Windows下配置基于证书的802.1X准入核心是EAP-TLS认证，需协同完成证书分发（Intune PKCS/SCEP部署或手动导入）、Intune网络策略配置（指定EAP-TLS、身份验证模式及服务器验证）和后端RADIUS/交换机就绪（信任同一CA、启用802.1X强制认证）。
在 windows 环境下配置基于证书的 802.1x 网络准入，核心是让设备通过 eap-tls 协议，用客户端证书完成身份验证，全程无需输入账号密码。关键不在系统手动勾选，而在于证书分发、网络策略部署和 eap 配置三者的协同。
确保证书已正确安装并受信任
客户端必须持有由企业 CA 签发的有效证书（通常为用户证书或设备证书），且该 CA 的根证书必须存在于 Windows 的“受信任的根证书颁发机构”存储中。
- 证书通常通过 Intune 的 PKCS 或 SCEP 配置文件自动部署；若手动安装，需双击 .cer 文件导入根 CA，双击 .pfx 文件导入客户端证书（含私钥）
- 运行 certmgr.msc 检查：个人 → 证书 中有对应证书，受信任的根证书颁发机构 → 证书 中有签发该证书的 CA
- 证书的“增强型密钥用法”必须包含“客户端身份验证”，主题或使用者可选名称（SAN）应匹配设备标识（如 UPN 或 DNS 名称）
在 Intune 中创建并部署 802.1X 有线/无线网络配置文件
使用 Microsoft Intune 统一推送网络策略，避免逐台配置。配置文件需明确指定 EAP 类型与证书使用方式。
- 登录 Intune 管理中心 → 设备 → 配置 → 创建新策略 → 平台选“Windows 10 及更高版本”，类型选“有线网络”或“Wi-Fi”
- 在“EAP 类型”中选择 EAP-Transport Layer Security (EAP-TLS)
- “身份验证模式”选“用户”（用用户证书）或“计算机”（用设备证书）；若选“用户或计算机”，系统会优先尝试用户证书，无用户登录时回退到设备证书
- 勾选“服务器验证”并填入 RADIUS 服务器域名（如 radius.contoso.com），确保其与服务器证书中的 CN 或 SAN 一致
- 将配置文件分配给目标设备组或用户组，策略生效后设备自动应用
在 Windows 端验证 EAP 配置与连接行为
策略部署后，系统底层会生成 EAP 配置文件。可检查是否生效，并确认连接时是否调用证书而非弹窗输密。
- 打开“网络连接”→ 右键对应以太网或 WLAN 适配器 → 属性 → 安全 → 在“身份验证方法”中确认已设为“受保护的 EAP (PEAP)”以外的选项，实际应为“智能卡或其他证书”（即 EAP-TLS）
- 连接网络时，不会出现用户名/密码输入框；若弹出证书选择窗口，说明流程正常；若提示“找不到证书”，则需检查证书存储位置或权限
- 命令行运行 netsh wlan show profiles（无线）或查看事件查看器 → Windows 日志 → System 中 ID 为 8001 的日志，可定位 EAP-TLS 握手失败原因
配套基础设施需就绪
客户端配置只是终端一环，后端 RADIUS 服务（如 NPS 或 Cisco ISE）和证书体系必须同步支持。
- RADIUS 服务器必须配置为接受 EAP-TLS，并信任同一 CA 根证书；需在 NPS 中导入服务器证书，并在网络策略中启用“Microsoft: Smart Card or other certificate”
- 交换机或无线控制器需启用 802.1X，端口设置为“强制认证”，并指向正确的 RADIUS 服务器地址与共享密钥
- 若使用 SASE 平台，证书通常由 SASE App 自动下发，此时只需确保 App 已安装、登录并完成证书授权（macOS/iOS 需手动点“安装”）
