FreeRadius - Windows 计算机证书的 EAP-TLS 问题

Question

最近我们想实现带有 EAP-TLS 验证的 Freeradius。在Windows上，当我们为当前用户安装证书时，一切都很好。

当我们尝试为整台计算机安装证书时会出现主要问题（我们希望所有计算机用户都可以使用相同的证书访问网络）。当我们这样做时，Windows 在用户名之前添加一个“host/”。这会导致 EAP 从用户处获取的用户名与证书中的用户名之间存在差异。如果 EAP 配置文件（mods-enabled/eap）中没有“check_cert_cn = %{User-Name}”行，它可以工作，但我们希望保持该验证（如果没有它，用户可以使用“users”文件中的任何用户名登录，这是不是问题）。我觉得我们错过了一些明显的东西。

我们已经搜索了文档、论坛和 Freeradius 邮件列表几天，但没有找到此特定问题的答案。 我们尝试过：

• 设置将从用户名中删除“主机/”的预处理 - 我们收到错误“身份与用户名不匹配，从 EAP 身份设置”
• 使用领域“host/”添加本地代理 - 与之前的尝试相同的错误
• 在证书创建过程中手动添加“主机/”到名称 - 导致“主机/主机/用户名”

Answer 1

您还需要这方面的帮助吗？