关于802.1x EAP-TTLS结合GoDaddy证书的客户端证书验证及AAA服务器可达性问题

嘿Torsten，我来帮你拆解这个问题，分两部分说清楚核心点，顺便解决Android设备的证书验证故障：

一、客户端是否需要DNS解析/直接访问AAA服务器？ #

答案是不需要。EAP-TTLS的工作机制是通过无线控制器（你的认证器）作为中继，在客户端和AAA服务器之间转发EAP消息的。客户端只需要和无线AP保持正常通信就行，完全不需要直接访问AAA服务器，也不用通过DNS去解析它的地址——所有和AAA服务器的交互都由控制器代劳了。所以你把AAA服务器放在单独的、只有控制器能访问的网络里，这个架构是完全没问题的，不会影响客户端的认证流程。

二、Android设备的证书验证错误排查建议 #

你提到大部分设备正常，只有少数Android设备报证书错误，手动接受后就能连接，说明问题出在Android设备对证书链的信任逻辑或者服务器证书的配置细节上，给你几个排查方向：

• 检查服务器证书的SAN字段：现在很多新版本的Android系统强制要求服务器证书包含**Subject Alternative Name（SAN）**字段，只靠Common Name（CN）已经无法通过验证了。你可以确认下GoDaddy给你的证书里，SAN是否包含客户端配置中指定的服务器身份标识（比如如果客户端配置的是AAA服务器的FQDN，SAN里必须有这个域名）。如果是旧的GoDaddy证书可能没有SAN，需要重新申请带SAN的证书。
• 确认证书链的发送顺序：虽然你说服务器发送了完整链，但要确保发送顺序是服务器证书在前，然后是中间CA证书（如果有多层中间，按从下到上的顺序），根CA证书其实可以不用发送（因为主流设备的信任存储里都预装了GoDaddy的根CA）。如果顺序搞反了，有些Android设备可能无法正确构建信任链，导致验证失败。
• 检查Android设备的根CA信任情况：少数定制ROM的Android设备可能移除了部分公共根CA，比如某些国产厂商的系统。你可以在出问题的Android设备上，进入「设置→安全→信任的凭据」，看看是否有GoDaddy的根CA（通常叫“Go Daddy Root Certificate Authority - G2”之类的）。如果没有，要么手动导入根CA，要么让服务器在证书链里包含根CA（不过更推荐前者，因为根CA预装才是标准情况）。
• 验证证书的安全属性：确保你的GoDaddy证书用的是SHA-256及以上的签名算法（SHA-1已经被Android等系统弃用），并且证书有效期没有超出Android系统允许的范围（比如现在很多系统不接受有效期超过13个月的证书）。

按照这些方向排查，应该能解决Android设备的证书验证问题。

备注：内容来源于stack exchange，提问作者Torsten Wilms