一、基础配置阶段（图形界面或 nmcli）

第一步：确认最基本的 802.1X 参数

在连接 HRBUST-Student-Auto 时，核心配置项如下：

安全类型：选择 WPA2 企业（或“WPA & WPA2 企业”）
EAP 类型（认证方式）：选择 PEAP（Protected EAP）
PEAP 版本：设为自动
内部二阶段认证：选择 MSCHAPv2
用户名：学号；密码：校园网密码

第二步：用 nmcli 命令重建连接（比图形界面更可控）

如果图形界面配不好，建议用命令行直接创建连接：

# 删除旧的错误配置
sudo nmcli con delete "HRBUST-Student-Auto"

# 重新创建（PEAP + MSCHAPv2，加上域名匹配）
sudo nmcli con add type wifi con-name "HRBUST-Student-Auto" ssid "HRBUST-Student-Auto" \
  wifi-sec.key-mgmt wpa-eap \
  802-1x.eap peap \
  802-1x.phase2-auth mschapv2 \
  802-1x.identity "你的学号" \
  802-1x.password "你的密码" \
  802-1x.domain-suffix-match "smp.ruijie.com.cn"

# 连接
sudo nmcli con up "HRBUST-Student-Auto"

这里要说明：学校文档里提到 Android 端需要填写域名 smp.ruijie.com.cn，对应 Linux 上就是 802-1x.domain-suffix-match，且连接不校验证书（留空即可）。

第三步：如果连不上，先做诊断而不是盲目改参数

写一个一键诊断脚本，采集关键信息：

#!/bin/bash
echo "=== 无线网卡状态 ==="
nmcli radio wifi
nmcli device status
echo "=== 搜索到的HRBUST信号/当前连接 ==="
nmcli -f IN-USE,SSID,SIGNAL,SECURITY dev wifi list | grep -iE "IN-USE|hrbust|auto"
echo "=== NetworkManager 与 wpa_supplicant 最近日志 ==="
journalctl -u NetworkManager -u wpa_supplicant -n 40 --no-pager
echo "=== 内核无线驱动日志 ==="
dmesg | grep -iE "wifi|wlan|wireless|802\.11" | tail -30
echo "=== wpa_supplicant 配置文件（密码已隐去） ==="
if [ -f /etc/wpa_supplicant/wpa_supplicant.conf ]; then
    grep -E "ssid|key_mgmt|eap|phase2|identity|network" /etc/wpa_supplicant/wpa_supplicant.conf | sed 's/password=.*/password=***隐去***/'
else
    echo "（未找到 /etc/wpa_supplicant/wpa_supplicant.conf）"
fi
echo "=== NetworkManager 连接配置里的 802.1X 参数 ==="
for f in /etc/NetworkManager/system-connections/*; do
    [ -f "$f" ] || continue
    echo "--- $f ---"
    grep -iE "ssid|key-mgmt|eap|phase2|identity|password|ca-cert" "$f" 2>/dev/null | sed -E 's/password(-raw)?=.*/\1=***隐去***/'
done
echo "=== 当前IP/路由 ==="
ip addr show | grep -E "wlan|wifi|wl"
ip route
echo "=== 诊断结束 ==="

诊断输出的对照表：

日志关键字	说明问题出在哪
`EAP ... Authentication failed`	认证层：用户名/密码/PEAP/MSCHAPv2 参数错
`4-Way Handshake completed`	认证已通过，问题在 IP/DHCP
`no network with matching security`	安全/加密类型没配对
`association failed / deauth`	射频/关联层问题
没有 inet 地址	认证过了但没拿到 IP，需手动 `sudo dhclient wlan0`

二、深层排障阶段（核心干货）

常见误区一：反复要密码 ≠ 密码错误

如果 nmcli con up 后提示“Passwords or encryption keys are required”，或者 journalctl 里有 no secrets 或 Secrets were required, but not provided，不代表密码错了。这通常是凭据没有被正确传递（比如没带 --ask，或 keyring 没挂上）。用 --ask 方式连接即可交互输入：

sudo nmcli con up "HRBUST-Student-Auto" --ask

常见误区二：关联后立刻断开 ≠ 驱动或射频问题

如果日志显示 associated -> disconnected（关联后 2-3 秒必断），并且 reason=3 (DEAUTH_LEAVING)，看起来像射频/驱动问题，但其实很可能是更深层的认证协商失败。不要急着改 PMF、关省电、换信道。

真正的核心关键：OpenSSL 3 与校园网老 TLS 的兼容性

在 Ubuntu 26.04 等新系统上，最隐蔽也最常见的坑是 OpenSSL 3 默认禁用了老版本 TLS 所需算法。日志里可能出现：

TLS: Unsupported Phase2 EAP method 'MSCHAPv2'
SSL: SSL3 alert: write... fatal: protocol version
OpenSSL: openssl_handshake - SSL_connect error:0A000102:SSL routines::unsupported protocol

这个报错的含义是：校园网锐捷认证服务器只支持很老的 TLS 协议（TLSv1.0/1.1），而系统 OpenSSL 3 默认安全级别拒绝这些旧握手。

排查步骤（按顺序）：

第 1 步：确认 OpenSSL 是否缺少 legacy 提供商

openssl list -providers

如果只显示 default 而没有 legacy，说明 legacy 提供商未启用。检查 /etc/ssl/openssl.cnf：

grep -n -A5 -i "provider" /etc/ssl/openssl.cnf

正常启用时应看到：

[provider_sect]
default = default_sect
legacy = legacy_sect

如果 [legacy_sect] 不存在或未激活，补上：

[provider_sect]
default = default_sect
legacy = legacy_sect
[default_sect]
activate = 1
[legacy_sect]
activate = 1

改完验证：

openssl list -providers

这时应该能看到 legacy 已激活。

第 2 步：确认 wpa_supplicant 进程真的读到了这份配置

即使全局 openssl.cnf 改好了，wpa_supplicant 进程未必会加载它。

# 确认 wpa_supplicant 由哪个服务托管
ps aux | grep wpa_supplicant
systemctl status wpa_supplicant

如果是 NetworkManager 通过 systemd 服务托管的（-u -s 参数），需要给该服务注入环境变量：

sudo mkdir -p /etc/systemd/system/wpa_supplicant.service.d
sudo tee /etc/systemd/system/wpa_supplicant.service.d/openssl.conf > /dev/null <<'EOF'
[Service]
Environment="OPENSSL_CONF=/etc/ssl/openssl.cnf"
EOF

sudo systemctl daemon-reload
sudo systemctl restart wpa_supplicant

验证环境变量已生效：

cat /proc/$(pgrep -f wpa_supplicant | head -1)/environ | tr '\0' '\n' | grep OPENSSL

预期输出：OPENSSL_CONF=/etc/ssl/openssl.cnf

第 3 步：如果 legacy 生效后仍报 TLS 协议版本错误，降低安全级别

如果日志变成：

SSL: SSL3 alert: write... fatal: protocol version
OpenSSL: openssl_handshake - SSL_connect error:0A000102:SSL routines::unsupported protocol

说明 TLS 1.0/1.1 被 OpenSSL 3 默认安全级别禁用了。解法是给连接设置 openssl-ciphers：

nmcli connection modify "HRBUST-Student-Auto" 802-1x.openssl-ciphers "ALL:@SECLEVEL=0"
nmcli connection down "HRBUST-Student-Auto"
nmcli connection up "HRBUST-Student-Auto"

ALL:@SECLEVEL=0 会将 OpenSSL 安全级别降到 0，从而放行老版本 TLS。

三、成功标志与最终验证

成功连接的日志特征（关键）：

CTRL-EVENT-EAP-PROPOSED-METHOD method=25
CTRL-EVENT-EAP-METHOD EAP vendor 0 method 25 (PEAP) selected        # PEAP隧道建立
CTRL-EVENT-EAP-PEER-CERT ... CN=smp.ruijie.com.cn                    # 获得服务器证书
EAP-MSCHAPV2: Authentication succeeded                               # 账号密码验证通过
CTRL-EVENT-EAP-SUCCESS EAP authentication completed successfully     # EAP认证成功
WPA: Key negotiation completed [PTK=CCMP GTK=CCMP]                    # 密钥协商完成
CTRL-EVENT-CONNECTED - Connection to 0a:74:9c:47:88:77 completed      # WiFi连接完成

最终验证：

# 确认连接状态和IP
nmcli connection show "HRBUST-Student-Auto" | grep -iE "800-1x.openssl-ciphers|IP4.ADDRESS|GENERAL.STATE"
# 确认网络连通性
ping -c 3 www.baidu.com

四、给新生的最终总结

项目	内容
基础配置	WPA2企业 + PEAP + MSCHAPv2 + 学号/密码
域名匹配	`smp.ruijie.com.cn`（可选，但建议加上）
证书校验	不校验证书（`ca-cert` 留空）
最大坑	OpenSSL 3 默认禁用的 legacy 提供商/老 TLS
最终解法	启用 legacy provider + 设置 `802-1x.openssl-ciphers "ALL:@SECLEVEL=0"`
持久性	修改后永久生效，重启不丢

简而言之，如果你把常规参数都设对了还是连不上，重点排查 OpenSSL 的 legacy provider 和 TLS 安全级别，这两步是本次排障过程中反复验证后唯一真正解决问题的关键。