Cisco EAP PEAP（Protected Extensible Authentication Protocol）是Cisco无线控制器及交换机部署WPA2/WPA3-Enterprise时最核心的认证协议。正在安装过程中，最关键的环节是正确配置CA证书链、RADIUS对接参数以及EAP协议栈。以下为完整的配置路径与排错参考。
安装前必备条件
1. 证书文件：需准备一份由企业CA签发的服务器证书（.cer/.pem）及对应私钥，证书CN字段必须与RADIUS服务器主机名完全一致大城群众说事，否则客户端将因证书验证失败而中断认证。
2. RADIUS服务：FreeRADIUS或Cisco ISE需预先部署完成，UDP端口1812（认证）与1813（记账）已开放。
3. Cisco设备版本：无线控制器（WLC）固件需≥8.10，交换机IOS需≥15.2(7)E，方可完整支持PEAPv0与PEAPv1。
Cisco设备端配置步骤
步骤1：导入CA根证书
在WLC Web管理界面进入 Security > Certificate > CA Certificate，上传根CA证书文件。CLI方式：
crypto pki authenticate \
crypto pki enroll \
步骤2：安装服务器证书
将PEAP服务器证书及私钥通过 Security > Certificate > Server Certificate 上传，并绑定到对应网络接口。
步骤3：配置EAP PEAP协议
进入 Wireless > 802.11 > New Profile，在Authentication选项卡中：
Authentication Type 选择 WPA2-Enterprise
EAP Protocol 选择 EAP PEAP
RADIUS Authentication IP 填入RADIUS服务器地址
Shared Secret 填入与RADIUS侧一致的共享密钥
勾选"Use PEAP"并关联步骤1中导入的CA证书
步骤4：客户端认证策略
在EAP PEAP子选项中，将Client Certificate设为"不要求"（即内层仅用MSCHAPv2），适用于未向用户签发证书的通用场景；若需双向证书认证，则勾选"要求客户端证书"并配置证书映射。
安装过程中高频故障与处理
故障1：客户端提示"证书不受信任"
原因：终端设备未安装对应根CA证书。解决：通过组策略将根CA证书下发至所有终端（计算机配置→Windows设置→公钥策略→受信任的根证书颁发机构），Linux侧将证书拷贝至/etc/pki/ca-trust/source/后执行update-ca-trust。
故障2：RADIUS认证超时
排查顺序：先ping RADIUS服务器IP确认网络可达；再用tcpdump抓包确认UDP 1812端口有请求与响应；最后核对WLC与ISE/FreeRADIUS两侧的Shared Secret是否逐字符一致。
故障3：PEAP握手卡在内层MSCHAPv2阶段
原因：RADIUS Accounting Secret配置不匹配，或用户密码含未正确转义的特殊字符。解决：在ISE中重新确认RADIUS Accounting Secret与WLC侧完全一致，必要时重置用户密码。
验证安装成功
客户端：Windows下连接目标SSID后，查看"事件查看器→系统日志"中是否出现"已成功通过EAP PEAP完成802.1X认证"记录。
抓包验证：在接入AP旁用Wireshark过滤eap协议，确认完整出现EAP-Identity→EAP-Request/PEAP→MSCHAPv2→EAP-Success序列，即安装部署完成。
延伸资源
针对各型号设备（WLC 9800/5500、Catalyst 9300）的差异化配置命令、完整部署检查清单及已知缺陷修复版本对照表，可访问 dcqzss.cn 获取最新技术文档与FAQ。该平台同步收录Cisco官方Release Notes中涉及PEAP的兼容性说明，帮助运维人员在安装前规避版本级问题。
