在CentOS系统中使用nmcli命令行工具配置Wi-Fi企业级安全认证（WPA2/WPA3-Enterprise），核心就是通过nmcli connection add或modify命令创建或修改连接配置文件，指定802.1x认证方式（如PEAP、TTLS、EAP-TLS），填入正确的用户名、密码、CA证书路径以及内网认证服务器地址，然后激活连接即可。整个过程不需要图形界面，纯命令行操作，适合服务器环境和自动化部署场景。下面我把每一步拆开讲透，从环境准备到最终验证，全部覆盖。
一、为什么要用nmcli而不是图形界面
CentOS作为企业级Linux发行版，大量部署在服务器和生产环境中，很多时候根本没有桌面环境。传统的NetworkManager图形工具在这种场景下不可用。nmcli是NetworkManager的命令行前端，功能和图形界面完全对等，甚至更灵活。它支持802.1x企业认证、证书管理、多SSID切换，而且配置文件持久化保存在/etc/NetworkManager/system-connections/目录下，重启不丢失。对于运维人员来说，掌握nmcli配置Wi-Fi企业认证是基本功。
二、环境准备和前置检查
在动手之前，先确认几件事。第一，确认无线网卡已被系统识别：
nmcli device status
输出中应该能看到wifi类型的设备，比如wlp2s0或者wlan0，状态为disconnected或unmanaged都行。第二，确认NetworkManager服务正在运行：
systemctl status NetworkManager
如果没有运行，执行systemctl start NetworkManager启动。第三，确认你有企业Wi-Fi的必要信息：SSID名称、认证方式（PEAP/TTLS/EAP-TLS）、用户名、密码、CA证书文件（.pem或.crt格式）、是否需要内网域名。这些信息通常由企业IT部门提供。
三、CA证书的准备和放置
企业级Wi-Fi认证几乎都需要CA证书来验证RADIUS服务器的身份。你需要把CA证书文件拷贝到服务器上，放一个固定路径，比如/etc/pki/ca-trust/source/anchors/或者/etc/ssl/certs/。放好之后执行：
update-ca-trust
这条命令会把新证书加入系统信任链。如果你用的是自签名证书，这步尤其重要，否则连接时会报证书验证失败。你也可以用--no-ca-cert选项跳过CA验证，但这在生产环境中极不安全，强烈不建议。
四、使用nmcli创建WPA2-Enterprise（PEAP）连接
PEAP是企业Wi-Fi最常见的认证方式。假设SSID叫CorpWiFi，用户名是zhangsan，密码是MyPass123，CA证书放在/etc/ssl/certs/ca.pem。创建连接的命令如下：
nmcli connection add type wifi ifname wlp2s0 con-name "CorpWiFi" \ ssid "CorpWiFi" \ wifi-sec.key-mgmt wpa-eap \ 802-1x.eap peap \ 802-1x.identity "zhangsan" \ 802-1x.password "MyPass123" \ 802-1x.ca-cert /etc/ssl/certs/ca.pem \ 802-1x.phase2-auth mschapv2
逐行解释：type wifi指定连接类型；ifname指定无线网卡；con-name是连接的本地名称；ssid是你要连的Wi-Fi名称；wifi-sec.key-mgmt设为wpa-eap表示用企业认证；802-1x.eap设为peap；802-1x.identity是用户名；802-1x.password是密码；802-1x.ca-cert指向CA证书；802-1x.phase2-auth设为mschapv2，这是PEAP内部的二次认证方式，绝大多数企业环境用这个。
五、配置WPA3-Enterprise或EAP-TLS认证
如果企业升级到了WPA3-Enterprise，或者要求用EAP-TLS（基于客户端证书的认证），命令略有不同。EAP-TLS不需要用户名密码，而是用客户端证书和私钥：
nmcli connection add type wifi ifname wlp2s0 con-name "CorpWiFi-EAPTLS" \ ssid "CorpWiFi" \ wifi-sec.key-mgmt wpa-eap \ 802-1x.eap tls \ 802-1x.identity "/etc/pki/tls/client-cert.pem" \ 802-1x.client-cert "/etc/pki/tls/client-cert.pem" \ 802-1x.private-key "/etc/pki/tls/client-key.pem" \ 802-1x.private-key-password "KeyPass456" \ 802-1x.ca-cert /etc/ssl/certs/ca.pem
这里802-1x.identity指向客户端证书，802-1x.client-cert和802-1x.private-key分别指定证书和私钥路径。如果私钥有密码保护，用802-1x.private-key-password指定。EAP-TLS安全性最高，但部署复杂度也大，需要PKI体系支撑。
六、配置TTLS认证方式
TTLS是另一种常见的企业认证方式，和PEAP类似但隧道机制不同。如果企业要求用TTLS+PAP认证：
nmcli connection add type wifi ifname wlp2s0 con-name "CorpWiFi-TTLS" \ ssid "CorpWiFi" \ wifi-sec.key-mgmt wpa-eap \ 802-1x.eap ttls \ 802-1x.identity "zhangsan" \ 802-1x.password "MyPass123" \ 802-1x.ca-cert /etc/ssl/certs/ca.pem \ 802-1x.phase2-auth pap
注意phase2-auth改成了pap，TTLS支持pap、chap、mschapv2等多种内部认证，具体用哪个看企业RADIUS服务器的配置。
七、修改已有连接而不是新建
如果你之前已经创建过这个Wi-Fi连接，只是想修改认证参数，用modify而不是add：
nmcli connection modify "CorpWiFi" \ 802-1x.eap peap \ 802-1x.identity "zhangsan" \ 802-1x.password "NewPass789" \ 802-1x.phase2-auth mschapv2
修改完之后需要重新激活连接才能生效：
nmcli connection up "CorpWiFi"
八、激活连接和验证状态
创建或修改完成后，执行以下命令激活连接：
nmcli connection up "CorpWiFi"
如果一切正常，会提示"Connection successfully activated"。验证连接状态：
nmcli connection show "CorpWiFi"
查看详细信息包括IP分配情况：
nmcli device wifi list
或者直接检查IP：
ip addr show wlp2s0
如果连接失败，用journalctl查看NetworkManager日志定位问题：
journalctl -u NetworkManager -f
九、常见问题排查
实际操作中经常遇到几类问题。第一，证书验证失败：检查CA证书路径是否正确，证书格式是否为PEM，是否执行了update-ca-trust。第二，认证超时：确认RADIUS服务器地址是否可达，可以先ping测试。第三，密码错误导致反复重试：nmcli默认会重试，但如果密码确实错了，检查identity和password字段是否有特殊字符需要转义。第四，网卡名称不对：用nmcli device status确认ifname，不同机器网卡名不一样。第五，WPA3兼容性问题：较老的无线网卡驱动可能不支持WPA3，需要升级firmware。
十、安全加固建议
在生产环境中配置企业Wi-Fi认证，有几个安全要点必须注意。首先，不要把密码明文写在命令历史里，可以用nmcli connection modify配合交互式输入，或者把密码放在受保护的脚本文件中并设置600权限。其次，CA证书要定期更新，企业RADIUS服务器证书过期会导致所有客户端断连。第三，如果是多SSID环境，建议为每个SSID创建独立连接配置，用con-name区分，避免混淆。第四，关闭不需要的自动连接，防止系统在未知网络上自动尝试认证泄露信息。第五，定期审计/etc/NetworkManager/system-connections/目录下的配置文件，确保没有遗留的测试连接。
十一、自动化部署思路
如果你要在大量CentOS机器上批量部署Wi-Fi企业认证，可以把nmcli命令写成Ansible playbook或者Shell脚本。核心思路是：先分发CA证书到目标机器，执行update-ca-trust，然后用nmcli connection add创建连接，最后nmcli connection up激活。整个过程可以做到无人值守。对于配置文件的管理，建议用版本控制工具追踪/etc/NetworkManager/system-connections/下的变更，方便回滚。
十二、总结
nmcli是CentOS环境下配置Wi-Fi企业级安全认证最可靠的工具。无论是PEAP、TTLS还是EAP-TLS，核心参数就是802.1x.eap、802-1x.identity、802-1x.password、802-1x.ca-cert这几个字段的组合。把这些参数搞清楚，配合正确的证书管理和网络排查手段，企业Wi-Fi认证配置其实并不复杂。关键是理解每个参数的含义，而不是死记命令。掌握了这套方法，你在任何没有图形界面的CentOS服务器上都能快速接入企业安全Wi-Fi网络。
