如何配置EAP-TLS客户端证书以让Windows系统识别并使用

我来帮你搞定这个问题——Windows在EAP-TLS场景下识别证书确实有几个严格的规则，你之前的方向是对的，但细节上可能没踩准点。以下是一步步的解决方案：

• 确保证书的扩展密钥用法（EKU）正确配置
  你已经添加了1.3.6.1.5.5.7.3.2（客户端身份验证），这点没问题，但要确认OpenSSL生成时确实生效了。可以用命令certutil -dump <你的证书文件>检查输出里的“扩展密钥用法”部分，是否明确显示“客户端身份验证”。另外，建议把serverAuth也加上（虽然不是必须，但兼容性更好），对应的OID是1.3.6.1.5.5.7.3.1。

• 修正Subject Alternative Name（SAN）的格式
  你之前用的machine/first last格式不对，Windows对机器证书（你导入到Local Computer存储的属于机器证书）的SAN有特定要求：

  • 优先用DNS名称，格式为DNS:<你的计算机全名>，比如你的电脑名叫WIN10-HOME，所在域是local，就写DNS:WIN10-HOME.local。
  • 或者用微软专属的msPrincipalName格式，写法是otherName:msPrincipalName;UTF8:host/<计算机全名>。
    正确的extfile示例如下：

  extendedKeyUsage = clientAuth, serverAuth
  subjectAltName = DNS:WIN10-HOME.local, otherName:msPrincipalName;UTF8:host/WIN10-HOME.local
  

  （注：clientAuth和serverAuth是OpenSSL能识别的OID别名，和直接写数字OID效果一样）

• 确认证书存储与私钥权限
  你导入到Local Computer的“个人”存储是正确的，但要注意两个关键点：

  1. 导入证书时，在向导的“私钥保护”步骤，勾选“标记此密钥为可导出”（如果生成证书时允许导出私钥的话）；
  2. 给Network Service账户授予私钥读取权限：打开certlm.msc（本地计算机证书管理），找到你的证书→右键→所有任务→管理私钥，添加Network Service账户，勾选“读取”权限。

• 手动指定WLAN连接的证书
  有时候Windows的自动证书筛选会失效，你可以手动指定证书：

  1. 打开“网络和共享中心”，找到目标WLAN连接→右键→属性→安全选项卡；
  2. 在“身份验证”部分，点击“设置”按钮（对应EAP-TLS的配置项）；
  3. 在弹出的EAP属性窗口，勾选“使用计算机证书”，然后点击“选择证书”按钮，手动选中你导入的客户端证书；
  4. 同时确保“验证服务器证书”的相关配置符合你的WLAN要求（比如勾选“连接到这些服务器”并填写服务器证书的名称）。

• 检查证书信任链
  一定要给Windows信任你的客户端证书的签发CA：把根CA（或中间CA）的证书导入到Local Computer的“受信任的根证书颁发机构”（如果是根CA）或“中间证书颁发机构”（如果是中间CA）存储里，否则Windows会因为不信任证书而拒绝使用它。

完成以上步骤后，重新尝试连接WLAN，应该就能让Windows正确识别并使用你的客户端证书了。

备注：内容来源于stack exchange，提问作者Seg Fault