如何设置 Azure Entra ID（Azure AD）以进行 WiFi 认证

执行摘要

对于管理复杂环境的 CTO 和网络架构师——从大型 Hospitality 场所到动态 Retail 空间——保护企业网络不再仅仅是强密码的问题。传统的预共享密钥（PSK）和基本的凭证认证与现代零信任架构根本不相容。

本指南详细介绍了向直接与Azure Entra ID（原 Azure AD）集成的基于802.1X证书的WiFi认证过渡的过程。通过转向EAP-TLS（可扩展认证协议-传输层安全），组织可以消除凭证盗窃相关风险，通过移动设备管理（MDM）自动化设备上线，并确保只有合规的、受管理的设备才能访问敏感的企业VLAN。我们将探讨技术架构、部署步骤，以及这种企业安全态势如何与像Purple这样的平台管理的访客网络策略并行运行。

技术深入探讨

从凭证到证书的转变

过去，企业WiFi依赖PEAP-MSCHAPv2，要求用户输入其域凭据。然而，由于易受中间人攻击（AiTM）的影响，Microsoft正在积极弃用基于凭证的认证。目前的行业标准是EAP-TLS，它使用双向证书认证。

在EAP-TLS部署中，RADIUS服务器和客户端设备都出示数字证书。如果设备没有由您信任的证书颁发机构（CA）颁发的有效证书，RADIUS服务器甚至会在设备获得IP地址之前就拒绝连接。

架构桥梁：RADIUS与Entra ID

Azure Entra ID 是一个云身份提供商（IdP），使用像SAML和OIDC这样的现代协议；它不能原生支持RADIUS，RADIUS是无线接入点（WAP）使用的协议。为了弥合这一差距，网络架构师必须部署一个能够与Entra ID通信的RADIUS服务器。通常通过以下方式实现：

1. 云RADIUS解决方案：专门构建的平台（例如，SecureW2、SCEPman或Portnox），通过API直接与Entra ID和Intune集成。
2. 本地网络策略服务器（NPS）：使用Azure MFA扩展，尽管与云原生RADIUS相比，这种方法越来越被视为传统方法。

实施指南

部署Azure Entra ID进行WiFi认证需要身份、设备管理和网络基础设施团队之间的协调。

步骤1：建立公钥基础设施（PKI）

您必须建立一个CA来颁发客户端和服务器证书。在云优先的环境中，这通常是一个通过简单证书注册协议（SCEP）与Microsoft Intune集成的云PKI。

步骤2：配置RADIUS服务器

部署您的RADIUS基础设施并将其绑定到您的Entra ID租户。RADIUS服务器需要自己的服务器证书，该证书受客户端设备信任，以便在EAP握手期间证明其身份。

步骤3：通过Intune部署MDM配置文件

不要依赖用户手动配置他们的WiFi设置。使用Intune推送一个全面的WiFi配置文件，其中包含：

• 受信任的根CA证书。
• 用于请求客户端证书的SCEP配置文件。
• WiFi配置本身，明确指定SSID和RADIUS基础设施的精确服务器名称，以防止邪恶孪生攻击。

步骤4：配置无线局域网控制器（WLC）

将您的接入点或WLC配置为使用WPA2/WPA3-企业级（802.1X）。将认证和计费流量指向新的RADIUS服务器IP地址，并配置共享的RADIUS密钥。

> “在配置802.1X时，请确保WLC上的RADIUS超时值足以处理基于云的证书验证的延迟，通常从2秒增加到5秒。” [1]

最佳实践

• 分离企业流量和访客流量：企业设备应使用与Entra ID绑定的802.1X。访客设备应使用带有Captive Portal的开放SSID。为了强大的访客访问和分析，请利用 Guest WiFi 解决方案。这确保了不受信任流量的完全隔离。
• 谨慎实施MAC认证旁路（MAB）：物联网设备和其他传统硬件（例如， Transport 枢纽中的旧扫描仪）通常无法支持802.1X。将这些设备放在使用MAB或专用PSK的单独SSID上，并通过严格的ACL限制其网络访问。
• 优先考虑证书吊销：确保证书吊销列表（CRL）或在线证书状态协议（OCSP）端点的高可用性。如果RADIUS服务器无法验证吊销状态，认证将失败。

故障排除与风险缓解

当部署失败时，很少是云IdP的错。常见的故障模式包括：

• 时钟偏差：EAP-TLS对时间高度敏感。确保所有基础设施组件，特别是WLC和RADIUS服务器，通过NTP同步。
• Intune同步延迟：当新设备注册时，SCEP证书的颁发和设备尝试连接可能需要时间。在上线期间，为这种延迟做好计划。
• Radius服务器名称不匹配：如果Intune WiFi配置文件中定义的服务器名称与RADIUS服务器证书上的通用名称（CN）或主题备用名称（SAN）不完全匹配，客户端将静默断开连接以防范恶意AP。

有关保护基础设施的更多见解，请参阅我们的指南，了解如何 使用强DNS和安全保护您的网络 。

投资回报率与业务影响

过渡到Azure Entra ID WiFi认证可带来可衡量的回报：

1. 减少帮助台负担：消除基于密码的认证大大减少了与密码锁定和WiFi凭证更新相关的工单。
2. 加速合规性：EAP-TLS提供了PCI DSS和ISO 27001等框架所要求的身份加密证明，对 Healthcare 和零售环境至关重要。
3. 自动化离职处理：当员工离开时，禁用其在Entra ID中的账户会立即撤销其在所有位置的网络访问权限，从而减轻内部威胁。

通过保护企业骨干网，IT团队可以专注于创收计划，例如利用 WiFi Analytics 了解访客行为并推动参与。

参考资料

[1] Microsoft Learn. (2023). Secure Wi-Fi access with Intune and EAP-TLS.