无需 Active Directory 或本地服务器的企业级 WiFi 认证

执行摘要

大多数组织已经将其身份管理迁移到了云端。Microsoft Entra ID、Okta 和 Google Workspace 现在负责管理电子邮件、SaaS 应用和设备管理的管理员、组和访问策略。然而，企业级 WiFi 却未能跟上这一步伐。接入点（AP）仍然需要 RADIUS 服务器，而该 RADIUS 服务器在历史上一直是连接到本地 Active Directory 域控制器的 Windows 网络策略服务器（NPS）。

这种不匹配迫使 IT 团队仅仅为了维持 WiFi 的运行而维护冗余的本地基础设施。解决方案就是云 RADIUS：一种全托管的身份验证服务，它对接入点使用 RADIUS 协议，对云身份提供商使用 OAuth2、SCIM 和 SAML 协议。将其与通过您的 MDM 进行的 EAP-TLS 证书分发相结合，您就可以获得一个完整的 802.1X 部署，无需本地服务器，无需操作系统补丁，并且可以直接与云目录关联，实现即时访问权限撤销。

Purple 在全球 80,000 多个场所运营云 RADIUS，拥有 99.999% 的在线率（Purple 内部数据，2024 年），并与 Microsoft Entra ID、Okta 和 Google Workspace 进行了原生集成。您可以在一小时内，在现有的 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet 接入点上部署上线。

技术深度剖析

问题核心：协议不匹配

根本挑战在于，云身份提供商和 WiFi 接入点使用的是完全不同的语言。Microsoft Entra ID（前身为 Azure AD）通过 SAML、OIDC 和 OAuth2 进行身份验证——这是浏览器和 SaaS 应用使用的协议。而 WiFi 接入点使用的是 RADIUS（远程用户拨号认证系统，RFC 2865），这是一种在 1990 年代为拨号和 VPN 设计的基于 UDP 的协议。Microsoft 从未为 Entra ID 提供过原生 RADIUS 端点。您无法直接将 Meraki 或 Aruba 接入点指向 Azure 并期望 802.1X 能够正常工作。

这就是每一个致力于“云优先”的 IT 团队在尝试使用 WPA2-Enterprise 或 WPA3-Enterprise 保护员工 WiFi 时所面临的瓶颈。必须有某种东西来桥接接入点和云身份提供商之间的鸿沟。而这种东西就是云 RADIUS。

为什么在没有 Active Directory 的情况下 PEAP-MSCHAPv2 会失效

在历史上，802.1X 部署依赖于 PEAP-MSCHAPv2（受保护的可扩展身份验证协议，采用 Microsoft 质询握手身份验证协议版本 2）。用户输入用户名和密码，接入点将请求转发给 RADIUS 服务器，RADIUS 服务器根据存储在 Active Directory 中的 NTLM 哈希值验证密码。

Microsoft Entra ID 不存储 NTLM 哈希。这并不是配置上的缺陷，而是刻意为之的架构设计。Entra ID 是现代云身份提供商，而非域控制器。因此，指向 Entra ID 的 RADIUS 服务器无法验证 PEAP-MSCHAPv2 质询。让 PEAP 与 Entra ID 协同工作的唯一方法是部署 Entra Domain Services（一种从 Entra ID 进行同步的付费托管 Active Directory），然后对其运行 NPS。这会重新引入您试图消除的大部分组件：Windows Server 虚拟机、操作系统补丁、NTLM 哈希存储以及手动证书管理。

EAP-TLS：云优先组织的正解

EAP-TLS（可扩展身份验证协议-传输层安全，RFC 5216）使用 X.509 数字证书代替密码。设备向 RADIUS 服务器出示证书。RADIUS 服务器根据受信任的证书颁发机构（CA）验证该证书。由于交互过程中不涉及密码，RADIUS 服务器不需要 NTLM 哈希存储。它只需要信任该 CA，并检查身份提供商中的用户组数身份，以应用正确的 VLAN 和访问策略。

EAP-TLS 在设计上就具备防网络钓鱼特性。因为没有可供窃取的凭据。它符合 CISA 关于防钓鱼多因素身份验证的指南，并符合 PCI DSS 对处理持卡人数据的网络进行强身份验证的要求。它是 IEEE 802.1X 推荐用于托管设备群的身份验证方法。

云优先 802.1X 身份验证架构：设备通过 Purple 的云 RADIUS 运行 EAP-TLS 进行身份验证，该 RADIUS 验证证书并应用来自 Entra ID、Okta 或 Google Workspace 基于组的策略。

MDM 如何替代本地 CA

在传统的 802.1X 部署中，证书由运行 Active Directory 证书服务（AD CS）的本地证书颁发机构颁发。在云优先部署中，MDM 通过 SCEP（简单证书注册协议）接管此角色。Microsoft Intune、Jamf Pro 和其他 MDM 平台可以向云端托管的 CA 请求证书，并静默推送到托管设备上。

具体工作流程如下：IT 管理员在 MDM 中创建一个 SCEP 证书配置文件，其范围限定为需要 WiFi 访问的设备组。MDM 自动将证书推送到 Windows、macOS、iOS、iPadOS、Android Enterprise 和 ChromeOS 设备。用户无感知。证书与 MDM 中的设备身份绑定，并在过期前自动更新。当设备连接到 WiFi 时，它会将证书出示给云 RADIUS 服务器，该服务器根据 CA 验证该证书并应用正确的网络策略。

对于使用 Microsoft Intune 的组织，Microsoft Cloud PKI 提供了一个与 Intune SCEP 配置文件直接集成的完全托管 CA，从而无需本地 NDES（网络设备注册服务）服务器。对于由 Jamf 管理的 Mac 和 iOS 设备群，Jamf 内置的 CA 或第三方云 CA 也可实现相同的目的。

SCIM 与即时访问撤销

云 RADIUS 在运营上最重要的一个方面是 SCIM（跨域身份管理系统）配置。SCIM 是一种开放标准，可将身份变更从可信源（您的云身份提供商）实时推送到相关系统。当某个员工在 Entra ID 或 Okta 中被禁用时，SCIM 会立即将该变更推送到云 RADIUS 服务。设备下一次尝试身份验证时，RADIUS 服务器将返回 Access-Reject。通过在接入点上配置较短的会话超时，设备将在账户被禁用后的几分钟内被移出网络。

与共享 PSK 网络（撤销访问权限的唯一方法是更改每台设备上的密码）以及依赖定期 LDAP 同步（存在数小时或数天的滞后窗口）的传统 RADIUS 部署相比，这在安全性上是一个实质性的提升。

RadSec：通过互联网保障 RADIUS 流量安全

传统 RADIUS 使用 UDP，仅提供基础的消息验证。当您的 RADIUS 服务器与接入点位于同一数据中心时，这是可以接受的。但当您的 RADIUS 服务器是一项云服务时，身份验证流量就会穿越公共互联网。RadSec（基于 TLS 的 RADIUS，RFC 6614）使用 TLS 对 RADIUS 交互进行加密，从而为身份验证流量提供机密性和完整性。Purple 原生支持 RadSec，并为尚不支持 RadSec 的接入点提供 IPsec 备用方案。

实施指南

利用 EAP-TLS 部署云 RADIUS 需要四个协调步骤。如果 Entra ID 和 MDM 已经就绪，试点 SSID 可以在一小时内上线。

第 1 步：将云 RADIUS 连接到您的身份提供商

通过 OAuth2 管理员同意（针对 Entra ID）或 API 令牌（针对 Okta 和 Google Workspace）将 Purple 连接到您的身份提供商。这将授权 Purple 从目录中读取用户、组和组成员身份。配置 SCIM 配置以将用户状态变更实时推送到 Purple。磁盘上不会存储任何服务主体凭据。组变更将在下一次身份验证事件时传播，而不是按照同步计划进行。

第 2 步：配置您的 MDM 和 SCEP 配置文件

在 Microsoft Intune 中，为 CA 根创建“受信任的证书配置文件”，然后创建一个指向 Purple 托管 CA 的 SCEP 证书配置文件。将这两个配置文件的作用域限定为需要 WiFi 访问的设备组。对于 Jamf，在配置描述文件中配置 SCEP 负载。MDM 将静默推送这些证书。在继续下一步之前，请在 MDM 合规性仪表板中验证证书交付情况。

步骤 3：在云 RADIUS 控制面板中定义网络策略

创建将身份提供商组映射到特定 VLAN 和访问控制的 RADIUS 策略。例如，将 Entra ID 组“Staff-Finance”映射到具有完全互联网访问权限的 VLAN 20，并将“Staff-Contractors”映射到具有自动过期的时限性访问权限的 VLAN 30。Purple 的控制面板在认证时应用这些策略，无需更改防火墙。

步骤 4：更新接入点配置

更新接入点上的 SSID 配置，以使用带 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise。输入 Purple 云 RADIUS 主和备用端点主机名或 IP 地址，以及共享密钥。配置接入点以根据 Purple 返回的 RADIUS 属性使用动态 VLAN 分配。在全网部署之前，先在部分接入点上使用单个 SSID 进行测试。

云 RADIUS 与本地 RADIUS：在部署时间、Active Directory 依赖性、高可用性、操作系统补丁、身份集成和证书生命周期管理方面的直接对比。

最佳实践

这些建议反映了 IEEE 802.1X 标准、PCI DSS v4.0 要求以及 Purple 超过 80,000 个场所的网络运营经验。

对托管设备强制执行 EAP-TLS。 密码极易受到网络钓鱼和凭据填充攻击。证书提供了身份和设备合规性的密码学证明。EAP-TLS 是唯一在设计上具有防钓鱼特性的 802.1X 方法。

使用 SCIM 实现即时注销。 定期的 LDAP 同步会留下一个时间窗口，使已离职的员工仍保留网络访问权限。SCIM 可确保在身份提供商中禁用账户的瞬间立即撤销访问权限。

部署多区域 RADIUS。 为您的接入点配置至少两个位于不同地理区域的 RADIUS 端点。Purple 默认提供双活多区域故障转移，故障转移可在数秒内完成。

使用动态 VLAN 细分流量。 利用身份提供商的组成员身份动态地将用户分配到特定的 VLAN。这样可以隔离敏感流量并限制受损设备的影响范围，而无需手动更改防火墙。

启用 RadSec。 如果您的接入点支持 RadSec，请启用它以加密接入点与云 RADIUS 服务器之间的认证流量。这对于分支机构和接入点位于不可信网络段的场所尤为重要。

监控证书生命周期。 将 MDM 自动更新设置为在证书生命周期的 80% 时触发。对于一年期的证书，更新会在第 10 个月开始。对未能在大限前完成更新的设备进行告警。有关企业 WiFi 安全标准和框架的更广泛讨论，请参阅我们的 企业 WiFi 安全：2026年完整指南 。

故障排除与风险缓解

过渡到云 RADIUS 会引入新的依赖关系。在这些常见故障模式影响生产环境之前，请做好应对准备。

证书过期。 如果设备证书在 MDM 续订之前过期，设备将静默身份验证失败。用户会看到连接错误，但没有任何说明。缓解措施：将 MDM 自动续订配置为证书有效期的 80%，并监控 MDM 合规性仪表板以发现证书即将过期的设备。

MDM 同步失败。 未能满足 MDM 合规性或未能签入的设备可能无法接收续订的证书。实施合规性策略以标记不健康的设备，并在证书过期前向管理员发出警报。

防火墙阻止 RADIUS 流量。 接入点必须能够通过 UDP 端口 1812（身份验证）和 UDP 端口 1813（计费）或 TCP 端口 2083（RadSec）连接到云 RADIUS 端点。分支机构的出站防火墙规则经常会阻止这些端口。在部署前，测试来自接入点管理 VLAN 的可达性。

SCIM 配置失败。 如果身份提供商与 Purple 之间的 SCIM 连接中断，用户状态更改将无法传播。在身份提供商和 Purple 仪表板中监控 SCIM 同步状态。为同步失败配置警报。

不支持证书的遗留设备。 IoT 设备、打印机和较旧的硬件可能不支持 EAP-TLS。对于这些设备，请使用 iPSK（个人预共享密钥）而不是共享 PSK。Purple 原生支持 iPSK，可为每个设备分配唯一密钥，并将每个设备置于正确的 VLAN 上，而无需 802.1X 客户端支持。

ROI 与业务影响

从本地 RADIUS 迁移到云 RADIUS 可在基础设施、运营和安全方面提供可衡量的价值。

对于 零售 和 酒店餐饮 行业的组织而言，能够从单一云端控制面板（具有统一的身份层）管理 Staff WiFi 和 Guest WiFi ，降低了多站点物业的运营复杂度。对于 交通运输 运营商和 医疗保健 服务提供商，即时撤销功能和完整的审计追踪无需额外工具即可满足监管合规要求。

Purple 的 WiFi Analytics 层在身份验证基础设施之上增加了空间占用和混合办公数据，将 Staff WiFi 从成本中心转变为运营情报的来源。

相关阅读： 企业级 WiFi 安全：2026年完整指南 - OpenWrt 自定义固件与 Purple WiFi 的集成