WX3508H-苹果新版本无法连接WiFi

这是苹果iOS 26.4.2及以上版本对802.1X认证的证书信任机制变更导致，不是WX3508H本身故障。苹果新系统对EAP-TLS/PEAP等认证的服务器证书校验更严格，如果证书链不完整、证书过期、或证书的SAN/CN与RADIUS服务器地址不匹配，会直接拒绝认证且不弹信任提示。
排查步骤：
1. 确认RADIUS服务器证书状态
在RADIUS服务器（如Windows NPS、FreeRADIUS）上检查证书是否过期、证书链是否完整（含中间CA）。苹果要求完整证书链，缺中间证书会导致不弹信任。
2. 检查证书SAN字段
苹果新版本要求证书的Subject Alternative Name (SAN) 必须包含RADIUS服务器的FQDN或IP，且与WX3508H上配置的RADIUS服务器地址一致。仅CN匹配不够。
3. 在WX3508H上查看认证日志

display dot1x connection
display radius scheme
debugging dot1x all
debugging radius packet

看苹果终端认证时RADIUS是否返回Access-Reject，以及EAP协商到哪一步失败。
4. 苹果侧手动信任证书测试
在苹果设备上手动安装RADIUS服务器证书（通过描述文件或Safari下载），再到“设置-通用-关于本机-证书信任设置”中开启完全信任。如果手动信任后能连，确认是证书链问题。
5. 临时验证：关闭服务器证书校验
在WX3508H的802.1X配置中，如果RADIUS方案支持，可临时将eapol的认证方式改为PEAP+MSCHAPv2且不校验服务器证书（部分版本支持undo validate-certificate），确认苹果能否连接。但生产环境不建议长期关闭。
关键配置检查（WX3508H侧）：
dot1x authentication-method eap
radius scheme xxx
primary authentication x.x.x.x
key authentication cipher xxx
确保RADIUS服务器地址与证书SAN一致。
建议优先更新RADIUS服务器证书为受苹果信任的公共CA签发证书，或使用企业自有CA但完整部署证书链到苹果设备。