iMC EIA BYOD公有证书byod.h3c.com即将过期，需要官方新版续期证书全套

这里：

https://zhiliao.h3c.com/Theme/details/236368

针对 iMC EIA 内置的 byod.h3c.com 公有证书即将在 2026 年 8 月 22 日过期的问题，这属于 H3C 官方统一管理的证书，需要通过官方渠道获取新版证书包。

🔑 证书获取渠道

请通过以下任一官方渠道申请新版证书包（通常包含根证书 topRoot.cer、secondRoot.cer 和服务器证书 server.crt 及私钥 server.key）：

• 渠道一：联系 H3C 官方技术支持（最推荐）：拨打新华三官方服务热线 400-810-0504。向客服说明情况：“iMC EIA BYOD 使用公有证书 CN=byod.h3c.com，证书将于 2026-08-22 过期，需要官方续期后的完整证书包”。提前准备好设备的 SN 序列号或授权相关信息，以便快速核验。

• 渠道二：联系 H3C 办事处或授权代理商：联系当初购买设备或服务的 H3C 当地办事处、授权代理商，由他们代为申请新版证书包。

• 渠道三：在 H3C 知了社区发帖求助：访问 zhiliao.h3c.com 发帖，说明设备型号和证书过期情况，官方工程师看到后可能会通过私信提供协助。

⚙️ 新版证书导入步骤

获取证书包后，请在业务维护窗口按以下步骤操作：

1. 备份旧证书（可选）：登录 iMC，进入 “用户” → “接入策略管理” → “业务参数配置” → “证书配置” 页面，分别备份当前的根证书和服务器证书。

2. 删除旧证书：

   • 在 “根证书” 页签，删除原有的旧根证书。

   • 在 “服务器证书” 页签，删除旧的 byod.h3c.com 服务器证书。

3. 导入新版证书链：

   • 根证书页签：依次导入 topRoot.cer 和 secondRoot.cer。

   • 服务器证书页签：导入 server.crt 和 server.key，密码通常为空。

4. 验证并重启服务：

   • 导入成功后，在证书配置页面确认证书有效期已更新为“2026-08-22”。

   • 点击“验证导入的证书”，确认证书有效。

   • 进入 iMC “系统管理” → “服务管理”，手动重启 iMC UAM (EIA) 和 iMC BYOD 服务，使新证书生效。

⚠️ 关键提醒

• 务必在过期前完成替换：证书过期后，所有依赖该证书的 802.1X EAP-TLS 认证将会失败，可能导致终端无法接入网络。

• 请勿使用自签证书：自行签发的证书会导致终端因不信任根证书而认证失败。

• 确保证书链完整：根证书和服务器证书必须配套导入，缺失任何一环都会导致认证异常。

一、核心硬性结论
byod.h3c.com 是新华三全国共用公有 BYOD 证书，私钥由新华三官方保管，无法自建 OpenSSL、自建 CA 生成等效证书，网上无公开下载地址，只能向新华三官方申领完整新版证书包。
证书到期时间：2026-08-22，过期后全网 802.1X PEAP/EAP-TLS、BYOD 接入全部失败，终端提示「服务器证书不信任、认证 691 报错」。
新版证书完整组成（官方下发压缩包内含）
根证书链：topRoot.cer（顶级根）、secondRoot.cer（中间 CA 证书）
服务端证书 + 私钥二选一格式：
格式 A：server.crt + server.key（私钥无密码）
格式 B：byod.h3c.pfx（带私钥的 PKCS12 证书，附带解密密码）
新版根证书链条沿用旧版本，终端手机、电脑无需重装根证书，替换证书不会中断办公网络。
二、3 条官方申领渠道（优先级从高到低）
渠道 1：官方 400 热线（最快，推荐）
拨打新华三技术热线：400-810-0504
报备话术直接复制：
我方 iMC EIA BYOD 使用公有证书 CN=byod.h3c.com，证书将于 2026-08-22 过期，需要官方续期完整证书包（带私钥的服务器证书 + 完整 CA 根证书链），用于替换 iMC 原有证书；附上 iMC 授权序列号 / 合同编号。
工程师核验资产后，通过邮箱 / 企业微信下发新版证书包。
渠道 2：知了社区免费申领（无需提供合同）
打开知了社区 https://zhiliao.h3c.com 发帖；
标题：求助 iMC EIA byod.h3c.com 续期新版BYOD公有证书；
正文说明证书到期时间、用途（802.1X EAP-TLS BYOD 认证），官方工作人员会私信发送证书压缩包。
渠道 3：对接本地代理商 / 新华三办事处
联系项目对应的 H3C 代理商、驻场工程师，由办事处内部提单申领新版证书资源包。
三、iMC 替换证书标准操作步骤（拿到证书后执行）
前置：备份旧证书
iMC 路径：用户 → 接入策略管理 → 业务参数配置 → 证书配置，分别导出旧根证书、旧 byod 服务器证书备份留存。


证书配置页面


删除旧证书
步骤 1：删除原有过期证书
切换【根证书】标签页，删除原有 GeoTrust 根证书；
切换【服务器证书】标签页，删除旧的 byod.h3c.com 证书。
步骤 2：导入新版证书链（顺序不可颠倒）
根证书页：依次导入 topRoot.cer、secondRoot.cer；
服务器证书页：
若为 PFX 格式：上传.pfx文件，填写官方提供的解密密码，证书别名依旧命名为byod；
若为 crt+key 格式：分别上传 server.crt 证书、server.key 私钥。


导入根证书


导入服务端证书
步骤 3：绑定证书至 BYOD 认证服务
进入：用户 → 接入策略管理 → BYOD 配置 → 证书配置，服务器证书下拉选中刚导入的新版 byod 证书。
步骤 4：重启服务生效（必须操作）
iMC → 系统 → 服务管理，依次重启 2 个服务：
iMC UAM(EIA接入服务)
iMC BYOD服务
无需重启整台 iMC 服务器，业务几乎无中断。
步骤 5：校验生效
回到证书配置页面，查看 byod 证书有效期更新为续期后的时间，再用终端接入 WiFi 做 802.1X 认证测试。
四、两套备选兜底方案（来不及申领官方证书时）
方案 A：自建企业 CA 替换（弊端大，仅应急）
在 iMC 内置 CA 服务签发证书，域名 CN 必须填写byod.h3c.com；
导入 iMC 绑定 BYOD 服务；
⚠️ 缺点：所有员工手机、Windows、苹果终端必须重新安装企业根证书，园区终端量大时改造工作量极高，仅适合小众内网场景。
方案 B：临时关闭 EAP 证书校验（极度应急，仅限证书过期当天临时续命）
AC 控制器全局关闭 EAP 服务器证书校验：
plaintext
dot1x authentication eap disable server-certificate verify
风险：存在中间人劫持认证的安全漏洞，证书下发完成后务必立刻开启证书校验。
五、重要注意事项
严禁网络流传的自制 byod 证书，私钥不一致会导致所有 BYOD 设备认证失败；
务必在2026-08-22 证书过期前完成替换，过期后接入直接瘫痪；
新版证书有效期接续原有周期，后续证书临近过期，重复以上申领替换流程即可。