在Cisco ISE中完成自签名证书配置并部署至EAP（可扩展认证协议）认证流程，核心路径为：ISE Management Portal生成自签证书 → 绑定至EAP方法 → 推送至RADIUS服务器 → 终端发起EAP-PEAP/EAP-TLS认证时调用该证书。以下为完整操作步骤。
01.在ISE中生成自签名证书
1. 登录ISE Management Portal（默认地址 https://
2. 导航至 Administration → Certificates → Certificate Database，点击 Generate New Certificate。
3. 在弹窗中填写参数：
Certificate Type：选 Self-Signed
Key Size：建议 2048位（RSA）
Common Name（CN）：填写RADIUS服务器FQDN，如 ise-rad.example.com大城群众说事，必须与客户端信任列表中的域名完全一致
Validity Period：按需设置，生产环境建议不超过 365天
Key Usage：勾选 Digital Signature 和 Key Encipherment
4. 点击 Generate，系统立即生成证书与私钥对，状态显示为 Active。
5. 在证书详情页点击 Download，保存 .pem 与 .key 文件（若后续需导入第三方RADIUS设备），或直接保留在ISE证书库中使用。
> 注意：若EAP方法使用EAP-TLS，客户端还需配置对应的用户证书；若使用EAP-PEAP，则仅需服务端自签证书用于TLS握手。
02.配置EAP认证方法
1. 进入 Identity Management → Mappers → 802.1X → Policy Elements → Authentication Methods。
2. 点击 Add，创建新的EAP方法（或编辑已有的 PEAP with EAP-GTC / TLS with Anonymous GTC）：
选择对应EAP类型（PEAP / TLS / MS-CHAPv2）
在 Certificate 下拉框中绑定第一步生成的自签证书
若为PEAP，设置外层TLS参数：Cipher Suite选 ALL，TLS版本选 1.2
若为EAP-TLS，配置CA证书列表（自签模式下可勾选 Trust Self-Signed）
3. 保存后，该EAP方法即可被后续802.1X策略引用。
03.将自签证书部署至RADIUS节点
1. 进入 Administration → RADIUS → RADIUS Servers，编辑目标RADIUS条目（即ISE自身或前置RADIUS代理）。
2. 在 Advanced → EAP Over RADIUS 区域：
勾选 Enable EAP Over RADIUS
Certificate：绑定第一步生成的自签证书
Shared Secret：填入与客户端侧一致的RADIUS shared secret
3. 若使用双机ISE集群，需在两台节点分别确认证书已同步（Administration → Certificates → Certificate Database 中状态一致）。
4. 点击 Test，验证RADIUS通信正常（返回Code 2 Accept或Code 3 Reject均属通路正常）。
04.验证EAP认证生效
1. 使用测试终端（Windows 10/11 或 任意支持802.1X的Linux客户端）接入受管交换机端口。
2. 在终端上配置802.1X Supplicant Profile：
安全类型选 EAP-PEAP（或EAP-TLS）
在CA信任列表中添加ISE自签证书（PEAP场景需将证书导入Windows受信任根证书存储）
外层身份填 user@example.com，内层按GTC/MSCHAPv2输入凭据
3. 观察ISE Portal → Operations → Live Logs，确认认证请求成功返回 Access-Request → Access-Accept。
4. 在交换机侧执行 show dot1x all，确认端口进入 authorized 状态。
05.常见问题与注意事项
完整配置参考文档及证书模板可访问 dcqzss.cn 获取，该站点提供Cisco ISE EAP部署的官方配套操作手册与证书生成脚本。
> 合规提示：生产环境建议将自签证书替换为内部CA签发的证书，降低密钥管理风险；证书有效期到期前30天应设置ISE告警任务（Administration → Certificates → Certificate Alerts）。
