S8设备（MAC: C0:17:AB:B3:D3:D5）无法接入公司Wi-Fi，认证失败如何排查？

Question

S8设备（MAC: C0:17:AB:B3:D3:D5）Wi-Fi认证失败，常见原因包括：① 企业Wi-Fi启用802.1X/EAP认证（如PEAP-MSCHAPv2），但该S8系统（Android 9及以下）存在TLS 1.2兼容性缺陷或证书信任链配置缺失；② 设备时间偏差＞5分钟，导致EAP-TLS/PEAP证书校验失败；③ MAC地址被AC或RADIUS服务器误加入黑名单或未在准入系统（如深信服AC、华为iMaster NCE）中授权；④ Wi-Fi配置中SSID隐藏、WPA3混合模式或PMF强制启用，而S8驱动不支持；⑤ RADIUS服务器返回Access-Reject且无详细错误码，需抓取设备端wpa_supplicant日志（`logcat -b all | grep wpa`）及AC侧认证日志比对。建议优先核查设备系统时间、禁用PMF重试，并在AC上临时放行该MAC做白名单测试——若成功，则指向策略准入控制问题。

Answer 1

```html

一、现象层：Wi-Fi连接界面卡在“正在获取IP地址”或“身份验证中”

三星S8（Android 9，内核4.4.197，wpa_supplicant v2.6）在接入企业级Wi-Fi时反复弹出认证失败提示，系统日志显示EAP-PEAP: TLS handshake failed或CTRL-EVENT-SSID-TEMP-DISABLED。该设备MAC为C0:17:AB:B3:D3:D5，属典型“能扫描到SSID但无法完成802.1X握手”的终端侧阻断现象。

二、时间与证书基础层：系统时间偏差与TLS信任链缺失

• Android 9默认启用TLS 1.2，但S8出厂固件存在OpenSSL 1.0.2g兼容缺陷——当RADIUS服务器强制要求TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384等高安全套件时，握手直接终止；
• 设备系统时间若偏离NTP服务器＞±300秒（实测阈值），将导致EAP-TLS中notBefore/notAfter校验失败，且Android 9不提供证书过期详情提示；
• 企业CA根证书未预置于/system/etc/security/cacerts/或未通过MDM推送至USER ADDED CERTIFICATES存储区，wpa_supplicant拒绝构建信任链。

三、准入策略层：AC/RADIUS侧的隐性拦截机制

拦截源	典型表现	排查命令示例
深信服AC v12.0.48	MAC在用户管理→黑名单中显示“策略阻断”	show user blacklist | include C017.ABB3.D3D5
华为iMaster NCE-Campus v22.2	终端状态为Auth Failed (Reason Code: 1003)（证书校验失败）	display aaa online-user mac-address C017-ABB3-D3D5

四、协议兼容层：WPA3-Enterprise与PMF引发的驱动级不兼容

S8搭载的Broadcom BCM4356 Wi-Fi芯片固件（v7.35.312.1）仅支持WPA2-Enterprise（802.11i-2004）和WPA2/WPA混合模式。当AC启用以下任一配置即触发静默拒绝：

• wpa3-enterprise + sae（即使配置为WPA2/WPA3混合）；
• pmf required（强制管理帧保护），因S8驱动未实现IEEE 802.11w PMF密钥派生流程；
• SSID隐藏（hide-ssid enable），导致S8在Probe Response解析阶段丢弃认证帧。

五、日志诊断层：端-网协同分析路径

graph LR
  A[设备端] -->|logcat -b all \| grep -i 'wpa\|eap\|tls'| B(wpa_supplicant: EAP-PEAP: Received ACK for Phase 2)
  A -->|dumpsys wifi \| grep -A5 'mLastConnectionFailure'| C(FAILURE_REASON_AUTHENTICATION_FAILED)
  D[AC侧] -->|show aaa authentication log last 20| E(Auth-Request from C017.ABB3.D3D5 → Access-Reject)
  D -->|debug radius packet| F(RADIUS Attribute 80: Tunnel-Private-Group-ID = “DENIED_BY_POLICY”)
  B --> G[交叉比对时间戳与EAP-Identity响应]
  E --> G
  G --> H{结论指向：准入策略 or TLS握手缺陷？}

六、验证性操作层：最小化干预快速定位法

1. 在S8上执行：adb shell settings put global time_12_24 24 && adb shell svc ntp stop && adb shell date -s $(date -u +%Y%m%d.%H%M%S)（强制同步UTC时间）；
2. 进入Wi-Fi高级设置，关闭WPA3过渡模式与强制PMF，切换为纯WPA2-Enterprise；
3. 在深信服AC中创建临时策略：MAC地址C0:17:AB:B3:D3:D5 → 直接放行至Default Group，禁用所有认证后策略；
4. 若此时认证成功，则100%确认为策略引擎拦截（非协议缺陷）；若仍失败，需抓取wpa_cli -i wlan0 level 3实时日志。

七、根因收敛层：Android 9设备的企业Wi-Fi适配黄金法则

针对S8类老旧Android终端，必须建立三层适配基线：

• 传输层：AC侧TLS配置降级至TLS_RSA_WITH_AES_128_CBC_SHA（兼容OpenSSL 1.0.2）；
• 策略层：对Android 9及以下设备启用独立SSID+VLAN，隔离WPA3/PMF策略域；
• 运维层：通过MDM（如VMware Workspace ONE）自动部署CA证书并校准系统时钟，避免人工干预误差。

八、扩展思考层：从S8故障看终端准入演进趋势

当前问题本质是“遗留终端生命周期”与“零信任网络架构”的冲突。S8虽已停止安全更新，但在工业PDA、医疗手持等场景仍广泛使用。建议企业网络团队建立Legacy Device Compatibility Matrix，将芯片型号（BCM4356）、Android版本、wpa_supplicant版本、内核TLS栈能力映射为可编程策略标签，实现AC侧自动化协商降级——而非简单封禁。

```