Microsoft Entra ID (Azure AD) WiFi 身份验证：企业集成指南

执行摘要

随着企业 IT 部门将企业身份从本地 Active Directory 域服务 (AD DS) 迁移到 Microsoft Entra ID（前称为 Azure Active Directory），网络架构师面临着一个根本性的网络挑战：Microsoft Entra ID 不支持原生 RADIUS 协议身份验证。

传统的企业无线网络依赖于带有 PEAP-MSCHAPv2 的 IEEE 802.1X，查询本地 Windows Server 网络策略服务器 (NPS) 实例，该实例针对本地域控制器验证 NT LAN Manager (NTLM) 密码哈希。云原生 Entra ID 不公开 LDAP (TCP 389) 或 RADIUS (UDP 1812) 监听端口，也不为仅限云的账户存储明文或可逆的 NTLM 密码哈希。

为了使用 Microsoft Entra ID 保护企业 WiFi 安全，组织必须使其接入层现代化。本技术指南概述了将 Entra ID 连接到企业无线网络的三种经证实的架构模式：

1. 通过 Microsoft Cloud PKI 和 SCEP 实现的云原生 EAP-TLS（推荐）：通过 Microsoft Intune 部署的无密码、双向证书身份验证。
2. 结合 Entra ID OAuth / SCIM 目录同步的 Cloud RADIUS：查询 Microsoft Graph API 的托管云身份验证服务。
3. 带 Azure MFA 扩展的混合本地 NPS：保留本地 Active Directory 基础设施环境的桥接架构。

架构对比：Entra ID WiFi 身份验证方法

在选择集成路径之前，请评估每种模型的技术能力、安全态势和管理要求：

+----------------------------------------------------------------------------------------------------+
|                               Microsoft Entra ID WiFi 架构矩阵                                     |
+----------------------------------------------------------------------------------------------------+
| 方法                 | 协议     | 凭据类型         | 本地占用空间          | 安全级别 (0-100)      |
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | X.509 数字 CA    | 零 (100% 云)          | 98/100 (零信任)       |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | 零 (100% 云)          | 88/100 (企业级)       |
| 3. 混合 NPS + MFA    | PEAPv0   | 用户名/密码      | Windows Server & NDES | 68/100 (传统风险)     |
| 4. 专属门户 SSO      | HTTPS/OIDC| Entra ID OAuth  | 零 (100% 云)          | 85/100 (访客/BYOD)    |
+----------------------+----------+------------------+-----------------------+-----------------------+

方法 1：通过 Microsoft Intune SCEP 实现的云原生 EAP-TLS（推荐）

基于证书的 EAP-TLS (RFC 5216) 代表了企业级无线安全的黄金标准。通过向受管理终端颁发唯一的数字证书，企业可以消除共享密码，彻底杜绝凭证窃取类的钓鱼攻击，并符合 NIST SP 800-207 零信任架构 标准。

+------------------+          +------------------------+          +------------------------+
|     受管理设备    |          |       无线接入点       |          |      云 RADIUS 服务器   |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |       (多区域)         |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. 802.1X EAP-TLS 关联         |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. 验证证书链并
         |                                |                                    |    查询 Graph API
         |                                |                                    |    以确认账户状态
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (RFC 2868 VLAN 属性)            |
         |                                |<-----------------------------------|
         | 5. 802.11 四步握手             |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ 已建立加密会话 (WPA3-Enterprise 192-bit) ]

Intune SCEP 部署工作流程

1. 证书颁发机构设置：在 Microsoft Intune 中使用 Microsoft Cloud PKI 或集成的云 CA（如 SCEPman、EZCA 或 Cloud RADIUS PKI）建立颁发 CA。
2. 受信任证书配置文件：将根 CA 和中间 CA 的公钥证书部署到所有目标 Windows 11、macOS、iOS 和 Android 设备组。
3. SCEP 配置文件配置：
   • 证书类型：用户或设备证书。
   • 主题名称格式：CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • 主题替代名称 (SAN)：UserPrincipalName = {{UserPrincipalName}} 以及 DNS = {{AADDeviceId}}
   • 密钥用法：数字签名，密钥加密。
   • 密钥存储提供程序 (KSP)：首选 TPM（强制使用硬件级受保护的私钥）。
4. WiFi 配置文件：
   • WiFi 类型：企业级。
   • EAP 类型：EAP-TLS。
   • 服务器信任：选择已部署的受信任根 CA 证书。 - 服务器名称：输入 Cloud RADIUS 服务器的完全限定域名 (FQDN)（例如 radius.purple.ai）。
   • 身份验证标识：用户或计算机证书。

方法 2：结合 Entra ID OAuth & SCIM 目录同步的 Cloud RADIUS

对于寻求集中式目录管理而无需管理私有 CA 的企业，Cloud RADIUS 提供了无线控制器与 Microsoft Graph API 之间的托管桥梁。

Cloud RADIUS 如何与 Microsoft Entra ID 集成

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Purple Platform)  |        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Graph API Query         |
          |                             |     (检查用户启用状态,      |
          |                             |      组群成员资格及         |
          |                             |      条件访问)              |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. JSON Response           |
          |                             |     (状态: 活跃,            |
          |                             |      组群: [SG-Finance])    |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Cloud RADIUS 的核心优势

• 零本地硬件：免除了物理服务器采购、Windows Server 许可费用以及年度操作系统补丁维护。
• 实时目录同步：若员工离职或在 Entra ID 中被停用，其无线访问权限将在全球所有站点立即被撤销。
• 多区域冗余：Anycast IP 路由将身份验证请求转发至延迟最低的地理数据中心，并支持自动故障转移。

通过 Entra ID 安全组进行动态 VLAN 分配

动态 VLAN 分配允许网络管理员广播单个企业 SSID，同时根据用户角色和部门归属自动将设备划分到隔离的网络网段中。

+-----------------------------------------------------------------------------------+
|                        Microsoft Entra ID 安全组                          |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ 云 RADIUS 策略 ]              [ 云 RADIUS 策略 ]                  [ 云 RADIUS 策略 ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (企业高管 VLAN 10)             (工程部子网 VLAN 20)               (承包商 DMZ VLAN 30)

所需的 RADIUS 标准属性 (RFC 2868)

当云 RADIUS 服务器批准身份验证请求时，它会在 Access-Accept 数据包中包含三个标准属性：

适用于访客、BYOD 和承包商的 Captive Portal 单点登录 (SSO)

对于访客、供应商和未托管的员工个人设备 (BYOD)，部署 802.1X 证书通常不切实际。在这些场景中，通过 SAML 2.0 或 OpenID Connect (OIDC) 与 Microsoft Entra ID 集成的云管理 Captive Portal 可提供安全且经过审计的入网工作流。

+--------------------+        +--------------------+        +--------------------+
|    访客 / BYOD     |        | Purple Captive     |        | Microsoft Entra ID |
|    浏览器          |        | Splash Portal      |        | 登录网关            |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. HTTP 网页请求             |                             |
          |---------------------------->|                             |
          | 2. 重定向至登录页面         |                             |
          |<----------------------------|                             |
          |                             |                             |
          | 3. 点击“使用 M365 登录”     |                             |
          |---------------------------->|                             |
          | 4. SAML / OAuth 认证请求    |                             |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. MFA 挑战与身份验证 (Entra ID)                          |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. 颁发 SAML 断言 / ID 令牌                                |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. 向 Splash 引擎发送 POST 令牌                             |
          |---------------------------->|                             |
          |                             | 8. 在 WLC 上授权 MAC 地址   |
          | 9. 允许访问互联网            |<----------------------------|
          |<----------------------------|

Captive Portal SSO 安全优势

• 强制执行条件访问：在允许网络访问之前，要求进行 Microsoft Entra ID 多重身份验证 (MFA) 并接受使用条款。

• 自动过期：根据访客身份配置文件，自动限制访客访问时长（例如 8 小时）。

• 审计日志：保留不可更改的连接记录，将物理 MAC 地址与企业 Microsoft Entra ID 电子邮件地址进行关联，以用于合规性审计。

强化企业 WiFi 安全：WPA3-Enterprise 192 位模式

在配置 Microsoft Entra ID WiFi 认证时，网络架构师应配置 WPA3-Enterprise，以防御复杂的无线空中攻击：

• 192 位安全模式 (CNSA 套件)：采用 256 位伽罗瓦/计数器模式协议 (GCMP-256) 加密和 384 位 HMAC-SHA-384 密钥派生。

• 受保护的管理帧 (PMF / IEEE 802.11w)：防止恶意攻击者伪造接入点 MAC 地址来发送伪造的去认证和解除关联帧。

• 淘汰传统密码：完全废弃 WEP、TKIP 和未强化的 WPA2-TKIP 套件。

Microsoft Entra ID 802.1X WiFi 认证失败排障

当客户端设备无法通过认证时，请参考此系统化诊断指南：

1. EAP-TLS 握手失败：未知 CA 或证书不受信任

• 症状：客户端无法连接；RADIUS 日志显示 TLS Alert: unknown_ca (48)。
• 根本原因：客户端设备不信任 RADIUS 服务器证书，或者 RADIUS 服务器缺少签发客户端证书的根 CA。
• 解决方案：
  1. 确认 Intune 信任证书配置文件已将根 CA 部署到客户端设备。
  2. 在 Intune WiFi 配置文件中，验证 Server Names 白名单中的服务器名称是否与 RADIUS 服务器证书的通用名称 (CN) 或使用者替代名称 (SAN) 完全匹配。
  3. 确保完整的证书链（根 CA + 中间 CA）已导入到 Cloud RADIUS 证书信任库中。

2. RADIUS Access-Reject：用户账户已禁用或组群成员身份不匹配

• 症状：RADIUS 服务器收到请求，但返回 Access-Reject 并提示错误 User account not found or disabled。
• 根本原因：用户账户在 Microsoft Entra ID 中被禁用，或者用户不是获授权的 Entra 安全组的成员。
• 解决方案：
  1. 在 Microsoft Entra 管理中心 (entra.microsoft.com) 检查用户对象，以验证账户状态是否处于活动状态。
  2. 验证 Entra ID 中的 Cloud RADIUS 企业应用程序权限（User.Read.All，GroupMember.Read.All）。
  3. 如果用户是最近被添加到新安全组的，请检查目录同步延迟。

3. 动态 VLAN 分配未生效

• 症状：身份验证成功，但客户端仍保留在默认的本地 VLAN，而没有进入分配的部门 VLAN。
• 根本原因：无线局域网控制器 (WLC) 未启用 AAA 覆盖 (AAA Override)，或者交换机中继端口缺少目标 VLAN ID。
• 解决方案：
  1. 在 Cisco Catalyst / Aruba 控制器上，在 WLAN 配置中启用 AAA Override 和 Allow Dynamic VLANs。
  2. 验证连接到接入点的交换机端口允许 802.1Q 中继上的所有动态 VLAN ID（switchport trunk allowed vlan add 10,20,30,40）。
  3. 确认 RADIUS 返回所有三个必需的属性：Tunnel-Type = 13、Tunnel-Medium-Type = 6 和 Tunnel-Private-Group-ID = <VLAN_ID>。

总结与后续步骤

将 Microsoft Entra ID 与企业 WiFi 相结合，可构建一个具有弹性且无密码的网络访问层。通过将 Microsoft Intune SCEP 证书管理 与 Cloud RADIUS 以及 动态 VLAN 分配 相结合，IT 组织在加强其零信任安全态势的同时，消除了本地基础设施的债务。

对于管理大量访客、承包商或 BYOD 硬件以及公司自有设备的组织，Purple 在所有主要企业无线硬件供应商中提供开箱即用的云 WiFi 访问管理、原生的 Entra ID SAML/OAuth 访客门户 (Captive Portal) 单点登录以及实时网络分析。