debian运维使用netplan配置WiFi连接企业网络

在Debian系统中使用netplan配置WiFi连接企业网络，核心就是编辑/etc/netplan/目录下的YAML配置文件，指定WiFi接口、SSID、密码以及认证方式（通常是WPA2-PSK或802.1X企业认证），然后执行netplan apply生效。很多人卡在企业级WiFi的802.1X认证配置上，因为它和家用WiFi的PSK认证完全不同，需要额外指定身份验证协议、用户名密码甚至CA证书。下面我把从零到通的完整流程、常见坑点、排错方法一次性讲透。

一、为什么Debian用netplan而不是传统的/etc/network/interfaces

从Debian 10（Buster）开始，系统默认使用netplan作为网络配置的前端工具。它本质上是一个YAML格式的抽象层，后端可以调用NetworkManager或者systemd-networkd来实际执行配置。对于服务器环境，通常后端用systemd-networkd；对于桌面环境，用NetworkManager。你在配置之前需要确认自己的后端是什么，这直接影响配置写法和生效方式。

二、确认当前网络后端和WiFi接口名称

先执行以下命令查看后端和接口信息：

cat /etc/netplan/*.yaml
netplan get
ip link show
iw dev

netplan get会告诉你当前使用的后端（renderer）是networkd还是NetworkManager。ip link show能看到你的无线网卡接口名，通常是wlan0、wlp2s0这类命名。iw dev可以确认该接口确实支持WiFi功能。如果你的Debian是最小化安装，可能根本没有安装WiFi管理工具，需要先装：

apt update
apt install wireless-tools wpasupplicant iw
# 如果用NetworkManager后端还需要：
apt install network-manager

三、编写netplan配置文件——PSK认证（企业WiFi的简单模式）

如果你的企业WiFi虽然叫"企业网络"，但实际上只是用了WPA2密码认证（很多中小企业就是这样），配置非常简单。创建或编辑配置文件：

sudo nano /etc/netplan/01-wifi.yaml

写入以下内容：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Your-Enterprise-SSID":
          password: "YourWiFiPassword"

注意几个关键点：YAML对缩进极其敏感，必须用空格不能用Tab；SSID如果有特殊字符要用双引号包裹；密码也要用双引号。写完后执行：

sudo netplan try
sudo netplan apply

netplan try会等待120秒让你确认，如果配置有误会自动回滚。这是生产环境推荐的操作方式。

四、编写netplan配置文件——802.1X企业认证（真正的企业级WiFi）

大多数正规企业网络使用802.1X认证，常见的有PEAP、TTLS、TLS等方式。这种情况下你需要知道：认证协议（eap）、用户名、密码、可选的CA证书路径、可选的域名。配置如下：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Enterprise-SSID":
          password: "YourPassword"
          auth:
            key-management: eap
            method: peap
            identity: "yourusername@company.com"
            password: "yourpassword"
            ca-certificate: /etc/ssl/certs/company-ca.pem

如果企业使用的是TTLS认证：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Enterprise-SSID":
          password: "YourPassword"
          auth:
            key-management: eap
            method: ttls
            identity: "yourusername"
            password: "yourpassword"

如果企业要求TLS证书认证（最严格的方式）：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Enterprise-SSID":
          auth:
            key-management: eap
            method: tls
            identity: "yourusername"
            ca-certificate: /etc/ssl/certs/ca.pem
            client-certificate: /etc/ssl/certs/client.pem
            client-key: /etc/ssl/private/client.key

五、关于CA证书和证书验证的处理

企业802.1X网络通常会提供一个CA根证书用于验证RADIUS服务器的身份。如果你不配置ca-certificate，wpa_supplicant可能会拒绝连接或者弹出不安全警告。获取CA证书的方式一般是从IT部门拿到.pem文件，或者从RADIUS服务器导出。把证书放到/etc/ssl/certs/目录下，确保权限正确：

sudo chmod 644 /etc/ssl/certs/company-ca.pem

如果你在测试阶段想跳过证书验证（不推荐用于生产），可以在auth块里加：

            ca-certificate: /etc/ssl/certs/company-ca.pem
            # 临时跳过验证（仅测试用）
            # 不要在生产环境使用

实际上netplan的wpa_supplicant后端默认会做证书验证，如果你想禁用需要在配置中显式指定，但强烈建议不要这样做。

六、静态IP配置场景

有些企业网络不提供DHCP，需要手动配置静态IP。修改配置如下：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      addresses:
        - 192.168.1.100/24
      gateway4: 192.168.1.1
      nameservers:
        addresses:
          - 8.8.8.8
          - 8.8.4.4
      access-points:
        "Enterprise-SSID":
          password: "YourPassword"
          auth:
            key-management: eap
            method: peap
            identity: "yourusername"
            password: "yourpassword"

七、多SSID漫游和优先级配置

如果你的环境有多个企业SSID（比如办公网和访客网），可以在同一个接口下配置多个access-points，wpa_supplicant会按顺序尝试连接：

network:
  version: 2
  renderer: networkd
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Corp-Secure":
          password: "pass1"
          auth:
            key-management: eap
            method: peap
            identity: "user@corp.com"
            password: "pass1"
        "Corp-Guest":
          password: "pass2"
          auth:
            key-management: eap
            method: peap
            identity: "guest"
            password: "pass2"

八、常见问题排错指南

配置完发现连不上，按以下步骤排查。第一步看日志：

sudo wpa_cli status
sudo journalctl -u wpa_supplicant -f
sudo dmesg | grep -i firmware

如果提示"firmware not found"，说明你的无线网卡需要额外的固件文件，Debian非自由源里有：

sudo apt install firmware-linux-nonfree
# 或者
sudo apt install firmware-iwlwifi  # Intel网卡常见

如果认证一直失败，检查几点：身份验证方法是否正确（peap/ttls/tls别搞混）；用户名格式是否正确（有些企业要求带域名后缀）；密码是否过期；RADIUS服务器是否可达。可以用wpa_cli手动测试：

sudo wpa_cli -i wlan0 reconfigure

如果netplan apply报错"systemd-networkd not running"，说明后端没启动，检查：

sudo systemctl status systemd-networkd
sudo systemctl enable systemd-networkd
sudo systemctl start systemd-networkd

九、NetworkManager后端的特殊写法

如果你的Debian用的是NetworkManager作为后端（桌面版常见），配置语法略有不同，需要指定renderer为NetworkManager，而且NetworkManager会自己管理WiFi，有时候会和netplan冲突。建议在这种情况下直接用nmcli命令管理：

sudo nmcli dev wifi list
sudo nmcli dev wifi connect "Enterprise-SSID" password "YourPassword" ifname wlan0
# 802.1X认证：
sudo nmcli con add type wifi ifname wlan0 con-name "CorpWiFi" ssid "Enterprise-SSID" \
  wifi-sec.key-mgmt wpa-eap \
  802-1x.eap peap \
  802-1x.identity "user@corp.com" \
  802-1x.password "YourPassword" \
  802-1x.phase2-auth mschapv2
sudo nmcli con up "CorpWiFi"

但如果你坚持用netplan+NetworkManager后端，YAML写法是：

network:
  version: 2
  renderer: NetworkManager
  wifis:
    wlan0:
      dhcp4: true
      access-points:
        "Enterprise-SSID":
          password: "YourPassword"
          auth:
            key-management: eap
            method: peap
            identity: "user@corp.com"
            password: "YourPassword"

十、生产环境的最佳实践建议

第一，永远用netplan try而不是直接apply，给自己留回滚窗口。第二，配置文件命名用数字前缀保证加载顺序，比如01-wifi.yaml。第三，企业WiFi密码如果会定期更换，建议把配置做成Ansible模板或者脚本自动化更新，避免手动改YAML出错。第四，做好日志留存，wpa_supplicant的日志在/var/log/syslog里，出问题时这是第一手资料。第五，如果服务器在机房没有显示器，配置WiFi前确保你有带外管理（IPMI/iLO/iDRAC），否则一旦网络断了你就彻底失联了。

总结一下，Debian用netplan配企业WiFi并不复杂，核心难点在于802.1X认证的参数填写和证书管理。把认证方式、用户名、密码、CA证书这几样东西搞对，基本一次就能通。遇到问题不要慌，wpa_cli status和journalctl是你最好的朋友。