无线终端连不上代码2018

🎯 最可能的 4 个根因

1. Win10 客户端 EAP 配置 / Credential Guard 冲突（最高频）

• Credential Guard 开启时，MSCHAPv2 无法工作。如果你的 SSID 用的是 PEAP-MSCHAPv2，Win10 启用了 Credential Guard 就会直接导致认证失败
• EAP 类型不匹配：AC/Radius 侧要求 PEAP，但 Win10 无线网卡属性里勾选的 EAP 方法不一致（比如选成了 EAP-TLS 但客户端没有证书）
• 服务器证书不被信任：PEAP 阶段服务器下发证书，Win10 本地"受信任的根证书颁发机构"里没有对应的 CA 根证书，握手直接断掉——AC 侧就表现为收到 deauth
• Win10 11 月更新后引入的 TLS 1.2 兼容性 bug：部分 RADIUS 实现（早期 FreeRADIUS、Aruba ClearPass 6.5.1、Cisco ISE 2.0.0.306 等）在 EAP 协商时使用 TLS 1.2 会因 PRF 错误导致 MPPE 密钥计算失败，认证被强制中断

💡 现场验证法：找一台没加域、没开 Credential Guard​ 的 Win10 笔记本，手动新建 802.1X 配置文件，明确指定 EAP 类型（PEAP-MSCHAPv2 或 EAP-TLS），并在"服务器证书信任"里装上 RADIUS 服务器的 CA 根证书再试。如果这样能上，问题 100% 在客户端策略。

2. AC 侧 service-template 的 802.1X 配置不对

• service-template 下认证模式必须是 dot1x：client-security authentication-mode dot1x
• 全局 802.1X 认证方式必须是 EAP 中继：dot1x authentication-method eap（如果用默认的 chap 终结，EAP 报文不会透传给 RADIUS，必然失败）
• 认证域调用正确：service-template 里 dot1x domain xxx 指向的域，其下 authentication lan-access radius-scheme xxx 要正确绑定
• 本地用户的 service-type 必须是 wlan-service（不是 lan-access，无线不认 lan-access）

3. RADIUS 服务器侧问题

• 共享密钥不一致：AC 上 radius scheme 里的 key 与 RADIUS 服务器上配置的 NAS 密钥必须完全一致（区分大小写）
• nas-ip 没在 RADIUS 上登记：服务器"客户端列表"里必须有 AC 的 nas-ip，否则直接 Access-Reject
• RADIUS 上用户 service-type 不对：无线用户需要 wlan-service，若只开了 lan-access 会被拒
• AAA 返回错误码：新华三 AC 日志里若能看到 error code，8 一般是密钥/端口(1812)/不可达，26 一般是用户名密码错/认证类型错/服务器没加设备 IP/域配置错

⚠️ 一个隐蔽坑：如果 AC 上游交换机在 RADIUS 服务器方向配置了镜像，会导致 RADIUS 服务器收到两份相同的 EAP 报文，服务器判定异常并返回 Reject——这种故障表现就是客户端反复 deauth。

4. EAP 中继超时或固件兼容性

• AC 默认 dot1x timer supp-timeout 是 30 秒，Win10 在某些 EAP 步骤（证书协商）会慢，可能触发超时 deauth——可临时调大到 60 秒验证
• AC 固件过老对 Win10 新补丁包的 EAP 兼容性差，建议升级到对应产品的最新稳定版

🔧 现场排查顺序（照着做，30 分钟内定位）

1. 缩小范围：找一台能装 H3C iNode 客户端的 Win10 连同一个 802.1X SSID。iNode 能上 → 100% 是 Win10 原生 supplicant 的策略/证书/Credential Guard 问题；iNode 也上不了 → 问题在网络侧
2. AC 上开 debug 抓现场：
   debugging dot1x all debugging radius all debugging wlan client mac xxxx-xxxx-xxxx
   
   看 EAP 协商断在哪一步：是 Access-Challenge 没回去？还是 Access-Reject？还是根本没收到 RADIUS 响应？
3. 查 RADIUS 服务器日志：看是 Access-Accept、Access-Reject 还是无响应。Reject 带 Reason Code 的话直接定位
4. 检查 AC 上的关键配置：
   display dot1x display radius scheme 你的radius方案名 display domain 你的域
   
   确认 dot1x authentication-method eap、service-template 的 client-security authentication-mode dot1x、dot1x domain 都没错
5. 核对密钥与 nas-ip：
   display radius scheme 你的radius方案名
   
   RADIUS 服务器上登记的 AC nas-ip + 共享密钥必须与 AC 上配置一字不差

📌 给你的判断

• iNode 能上 → 问题在 Win10 原生客户端，按上面"根因 1"处理（关 Credential Guard / 装 CA 证书 / 明确 EAP 类型）
• iNode 也上不了 → 问题在 AC 或 RADIUS 侧，按"根因 2/3"用 debug 命令抓包定位