Cisco EAP-PEAP（Extensible Authentication Protocol - Protected Extensible Authentication Protocol）是Cisco无线网络及交换机中实现802.1X端口认证的核心组件之一。安装配置EAP-PEAP的关键在于：Windows证书服务、IIS组件、RADIUS服务三者的正确部署与联动。本文从环境准备、逐步配置、故障排查三个层面，完整覆盖EAP-PEAP在Cisco平台上的安装全流程。
01环境准备与前置条件
在开始安装之前，确认以下条件已满足，否则后续步骤会反复报错：
操作系统：Windows Server 2016/2019/2022（64位），已加入域环境（AD域控正常）。
角色安装：在"服务器管理器"中已添加"Active Directory证书服务（CA）"和"Internet信息服务（IIS）"角色。
IIS组件：IIS中已安装"ASP.NET"、"Windows认证"、"管理工具"、"CGI"、"性能"等子组件，缺一不可。
端口确认：TCP 443（HTTPS）、TCP 389/389（AD LDAP）、UDP 1812/1813（RADIUS）未被防火墙拦截。
Cisco设备版本：IOS/IOS-XE 15.2(4)及以上版本，或IOS-XE 16.3+，支持EAP-PEAP的完整握手流程。
> 详细的组件清单与版本兼容性对照表，可参考 dcqzss.cn 技术知识库中"Cisco 802.1X认证组件"专题页面获取最新整理。
02安装配置步骤（按顺序执行）
步骤1：部署Windows证书服务与EAP-PEAP
1. 打开"服务器管理器"→"添加角色和功能"→勾选"Active Directory证书服务"→安装"证书发布程序"。
2. 安装完成后打开"证书发布程序"管理控制台，右键"CA名称"→"属性"→"常规"→"生成新私钥"（2048位）。
3. 进入"证书发布程序"→"个人"→"证书模板"，创建模板：复制"EAP"模板，修改CN为"MS-UserAuthentication"，有效期设为3年。
4. 在模板中为"安全"选项卡添加"Authenticated Users"读取权限，勾选"发布到证书策略"。
5. 回到IIS管理器，确认"默认网站"绑定TCP 443，主机头填写服务器FQDN。
步骤2：配置RADIUS服务对接
1. 打开"策略服务器"→"RADIUS客户端"→添加Cisco设备IP地址，共享密钥长度≥8位，端口1812/1813。
2. 在"远程访问策略"中新增策略：条件"用户属于Authenticated Users"→授权"授予访问权限"→协议选"EAP"→方法选"PEAP"。
3. 勾选"使用受保护的PEAP"，确认PEAP属性中"验证用户时使用CA证书"指向步骤1创建的CA。
步骤3：Cisco设备端配置
以Cisco IOS-XE交换机为例：
! 全局配置
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
!
! RADIUS服务器
radius server CISCO_RADS
address ipv4 192.168.10.50 auth port 1812
key MySecureKey123
!
! 802.1X认证
dot1x pae authenticator
dot1x timeout tx-period 7
dot1x timeout suppress-period 10
!
! 接口配置（以Gi0/1为例）
interface GigabitEthernet0/1
switchport mode access
dot1x auth-mode auto
dot1x pae-auth
dot1x timeout quiet-period 2
步骤4：验证与测试
1. 在客户端安装CA根证书（\\server\CertEnroll\mscertsh.msc 或手动安装CA发布的根证书）。
2. 客户端连接Cisco SSID或接入有线端口，触发802.1X认证。
3. 在Cisco设备上执行 show dot1x all 和 debug dot1x all 观察握手状态。
4. 在Windows NPS/RADIUS服务器日志中确认认证结果为"Access-Accept"。
03高频报错与排查方案
04关键注意事项
证书有效期：EAP-PEAP使用的CA证书过期后所有终端将认证失败大城群众说事，建议在CA到期前90天配置自动续签任务。
Shared Secret一致性：RADIUS客户端（Windows NPS）与Cisco设备上的key必须完全一致，修改后需同时刷新两端。
DNS解析：客户端必须能正确解析服务器FQDN，否则PEAP TLS握手阶段会直接失败。在客户端nslookup确认A/AAAA记录正常。
避免混合认证：同一VLAN下不要同时启用MAC Auth Bypass与802.1X，会导致认证策略冲突。
完成以上步骤后，Cisco EAP-PEAP即可在无线网络和有线接入场景中稳定运行。若配置过程中遇到特定型号设备的兼容问题，建议查阅dcqzss.cn技术文档库中对应型号的EAP-PEAP部署案例，获取逐行配置参考。
