使用OpenWRT连接ATT GPON时wpa_supplicant EAP认证失败的解决方法

遇到这个EAP-TLS认证失败的问题，我帮你梳理几个社区里验证过的常见排查和解决方向：

• 先检查客户端证书、密钥与CA证书的配置
  ATT的EAP-TLS认证依赖合法的客户端证书链，你需要确认这几点：

  • 确保你已经拿到ATT提供的正确客户端证书（通常是.p12格式），如果是这种格式，得用openssl转换成单独的crt和key文件：

    openssl pkcs12 -in your_att_cert.p12 -out client.crt -clcerts -nokeys
    openssl pkcs12 -in your_att_cert.p12 -out client.key -nocerts -nodes
    

  • 打开wpa_supplicant的配置文件（一般在/etc/wpa_supplicant/wpa_supplicant.conf），确认配置项正确指向证书文件：

    network={
        ssid="ATT-GPON"
        key_mgmt=IEEE8021X
        eap=TLS
        ca_cert="/etc/certs/att_ca.crt"
        client_cert="/etc/certs/client.crt"
        private_key="/etc/certs/client.key"
        private_key_passwd="your_key_password" # 如果密钥设置了密码就加上这行
    }
    

  • 证书文件的权限要对，得让wpa_supplicant进程能读取：

    chmod 600 /etc/certs/*.crt /etc/certs/*.key
    chown root:network /etc/certs/*.crt /etc/certs/*.key
    

• 验证证书链的有效性
  用openssl工具检查客户端证书是否被ATT的CA正确签名，避免证书不匹配：

  openssl verify -CAfile att_ca.crt client.crt
  

  如果返回OK说明证书链没问题；如果报错，要么是你用的CA证书不对（得用日志里提到的“ATT Services Inc Enhanced Services CA”对应的证书），要么是证书链不完整，需要把中间CA和根CA合并成一个文件。

• 检查wpa_supplicant版本与TLS兼容性
  旧版本的wpa_supplicant可能对高版本TLS支持不好，先升级试试：

  opkg update && opkg upgrade wpa_supplicant
  

  另外，ATT可能只支持TLS 1.2及以上版本，你可以在配置里禁用旧版本TLS：

  network={
      # 其他原有配置...
      tls_disable_tlsv1_0=1
      tls_disable_tlsv1_1=1
  }
  

• 确认GPON端口的VLAN设置
  ATT的GPON通常要求指定特定的VLAN ID（比如VLAN 0或100，不同地区可能不同），你需要在OpenWRT的网络配置里给WAN口加上VLAN标签：
  编辑/etc/config/network：

  config interface 'wan'
      option ifname 'eth0.100' # 替换成你所在地区的VLAN ID
      option proto 'dhcp' # 部分地区可能是pppoe，根据ATT要求调整
      # 如果需要账号密码，加上下面两行
      # option username 'your_att_username'
      # option password 'your_att_password'
  

  同时要确保wpa_supplicant绑定在这个VLAN接口上，启动命令里加上-i eth0.100（对应你的VLAN接口名）。

• 查看详细调试日志定位问题
  如果上面的方法都没解决，启动wpa_supplicant时加上-d参数获取详细日志，能帮你精准定位是证书验证失败、密钥错误还是握手问题：

  wpa_supplicant -i eth0.100 -c /etc/wpa_supplicant/wpa_supplicant.conf -d
  

  从详细日志里你能看到更具体的错误原因，比如是否是证书过期、密码错误等。

备注：内容来源于stack exchange，提问作者Evan Carroll