/certificate add name=F1LinuxClientMacBook-template common-name=F1LinuxClientIpadPro country=GB days-valid=3650 key-size=4096 locality="Your City or Town" organization="Your Company" state=YourStateOrCounty trusted=yes unit="Technical Services" subject-alt-name="" key-usage=digital-signature,data-encipherment,key-agreement,ipsec-tunnel,ipsec-end-system,tls-client;
/certificate sign F1LinuxClientMacbook-template ca=CAF1Linux name=F1LinuxClientMacBook
/certificate set F1LinuxClientMacBook trusted=yes
导出PEM格式证书：
/certificate export-certificate F1LinuxClientMacBook export-passphrase="REPLACE ME WITH A DIFFERENT PASSPHRASE FOR EACH CLIENT CERTIFICATE"
导出PKCS12格式证书：
/certificate export-certificate F1LinuxClientMacBook export-passphrase="REPLACE ME WITH A DIFFERENT PASSPHRASE FOR EACH CLIENT CERTIFICATE" type=pkcs12
使用 EAP-TLS 证书对 WiFi 客户端进行身份验证：
优点：
缺点：
如何兼容性：
RouterOS 版本：使用 ***RouterOS v6.45.1 到 v 6.46 *** 记录和开发过程。自 20191214 起经过测试并已知可正常工作。
证书创建程序：经过测试并已知可与 IOS 11-13.3 和 OSX Mojave 和 Catalina 客户端一起使用。如果使用 EAP-TLS 连接 Windows 或其他客户端，则为 YMMV。
警告：
本教程中提供的RouterOS CLI 命令是出色的模板。但是在执行本教程中的命令之前，您必须检查并更改我的占位符和默认值，包括证书导出密码。
配置过程概述：MikroTik 路由器
A）创建证书：（3）必须创建证书类型：
服务器：为 EAP-TLS 连接的 MikroTik 端创建证书。这将由使用 EAP-TLS 身份验证的无线接口使用。
客户端：为使用我们为 EAP-TLS 配置的无线接口连接到 SSID的每个客户端创建证书。
证书颁发机构：此证书用于通过签署客户端和服务器证书来为证书创建信任链。
B)配置无线安全配置文件：在无线安全配置文件中指定证书。我们将为
Security Profile使用 EAP-TLS 身份验证的无线接口和每个连接的客户端创建无线。C)配置无线接口：最后，我们将创建一个无线接口，
Security Profile为接口指定无线。第 1 部分：创建证书
创建CA（证书颁发机构）证书：
导出PEM格式证书：
该命令
/certificate export-certificate在文件中创建 (2) 个新证书：导出PKCS12格式证书：
附加
type=pkcs12到/certificate export-certificate命令将在“文件”中产生以下内容：创建服务器证书：
这是 MikroTik 提供 EAP-TLS 身份验证的无线接口使用的证书。
注意：你会在
key-usage我另外指定的地方评论ipsec-tunnel,ipsec-end-system。我对 WiFi 和 VPN 访问使用相同的证书，这样可以在服务器遭到破坏或撤销用户访问时轻松集中撤销这两种服务的证书。导出PEM格式证书：
导出PKCS12格式证书：Apple 客户端需要 pkcs12 证书，因此我们将额外以 pkcs12 格式导出所有客户端证书
重复上述过程，为每个连接客户端创建唯一证书。
创建客户端证书：
下面显示了 MacBook 的示例，但是对于任何支持 EAP-TLS 身份验证的设备，该过程都是相同的。
导出PEM格式证书：
导出PKCS12格式证书：
第 2 部分：配置无线安全配置文件
使用 EAP-TLS 身份验证为每个连接的无线客户端创建证书后，您可以使用这些证书创建无线安全配置文件。
与为所有连接客户端设置单一密码的标准 WPA2 密码加密不同，由于每个无线客户端都有一个唯一的证书，我们必须为每个设备和无线接口本身创建一个安全配置文件。
服务器
Security Profile客户
Security Profile对使用 EAP-TLS 进行身份验证的每个设备重复上述命令，记住更改证书的名称。
第 3 部分：使用 EAP AUTH 配置虚拟 AP
最后配置一个无线接口以使用服务器的 EAP-TLS 安全配置文件：
备份配置和证书：
现在您已经完成了所有这些工作，请确保备份配置。我对备份RBmodelNumber-YearMonthDay-Time_ROSversionNumber.rsc使用命名约定：
请注意*：虽然您可以将配置恢复到新的 MikroTik，但这些备份不会捕获您的证书。打开 Web 浏览器并通过 WebGUI 连接到 MikroTik。转到“文件”菜单，您可以将它们中的每一个下载到您的笔记本电脑上，然后将它们放在安全且合理的地方以进行长期存储。
客户端配置
要了解如何配置 IOS 和 OSX 客户端以使用 EAP-TLS 身份验证，请转到此处