方案二：更新自建证书

如果证书是自建的，可自行生成新证书替换。

1. 生成新证书 (以OpenSSL为例)
在任意安装了OpenSSL的机器上执行：

其中 -days 参数可调整有效期。

2. 在iMC中导入

• 删除旧证书，并导入新生成的根证书（rootCA.crt）和服务器证书（server.crt及私钥server.key）。

3. 更新客户端证书（关键！）
自建证书变更后，必须在所有认证终端上安装新的根证书：

• Windows域环境：通过组策略（GPO）推送。

• 手动安装：在终端上双击 .crt 文件，选择“安装证书”，并存入“受信任的根证书颁发机构”。

⚠️ 特别提醒

• 客户端兼容性：更新证书后，安卓11及以上等严格校验证书的终端，需要同步更新客户端证书。

• 临时规避：紧急情况下，可修改服务器时间至证书有效期内临时恢复，但强烈不推荐长期使用。

• 认证排查：更新后若仍失败，可在AC上开启 debugging radius 查看RADIUS日志，排查证书相关错误。