![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(256, 7.000000000000001%, 34%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ECC%3C/text%3E%3C/svg%3E)
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(284.8, 33%, 37%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EDV%3C/text%3E%3C/svg%3E)
这种情况通常是客户端无法构建完整的证书链导致的。无线认证服务器（如 NPS/RADIUS）返回的服务器证书本身是受信任的，但客户端缺少对应的中间 CA 证书，因此会间歇性弹出“不受信任的证书”警告。
最好的做法是通过 GPO 将中间 CA 证书发布到域内计算机。在组策略管理中，进入“计算机配置 → Windows 设置 → 安全设置 → 公钥策略 → 中间证书颁发机构”，将中间 CA 证书导入并链接到对应 OU。客户端执行 gpupdate /force 后，可通过 certlm.msc 检查证书是否已出现在“中间证书颁发机构”存储区。
同时建议检查 NPS/RADIUS 服务器配置，确认服务器证书链完整，并验证客户端证书路径中不存在过期或重复的中间 CA。可以使用以下命令验证证书链状态：
BAT
certutil -verify <certificate.cer>
Show more lines
完成部署后，让客户端重新连接无线网络，证书警告通常会消失。如果部分设备仍然出现问题，需要进一步检查 CRL/AIA 访问是否正常以及是否存在旧版中间 CA 缓存。
Domic Vo.