如何设置 Azure Entra ID（Azure AD）以进行 WiFi 认证

執行摘要

對於管理複雜環境（從大型 餐旅服務業 場所到動態的 零售 空間）的 CTO 和網路架構師而言，保護企業網路的安全已不再僅僅是強密碼的問題。傳統的預共用金鑰 (PSK) 和基本的憑證驗證，在根本上與現代零信任架構不相容。

本指南詳細介紹了如何過渡到與 Azure Entra ID（前身為 Azure AD）直接整合的 802.1X 憑證式 WiFi 驗證。透過轉向 EAP-TLS（可延伸驗證通訊協定安全傳輸層保障），企業可以消除與憑證竊取相關的風險、透過行動裝置管理 (MDM) 自動進行裝置註冊，並確保只有合規、受管理的裝置才能存取敏感的企業 VLAN。我們將探討技術架構、部署步驟，以及這種企業安全態勢如何與 Purple 等平台管理的訪客網路策略平行運作。

技術深度剖析

從憑證到數位憑證的轉變

歷史上，企業 WiFi 依賴 PEAP-MSCHAPv2，需要使用者輸入其網域憑證。然而，由於其容易受到中間人 (AiTM) 攻擊，Microsoft 正積極淘汰憑證式驗證。目前的業界標準是 EAP-TLS，它使用雙向憑證驗證。

在 EAP-TLS 部署中，RADIUS 伺服器和用戶端裝置都會出示數位憑證。如果裝置缺乏由您的受信任憑證授權單位 (CA) 核發的有效憑證，RADIUS 伺服器甚至會在裝置取得 IP 地址之前，就拒絕該連線。

架構橋樑：RADIUS 與 Entra ID

Azure Entra ID 是一個使用 SAML 和 OIDC 等現代通訊協定的雲端身分識別提供者 (IdP)；它原生並不支援無線存取點 (WAP) 所使用的 RADIUS 通訊協定。為了彌補這一差距，網路架構師必須部署一個能夠與 Entra ID 通訊的 RADIUS 伺服器。這通常透過以下方式實現：

1. 雲端 RADIUS 解決方案：專為此目的建置的平台（例如 SecureW2、SCEPman 或 Portnox），透過 API 與 Entra ID 和 Intune 直接整合。
2. 地端網路原則伺服器 (NPS)：使用 Azure MFA 擴充功能，儘管與雲端原生 RADIUS 相比，這越來越被視為一種過時的方法。

實作指南

部署 Azure Entra ID 進行 WiFi 驗證需要協調身分識別、裝置管理以及網路基礎架構團隊。

步驟 1：建立公開金鑰基礎建設 (PKI)

您必須建立 CA 來核發用戶端與伺服器憑證。在雲端優先的環境中，這通常是透過簡單憑證登錄協定 (SCEP) 與 Microsoft Intune 整合的雲端 PKI。

步驟 2：設定 RADIUS 伺服器

部署您的 RADIUS 基礎架構並將其綁定至您的 Entra ID 租戶。RADIUS 伺服器需要自己的伺服器憑證（受您的用戶端裝置信任），以便在 EAP 握手期間證明其身分。

步驟 3：透過 Intune 部署 MDM 設定檔

請勿依賴使用者手動設定其 WiFi 設定。使用 Intune 推送包含以下內容的完整 WiFi 設定檔：

• 信任的根 CA 憑證。
• 用以要求用戶端憑證的 SCEP 設定檔。
• WiFi 設定本身，明確定義 SSID 和 RADIUS 基礎架構的確切伺服器名稱，以防止邪惡雙生 (Evil Twin) 攻擊。

步驟 4：設定無線區域網路控制器 (WLC)

設定您的存取點或 WLC 以使用 WPA2/WPA3-Enterprise (802.1X)。將驗證與計費流量指向您新的 RADIUS 伺服器 IP 位址，並設定共用的 RADIUS 密鑰。

「設定 802.1X 時，請確保 WLC 上的 RADIUS 逾時值足夠因應雲端憑證驗證的延遲，通常會從 2 秒增加到 5 秒。」[1]

最佳實踐

• 隔離企業與訪客流量：企業裝置應使用與 Entra ID 綁定的 802.1X。訪客裝置應使用帶有 Captive Portal 的開放式 SSID。若要獲得強健的訪客存取與分析功能，請利用 Guest WiFi 解決方案。這可確保完全隔離不受信任的流量。
• 謹慎實施 MAC 驗證繞過 (MAB)：IoT 裝置與舊型硬體（例如 運輸 樞紐中的舊型掃描器）通常無法支援 802.1X。請使用 MAB 或專用 PSK 將這些裝置放置在獨立的 SSID 上，並透過嚴格的 ACL 限制其網路存取。
• 優先處理憑證撤銷：確保您的憑證撤銷清單 (CRL) 或線上憑證狀態協定 (OCSP) 端點具有高可用性。如果 RADIUS 伺服器無法驗證撤銷狀態，驗證將會失敗。

疑難排解與風險緩釋

當部署失敗時，極少是雲端 IdP 的問題。常見的失敗模式包括：

• 時鐘偏差：EAP-TLS 對時間極為敏感。確保所有基礎架構元件（特別是 WLC 和 RADIUS 伺服器）皆透過 NTP 進行同步。
• Intune 同步延遲：當註冊新裝置時，核發 SCEP 憑證與裝置嘗試連線可能需要一些時間。請在新手引導期間規劃此延遲時間。
• Radius 伺服器名稱不符：若 Intune WiFi 設定檔中定義的伺服器名稱與 RADIUS 伺服器憑證上的通用名稱 (CN) 或主體替代名稱 (SAN) 未完全一致，用戶端將會靜默中斷連線，以防止惡意 AP 的攻擊。

如需更多關於保護基礎設施安全的深入分析，請參閱我們的指南： 如何利用強大的 DNS 與安全性保護您的網路 。

投資報酬率與商業影響

轉移至 Azure Entra ID WiFi 驗證可帶來顯著的效益：

1. 減少技術支援支出：消除基於密碼的驗證可大幅減少與密碼鎖定和 WiFi 憑證更新相關的支援工單。
2. 加速合規進程：EAP-TLS 提供 PCI DSS 和 ISO 27001 等框架所需的密碼學身分證明，這對於 醫療保健 和零售環境至關重要。
3. 自動化離職流程：當員工離職時，在 Entra ID 中停用其帳戶會立即撤銷其在所有地點的網路存取權限，從而降低內部威脅。

藉由保護企業核心網路，IT 團隊可以專注於創造營收的計畫，例如利用 WiFi Analytics 來了解訪客行為並提升參與度。

參考資料

[1] Microsoft Learn. (2023). Secure WiFi access with Intune and EAP-TLS.