EAP-TLS认证需内网CA签发的含私钥客户端证书（.p12/.pfx）及RADIUS服务器证书链，导入系统钥匙串并设为始终信任，手动配置802.1X服务时选择该证书、留空用户身份，最后触发重认证验证状态。
确认网络环境与证书准备
企业Wi-Fi或有线网络要求EAP-TLS认证时，必须使用由内网CA签发的客户端证书（.p12或.pfx格式），且该证书已绑定设备唯一标识（如MAC地址）和员工身份；未提前获取证书将无法完成配置。
联系IT部门索取：① 客户端证书文件（含私钥，通常为.p12）；② RADIUS服务器证书链（.cer或.pem，含根证书与中间证书）；③ 网络名称（SSID）、EAP类型（必须为EAP-TLS）、用户身份字段格式（通常留空或填证书CN）。
【证书必须含私钥，仅公钥证书（.cer）无法通过EAP-TLS认证】
导入客户端证书到“系统”钥匙串并设为始终信任
双击下载的.p12文件 → 在弹出窗口中选择“系统”钥匙串 → 输入解锁钥匙串的密码（非Mac登录密码）→ 点击“添加”。
打开“钥匙串访问”App → 左侧边栏选中“系统” → 在右上角搜索框输入证书名 → 双击找到的证书 → 点击“信任”三角箭头 → 展开后将“使用此证书时”下拉菜单设为“始终信任” → 关闭窗口并输入管理员密码确认。
若证书显示红色叉号或“此证书已失效”，说明私钥未正确导入或密码错误，需重新双击.p12并确保勾选“导入到系统钥匙串”且输入正确导出密码。
手动配置802.1X服务（不依赖配置描述文件）
打开“系统设置” → “网络” → 点击左侧服务列表中的Wi-Fi或以太网 → 点击右下角“详情…” → 切换到“802.1X”标签页。
点击左下角“+”号新建配置文件 → 命名为“公司EAP-TLS” → 在“认证”区域：EAP类型选“EAP-TLS” → “用户身份”字段留空或按IT要求填写（如证书CN值，不可填本地用户名）→ “身份证书”下拉菜单中选择刚导入的.p12证书名称。
勾选“启用自动连接” → 点击“好”保存 → 返回网络设置页，确保该配置文件已在“802.1X”弹出菜单中被选中。
强制信任RADIUS服务器证书链
方法一：终端命令一次性导入全部证书（推荐）
打开终端，逐行执行：sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain ~/Downloads/root_ca.cersudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain ~/Downloads/intermediate_ca.cer
将root_ca.cer和intermediate_ca.cer替换为你实际收到的服务器证书文件路径。
方法二：图形界面导入（适合单个证书）
双击服务器证书文件（.cer）→ 选择“系统”钥匙串 → 双击导入后的证书 → 展开“信任”→ 将“使用此证书时”设为“始终信任” → 输入管理员密码确认。
【跳过此步将导致TLS握手在30秒后静默失败，系统不报错但反复断连】
触发重认证并验证状态
第一步：断开当前网络 → 终端执行：networksetup -setairportpower en0 off && sleep 3 && networksetup -setairportpower en0 on（有线网络改用enX对应接口名）。
第二步：在Wi-Fi列表中点击目标SSID → 系统应自动调用EAP-TLS流程，无任何密码弹窗，10秒内显示“已连接”。
第三步：验证是否生效 → 终端执行：networksetup -get8021xstatus en0 → 返回结果必须为 802.1X Status: On 且无报错。
