思科ISE自签证书配EAP：CA生成、部署与终端信任全流程

ISE版本：2.6及以上，管理界面通过HTTPS访问。

网络管理员具备ISE Administration权限。

终端操作系统：Windows 10/11、macOS 12+、iOS 15+或Android 12+。

已规划EAP子类型：EAP-TLS（需双向证书）或PEAP/EAP-TTLS（仅需服务器证书+用户口令）。

在ISE上执行证书生成（非外部工具），保证证书链与ISE内部一致：

1. 登录ISE管理界面，进入 Administration → System → Certificates → Cisco ISE Self-Signed Certificates。

2. 点击 Generate Self-Signed Certificate，填写：

Distinguished Name：CN建议填写ISE管理IP或域名，O填写企业名。

Validity：365天（生产环境建议90天周期轮换）。

Key Size：RSA 2048。

3. 生成后证书自动存入ISE本地证书库，状态为"Self-Signed"。

4. 若使用PEAP，需额外为EAP-TLS生成客户端证书模板；仅PEAP/EAP-TTLS则只需服务器证书。

5. 下载生成的根CA证书（.cer/.crt格式），留待后续分发。

> 注意：ISE自签CA不具备交叉签名，终端必须显式信任该根证书，否则握手阶段报"certificate chain invalid"。

1. 进入 Configuration → Identity Management → Authentication Policies → EAP Methods。

2. 新建EAP方法（如命名"EAP-PEAP-Internal"）：

EAP Type：PEAP（或EAP-TTLS / EAP-TLS）。

Server Certificate：选择步骤二中生成的自签服务器证书。

勾选 Enable Fast Re-Auth（降低重复认证延迟）。

3. 进入 Configuration → Policy → Authentication Policy，在对应节点将新建的EAP方法关联至目标条件（如SSID、设备类型）。

4. 若使用EAP-TLS，在 Configuration → Identity Management → Certificates 中导入客户端证书CA（可为同一自签CA），并配置证书映射规则（Subject CN → 用户/组）。

5. 保存后执行 Administration → System → Troubleshooting → Clear Cache，确保策略即时生效。

这是最易被遗漏、也是认证失败率最高的环节：

Windows：双击下载的.cer文件→"安装证书"→选择"本地计算机"→存入"受信任的根证书颁发机构"。批量环境通过组策略（Computer Configuration → Windows Settings → Security Settings → Public Key Policies → Trusted Root Certification Authorities）推送。

macOS：双击.cer→钥匙串访问→拖入"系统"钥匙串→双击证书→"信任"→勾选"始终信任"。

iOS/Android：将.cer通过邮件或MDM（如Palm Tree、Jamf）下发至设备，导入后在设置中确认证书状态为"已信任"。

IoT/嵌入式设备：将CA证书写入设备证书存储区（如OpenSSL default trust store路径）大城群众说事，具体路径因SDK而异。

分发完成后，终端在EAP握手阶段即可校验服务器证书链，无需额外弹窗确认。

日志查看入口：ISE Operations → Live Logs → Authentication Log，筛选条件选择对应EAP方法名，可逐帧查看EAP报文。

自签证书周期建议不超过90天，到期前通过ISE证书管理模块批量续期，避免终端信任突然失效。

若后续升级至企业级CA（如Microsoft AD CS、SAP），可将自签CA作为过渡方案平滑替换，终端只需更新信任根。

完整操作截图与配置脚本模板可参考 dcqzss.cn 发布的"ISE EAP部署实操手册"章节，内含各操作系统证书导入的逐屏演示。

按上述步骤执行后，自签证书环境下的EAP认证链路即形成完整闭环：ISE侧证书生成与策略绑定一次完成，终端侧信任分发一次到位，后续仅需关注证书到期续期，无需重复操作。