跳至主要内容
简体中文

如何配置 SCEP 以实现安全的企业级 WiFi 和 BYOD 资源调配

本技术指南介绍了如何配置简单证书注册协议 (SCEP)，以自动执行安全的 802.1X 企业级 WiFi 身份验证和 BYOD 资源调配。它为网络架构师和 IT 经理提供了明确的部署顺序、来自酒店和零售行业的真实实施场景，以及降低风险的策略，旨在从企业网络中消除易受攻击的预共享密钥和 MAC 身份验证绕过。

📖 8 分钟阅读📝 1,754 字🔧 2 应用实例❓ 4 练习题📚 10 关键定义

收听本指南

查看播客转录
欢迎收看来自 Purple 的技术简报。我是您的主持人，今天我们将深入探讨用于安全企业 WiFi 和 BYOD 配置的 SCEP 配置。 对于在酒店、零售和公共部门运营的 IT 经理、网络架构师和 CTO 而言，管理网络访问是安全与运营效率之间持续的平衡博弈。您每天都要处理数百甚至数千台连接到网络的设备。员工的智能手机、承包商的笔记本电脑、销售点平板电脑。而处理这些问题的传统方法已经远远不够用了。 依靠预共享密钥（即 PSK）来进行员工和 BYOD WiFi 访问，是一个随时可能被利用的安全漏洞。共享密码一旦泄露，任何人都可以访问您的网络。而 MAC 地址认证绕过（即 MAB）也并不比这更好。现代智能手机默认使用随机 MAC 地址，这会彻底破坏 MAB，而且 MAC 地址在几秒钟内就可以被伪造。 现代网络架构需要使用 EAP-TLS 的 802.1X 认证。这确保了每台设备在接入网络之前都经过了加密验证。但挑战在于：如何在不让您的服务台不堪重负的情况下，将唯一的客户端证书分发给数千台非托管设备？答案就是简单证书注册协议，即 SCEP。 让我们从架构开始。SCEP 是企业设备注册的行业标准，定义在 RFC 8894 中。它自 1999 年起就已存在，最初由 VeriSign 创建，并且经受住了时间的考验，因为它优雅地解决了一个真正棘手的问题。 在 SCEP 工作流中，设备在本地生成自己的私钥和公钥对。它创建一个证书签名请求（即 CSR），并通过网络设备注册服务（即 NDES）将其发送到您的证书颁发机构（即 CA）。CA 验证该请求并将签名后的公钥证书返回给设备。 这里关键的安全优势在于，私钥永远不会离开设备。它在本地生成并存储在设备的硬件安全区域中。在 Windows 笔记本电脑上，那是受信任的平台模块（即 TPM）。在 iPhone 上，则是 Secure Enclave。私钥永远不会在网络上传输。这就是为什么在网络认证中，SCEP 远远优于像 PKCS 这样的替代方案，在 PKCS 中，CA 集中生成密钥对并将其传输到设备。 现在，让我们来谈谈 BYOD。从运营的角度来看，这是真正有趣的地方。您希望员工能够使用他们的个人设备访问内部工具，但您又不想强迫他们注册到您的企业 MDM 中。这是一个隐私问题，并且会遭到员工的强烈抵制。 该解决方案是一个自助式入网门户。其工作原理如下：用户将个人设备连接到专用的配置 SSID。该网络是一个围墙花园（限制性网络），限制访问除入网门户和您的身份提供商之外的所有内容。用户使用其企业凭据进行身份验证，通常是通过与 Microsoft Entra ID、Okta 或 Google Workspace 的 SAML 集成。身份验证成功后，系统会通过 SCEP 生成一个唯一的、针对特定设备的客户端证书。配置描述文件会被推送到设备，其中包含该证书、根 CA 证书和网络设置。随后，设备会使用 EAP-TLS 自动连接到安全的 corporate SSID。 这对用户来说是无缝的，对企业来说是安全的。他们不需要了解任何关于证书或 802.1X 的知识。他们只需登录一次即可连接。 现在，让我们详细了解一下具体实现。部署顺序至关重要，顺序错误是导致失败最常见的原因。 第一步：部署受信任的根证书。在任何设备可以请求客户端证书或信任您的 RADIUS 服务器之前，它必须信任颁发证书的证书颁发机构（CA）。将您的根 CA 证书导出为 .cer 文件，并将其部署到您的目标设备组。这一步是不可逾越的。没有它，整个信任链都会失效。 第二步：配置 SCEP 证书描述文件。这会指示设备如何获取其客户端证书。您需要配置使用者名称格式。对于用户驱动的身份验证，标准是 CN 等于 UserPrincipalName。对于设备身份验证，使用 CN 等于 Azure AD 设备 ID。将密钥用法设置为数字签名和密钥加密。在扩展密钥用法下，指定客户端身份验证，其 OID 为 1.3.6.1.5.5.7.3.2。将此描述文件链接到步骤一中受信任的根证书描述文件。并提供您 NDES 服务器的外部 URL。 第三步：部署 802.1X WiFi 描述文件。这会将证书与网络 SSID 绑定。输入与您的接入点广播完全一致的网络名称。将安全类型设置为 WPA2-Enterprise 或 WPA3-Enterprise。将 EAP 类型设置为 EAP-TLS。选择 SCEP 证书描述文件作为客户端身份验证证书。并指定受信任的根证书用于服务器验证。 这个顺序是整个简报中最需要记住的关键。先信任，再证书，最后 WiFi。每次都必须按此顺序进行。 现在，让我为您介绍一些最佳实践，这些实践将为您在生产环境中免去大量的痛苦。 首先，通过 Azure AD Application Proxy 发布您的 NDES 服务器。NDES 服务器必须能够从互联网访问，以便远程设备在到达现场之前能够配置证书。但是，将内部服务器直接暴露给互联网存在巨大的安全风险。Application Proxy 可为您提供安全的远程访问，而无需打开入站防火墙端口。 其次，针对 BYOD 设备实施短期证书。不要签发有效期为三年的证书，而是签发有效期为 90 天的证书。当证书过期时，用户必须通过引导门户（onboarding portal）重新进行身份验证。这会自然地从网络中清除过期设备。90 天内未使用的设备会自动掉线，无需手动清理。 第三点，也是至关重要的一点，配置您的 RADIUS 服务器以执行严格的证书吊销列表（CRL）检查。当员工离职时，如果其客户端证书仍然有效，禁用其 Active Directory 账户可能无法立即撤销其 WiFi 访问权限。您的 RADIUS 服务器必须在授予访问权限之前检查 CRL。确保您的 CRL 分发点具有高可用性。如果 RADIUS 服务器无法访问 CRL，所有人的身份验证都会失败，这将导致大范围的停机。 现在，让我们来看看一些常见的故障模式以及如何避免它们。 最常见的问题是 WiFi 配置文件应用失败。设备接收到了受信任的根证书和 SCEP 证书，但 WiFi 配置文件在 MDM 控制台中显示为“错误”。十有八九，这是由于群组定位不匹配导致的。如果 SCEP 配置文件分配给了“用户组”，而 WiFi 配置文件分配给了“设备组”，则 MDM 无法解析该依赖关系。请审计您的分配情况，确保所有三个配置文件都定位到完全相同的群组。 第二个常见问题是 NDES 403 Forbidden 错误。设备无法检索 SCEP 证书，且 NDES IIS 日志显示 HTTP 403 错误。这通常是由于连接器服务账户缺少对证书模板的必要权限，或者防火墙阻止了 SCEP 使用的特定查询字符串参数。请验证连接器账户在 CA 模板上是否具有“读取”和“注册”权限。检查您的防火墙日志，确保未阻止包含 operation equals GetCACaps 参数的 URL。 让我为您提供两个真实场景，以说明这在实践中是如何运作的。 场景一：一家拥有 200 间客房的酒店，有 50 名保洁人员使用个人智能手机访问排班应用程序。IT 经理希望避免完全的 MDM 注册，以尊重员工的隐私。解决方案是采用与 Microsoft Entra ID 集成的自助服务门户。员工连接到配置 SSID，使用其 Entra ID 凭据登录，并下载 SCEP 配置文件。SCEP 服务器直接向设备签发一个有效期为 30 天的客户端证书。设备使用 EAP-TLS 连接到员工 WiFi SSID。RADIUS 服务器将这些设备分配到仅允许访问排班应用程序的受限 VLAN。当员工离职时，其 Entra ID 账户将被禁用，RADIUS 服务器会立即拒绝其网络访问。 场景二：一家拥有 500 家门店的全国性零售连锁店，为其公司所有的销售点（POS）平板电脑部署安全的 WiFi。网络架构师需要确保即使平板电脑被盗，其凭据也无法被提取。解决方案是 Microsoft Intune 通过 SCEP 部署证书。Intune 推送受信任的根证书，随后推送 SCEP 配置文件，指示平板电脑在其硬件安全飞地中生成自己的私钥。平板电脑向 NDES 服务器提交 CSR，接收客户端证书，并使用 EAP-TLS 连接到零售 POS SSID。由于私钥是在本地生成的且从未传输，因此被盗平板电脑的凭据无法在其他地方使用。这满足了 PCI DSS 合规性要求。 现在，让我们谈谈商业案例。过渡到 SCEP 802.1X 证书部署可在安全和运营方面带来可衡量的回报。 基于密码的 WiFi 会产生大量的服务台工单。密码过期、锁定、拼写错误。基于证书的身份验证对用户是无感的。设备会自动连接。这通常可以将与 WiFi 相关的服务台工单量减少 70%。这是运营成本的实质性降低。 EAP-TLS 消除了凭据收集和中间人攻击的风险。这对于零售环境中的 PCI DSS 合规性以及所有行业的 GDPR 合规性至关重要。数据泄露的成本远超部署适当 PKI 基础设施的成本。 对于已经运行 Purple 的 Guest WiFi 和分析平台的组织，将安全入网扩展到员工 BYOD 设备可提供统一的网络管理策略。Purple 与硬件无关的云覆盖可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 集成，因此您不会被锁定在单一硬件供应商中。Purple 在 80,000 个活跃场所运营，并在 2024 年处理了 4.4 亿次登录，持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。 最后，让我快速总结一下您需要做出的关键决策。 您应该使用 SCEP 还是 PKCS？在 WiFi 身份验证中请使用 SCEP。私钥保留在设备上。仅在需要密钥托管的电子邮件加密中使用 PKCS。 证书的有效期应该是多长？BYOD 为 90 天。公司管理设备为一到两年。 您应该在 MDM 中使用用户定位还是设备定位？对于需要在用户登录前进行连接的公司设备，请使用设备定位。对于证书应与个人绑定的 BYOD，请使用用户定位。 您如何处理 Android 碎片化？尽可能使用 Passpoint（也称为 Hotspot 2.0）。它在不同的 Android 制造商之间提供了始终如一的连接体验。 最后，最重要且必须做对的一件事是什么？在您的 RADIUS 服务器上进行 CRL 检查。如果没有它，已撤销的证书仍然可以授予网络访问权限。 今天的简报到此结束。如果您想深入了解这些主题，可以在 Purple 官方网站 purple.ai 上获取关于企业 WiFi 安全和 EAP-TLS 证书认证的 Purple 技术指南。感谢您的收听。

header_image.png

执行摘要

对于在酒店、零售和公共部门运营的企业场所而言，依靠预共享密钥 (PSK) 或 MAC 身份验证绕过 (MAB) 来实现员工和 BYOD WiFi 接入存在安全隐患。现代网络架构要求使用 EAP-TLS（可扩展身份验证协议-传输层安全）进行 802.1X 身份验证，以确保每个设备在访问网络之前都经过密码学验证。运营上面临的挑战是如何将唯一的客户端证书分发给数千台非托管设备，而又不会让您的 IT 服务台陷入支持工单的泥潭。

RFC 8894 中定义的简单证书注册协议 (SCEP) 通过自动化的证书生命周期管理解决了这一分发难题。通过利用 SCEP，IT 团队可以将受信任的根证书和客户端证书推送到终端，确保私钥永远不会离开设备。本指南为 SCEP WiFi 证书部署提供了权威的架构蓝图和分步实施策略。我们涵盖了成功部署所需的关键部署顺序、来自酒店和零售行业的真实应用场景，以及风险缓解策略，以确保您的 Guest WiFi 和企业网络保持安全和高效。

技术深度解析：SCEP 架构

SCEP 是企业设备注册的行业标准，由 VeriSign 创建并于 1999 年作为 IETF 互联网草案发布。它在公钥基础设施 (PKI) 环境中实现了 X.509 证书颁发的自动化，消除了大规模手动管理证书的需要。

scep_architecture_overview.png

在 SCEP 工作流中，设备在本地生成自己的私钥和公钥对。它创建证书签名请求 (CSR)，并通过网络设备注册服务 (NDES) 服务器将其发送到您的证书颁发机构 (CA)。CA 使用共享密钥验证该请求，并将签名的公钥证书返回给设备。其关键的安全优势在于私钥永远不会离开设备。它在本地生成并存储在设备的硬件安全区域中——Windows 上的受信任平台模块 (TPM) 或 iOS 上的 Secure Enclave。这使得 SCEP 成为 802.1X 身份验证强烈推荐的方法，相比之下，在 PKCS（公钥加密标准）中，CA 会集中生成密钥对并通过网络进行传输。

SCEP 证书注册的四个步骤如下：首先，设备连接到由 NDES 服务器托管的 SCEP 终端 URL。其次，设备提供 SCEP 共享密钥（静态密码或由 MDM 平台生成的动态挑战），以对注册请求进行身份验证。第三，设备生成包含其公钥和身份信息的 CSR。第四，CA 验证 CSR 并颁发签名的 X.509 证书，该证书将返回给设备。

SCEP 与 PKCS：选择合适的机制

在设计证书部署策略时，SCEP 和 PKCS 之间的选择会直接影响安全性。下表总结了关键区别。

属性 SCEP PKCS
私钥生成 在设备上（安全区域） 在 CA 服务器上
私钥传输 从不传输 通过网络传输
基础设施要求 需要 NDES 服务器 不需要 NDES
最佳适用场景 WiFi 和 VPN 身份验证 S/MIME 邮件加密
802.1X 的安全态势 推荐 不推荐

对于企业级 WiFi 的 SCEP，请始终选择 SCEP。私钥保留在设备上是其根本的安全属性，这使得基于证书的 802.1X 身份验证优于任何基于凭据的方法。

BYOD 自助入网流程

安全 BYOD 入网的基础是在不需要完全移动设备管理 (MDM) 注册的情况下，从传统身份验证过渡到 EAP-TLS。强制员工将个人智能手机注册到企业 MDM 中会引发合理的隐私担忧，并遭到强烈抵制。自助服务入网门户解决了这一问题。

用户将其个人设备连接到专用的配置 SSID，该 SSID 作为一个围墙花园，仅限制访问引导门户和身份提供商。用户通过与 Microsoft Entra ID、Okta 或 Google Workspace 的 SAML 或 OAuth 集成进行身份验证。身份验证成功后，系统会通过 SCEP 生成一个唯一的、设备特定的客户端证书。配置描述文件（Apple 的 .mobileconfig 文件或 Android Passpoint 描述文件）会被推送到设备上。然后，设备使用 EAP-TLS 自动连接到安全的企业 SSID。用户无需了解任何关于证书或 802.1X 的知识。

实施指南：部署顺序

成功配置用于 802.1X 的 SCEP 需要严格遵守特定的部署顺序。在配置身份验证之前，必须先建立信任。偏离此顺序是部署失败最常见的原因。

步骤 1：部署受信任的根证书。 在任何设备请求客户端证书或信任您的 RADIUS 服务器之前，它必须信任颁发证书的证书颁发机构（CA）。将您的根 CA 证书（以及任何中间 CA 证书）导出为 .cer 文件。通过您的 MDM 平台将此描述文件部署到您的目标设备组。此步骤是不可逾越的。

步骤 2：配置 SCEP 证书描述文件。 这将指示设备如何获取其客户端证书。配置使用者名称格式——对于用户驱动的身份验证，CN={{UserPrincipalName}} 是标准格式；对于设备身份验证，请使用 CN={{AAD_Device_ID}}。将密钥用法设置为 Digital signature（数字签名）和 Key encipherment（密钥加密）。在扩展密钥用法下，指定 Client Authentication（客户端身份验证，OID: 1.3.6.1.5.5.7.3.2）。将此描述文件链接到步骤 1 中的受信任根证书描述文件。提供您 NDES 服务器的外部 URL。

步骤 3：部署 802.1X WiFi 描述文件。 推送将证书与网络 SSID 绑定的 WiFi 配置。输入与您的接入点广播完全一致的网络名称。将安全类型设置为 WPA2-Enterprise 或 WPA3-Enterprise。将 EAP 类型设置为 EAP-TLS。选择 SCEP 证书描述文件作为客户端身份验证证书。指定用于服务器验证的受信任根证书，以确保设备仅连接到您合法的 RADIUS 服务器。

此顺序适用于所有受支持的硬件平台：Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。Purple 与硬件无关的云覆盖层可与所有这些平台集成，这意味着您的证书基础设施不会被绑定到单一的硬件厂商。

最佳实践

通过 Azure AD Application Proxy 发布 NDES。 NDES 服务器必须能够从互联网访问，以便远程设备在到达现场之前能够配置证书。直接将内部服务器暴露给互联网存在重大安全风险。通过 Azure AD Application Proxy 进行发布可提供安全的远程访问，而无需打开入站防火墙端口，并允许您将条件访问策略应用于注册流程。

为 BYOD 颁发短期证书。 由于 BYOD 设备是未托管的，因此受损设备留在网络上的风险更高。颁发有效期为 90 天而非多年的证书。当证书过期时，用户必须通过引导门户重新进行身份验证。这自然会从网络中清除陈旧的设备，而无需人工 IT 干预。

在 RADIUS 服务器上强制执行严格的 CRL 检查。 证书部署仅是安全等式的一半。如果员工被解雇，即使其客户端证书仍然有效，禁用其 Active Directory 帐户也可能无法立即撤销其 WiFi 访问权限。配置您的 RADIUS 服务器以强制执行严格的证书撤销列表 (CRL) 检查。确保您的 CRL 分发点 (CDP) 高度可用。如果 RADIUS 服务器无法访问 CRL，则所有用户的身份验证都会失败——这将导致大范围的停机。

将 BYOD 隔离到专用 VLAN 上。 BYOD 设备是未托管的。您无法控制其操作系统更新、防病毒状态或已安装的应用程序。将 BYOD 设备放置在专用 VLAN 上，该 VLAN 提供互联网访问，并且仅对该员工角色所需的特定内部应用程序提供受限访问。切勿将 BYOD 设备与企业服务器或托管设备放在同一个 VLAN 上。

byod_vs_psk_comparison.png

故障排除与风险缓解

WiFi 配置文件应用失败。 设备接收到了受信任的根证书和 SCEP 证书，但 WiFi 配置文件在 MDM 控制台中显示为“错误”。这几乎总是由于组定位不匹配引起的。如果 SCEP 配置文件分配给用户组，而 WiFi 配置文件分配给设备组，则 MDM 无法解析该依赖关系。审计您的分配，并确保受信任的根证书、SCEP 和 WiFi 配置文件都定位到完全相同的 Azure AD 组。

NDES 403 Forbidden 错误。 设备无法检索 SCEP 证书，且 NDES IIS 日志显示 HTTP 403 错误。连接器服务帐户可能在证书模板上缺乏必要的权限，或者您的防火墙正在阻止 SCEP 使用的特定查询字符串参数。验证连接器帐户在 CA 模板上是否具有“读取”和“注册”权限。检查防火墙日志以确保包含 ?operation=GetCACaps 的 URL 未被阻止。

Android fragmentation. Apple iOS devices handle .mobileconfig profiles consistently. Android is highly fragmented - different manufacturers and OS versions handle WiFi profiles and certificate installation differently. Provide clear, OS-specific instructions on the onboarding portal. Using Passpoint (Hotspot 2.0) significantly improves the Android experience by providing a consistent connection flow across manufacturers.

Certificate revocation delays. When an employee leaves, their access must be revoked immediately. Disabling their IdP account is the first step, but the RADIUS server must also verify the certificate's status. Configure your RADIUS server to use the Online Certificate Status Protocol (OCSP) in addition to CRL checking. OCSP provides real-time revocation status rather than relying on a periodically updated list.

ROI and business impact

Transitioning to SCEP 802.1X certificate deployment delivers measurable returns across security and operations. Password-based WiFi generates a significant volume of helpdesk tickets from password expirations, lockouts, and typos. Certificate-based authentication is invisible to the user - devices connect automatically. This typically reduces WiFi-related helpdesk volume by 70%, freeing IT staff to focus on strategic work.

EAP-TLS eliminates the risk of credential harvesting and Man-in-the-Middle (MitM) attacks. This is critical for compliance with PCI DSS in Retail environments and GDPR across all sectors. In Hospitality , where staff handle payment data and guest personal information, the cost of a data breach far exceeds the cost of deploying a proper PKI infrastructure. For Transport operators and Healthcare venues, the same compliance drivers apply.

For venues already utilising Purple's Guest WiFi and WiFi Analytics platform, extending secure onboarding to staff BYOD devices provides a unified, robust network management strategy. Purple operates across 80,000+ live venues and has processed 440 million logins in 2024 (Purple internal data), holding ISO 27001, GDPR, CCPA, and Cyber Essentials certifications. Our SecurePass and Shield security add-ons integrate directly with the certificate-based authentication architecture described in this guide.

For a broader view of enterprise network security, consult our Enterprise WiFi Security: A Complete Guide for 2026 . For GDPR compliance considerations specific to network administrators, see The Network Administrator's Guide to GDPR and Guest Data Privacy Compliance .

关键定义

SCEP (Simple Certificate Enrollment Protocol)

RFC 8894 中定义的一种协议，用于在 PKI 环境中自动向设备颁发 X.509 数字证书。设备在本地生成自己的私钥，该私钥绝不会离开设备。

用于大规模向企业和 BYOD 设备部署 WiFi 身份验证证书，无需 IT 人员手动干预。这是 802.1X 证书配置的行业标准。

802.1X

一种用于基于端口的网络访问控制的 IEEE 标准（IEEE Std 802.1X-2020）。它为希望连接到 LAN 或 WLAN 的设备提供了一种身份验证机制，然后再授予其访问网络资源的权限。

安全企业 WiFi 的基石，取代了易受攻击的预共享密钥。需要 RADIUS 服务器、客户端设备上的 supplicant（请求方）以及接入点上的 authenticator（认证方）。

EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)

一种身份验证框架，要求服务器和客户端都出示有效的数字证书。提供双向身份验证，确保设备信任网络，且网络也信任设备。

802.1X 身份验证最安全的方法。消除凭据窃取和中间人攻击。这是 SCEP 证书部署旨在启用的目标身份验证协议。

NDES (Network Device Enrollment Service)

一种 Microsoft Windows Server 角色，起到了桥梁作用，允许没有域凭据的设备通过 SCEP 从 Active Directory 证书服务 CA 获取证书。

在使用 Microsoft Intune 实施 SCEP 时所需的必选基础设施组件。应通过 Azure AD Application Proxy 发布，以实现安全的远程证书配置。

BYOD (Bring Your Own Device)

允许员工使用个人智能手机、平板电脑或笔记本电脑访问企业网络和应用程序的行为。

需要进行精细的网络隔离和安全准入，以防止未管理的设备危害企业网络。由于隐私问题，对个人设备进行完全的 MDM 注册通常是不切实际的。

CRL (Certificate Revocation List)

由证书颁发机构（CA）发布的列表，其中包含在到期日之前已被吊销的证书的序列号。

RADIUS 服务器在每次身份验证尝试期间都必须检查此列表，以确保离职员工或受损设备无法访问网络。CRL 分发点必须保持高可用性。

CSR (Certificate Signing Request)

由设备生成并发送给证书颁发机构（CA）以申请数字身份证书的信息。包含设备的公钥和身份信息。

在 SCEP 过程中由设备生成。用于对 CSR 进行签名的私钥保留在设备上，绝不会被传输。

RADIUS (Remote Authentication Dial-In User Service)

一种网络协议，为连接到网络的用户和设备提供集中式的认证、授权和计费（AAA）管理。

在 802.1X 身份验证期间验证客户端证书并授予或拒绝网络访问的服务器。必须配置为执行严格的 CRL 或 OCSP 检查。

PKCS (Public Key Cryptography Standards)

一套标准，其中公钥和私钥均由证书颁发机构生成，然后安全地交付给终端。

与 SCEP 相比，不太适合用于 WiFi 身份验证，因为私钥会通过网络传输。更适合需要密钥托管的 S/MIME 电子邮件加密。

OCSP (Online Certificate Status Protocol)

一种提供实时证书吊销状态的协议，作为定期更新的 CRL 的替代方案。

在高安全要求的环境中比 CRL 更受青睐，因为它提供即时的吊销状态，而不是依赖于可能已过时数小时的列表。

应用实例

一家拥有 200 间客房的酒店需要为 50 名客房部员工提供安全的 WiFi 接入，以便他们使用个人智能手机 (BYOD) 访问客房调度应用程序。IT 经理希望避免进行完整的 MDM 注册以尊重员工隐私，但需要确保在员工离职时立即撤销其访问权限。

该酒店部署了一个与 Microsoft Entra ID 集成的自助服务入网门户。员工连接到开放的调配 SSID，使用其 Entra ID 凭据进行身份验证，并下载 SCEP 配置文件。SCEP 服务器直接向设备颁发有效期为 30 天的客户端证书，私钥在智能手机的安全元件中本地生成并存储。设备使用 EAP-TLS 自动连接到 "Staff_WiFi" SSID。RADIUS 服务器将这些设备分配到受限的 VLAN，该 VLAN 仅允许访问调度应用程序和互联网。当员工离职时，其 Entra ID 帐户将被禁用。配置了严格 CRL 检查的 RADIUS 服务器将在下一次身份验证尝试时拒绝网络访问。30 天的证书有效期确保了即使 CRL 检查延迟，访问权限也会在一个月内失效。

考官评语： 这种方法在安全性和员工隐私之间取得了平衡。通过 Captive Portal 而不是完整的 MDM 注册来使用 SCEP，酒店避免了在个人设备上安装管理配置文件。30 天的证书有效期和严格的 CRL 检查提供了分层的访问控制。VLAN 隔离确保了即使 BYOD 设备遭到入侵，也无法访问企业服务器或支付系统。

一家拥有 500 家门店的全国性零售连锁店需要为运行 Windows 的公司所有销售点 (POS) 平板电脑部署安全的 WiFi。网络架构师必须确保即使平板电脑被盗，也无法提取网络凭据并用于从其他设备访问企业网络。必须符合 PCI DSS 标准。

网络架构师配置 Microsoft Intune 以通过 SCEP 部署证书。Intune 将受信任的根证书推送到 "POS Devices" 组，然后推送 SCEP 配置文件，该文件指示每台平板电脑在 Windows TPM 中生成自己的私钥。平板电脑向 NDES 服务器提交 CSR，接收客户端证书，并使用 WPA3-Enterprise 和 EAP-TLS 连接到 "Retail_POS" SSID。RADIUS 服务器对证书进行身份验证，并将设备置于隔离的 POS VLAN 中，该 VLAN 仅允许流量流向支付处理器和库存管理系统。所有三个 Intune 配置文件（受信任的根证书、SCEP 和 WiFi）都分配给同一个 "POS Devices" 设备组，以防止依赖项失败。NDES 通过 Azure AD Application Proxy 发布，以便在不需要平板电脑在现场的情况下进行证书更新。

考官评语： 这是 PCI DSS 环境中公司设备的最佳架构。因为 SCEP 确保私钥在 TPM 中本地生成且绝不传输，所以无法提取被盗平板电脑的凭据并在其他设备上进行重放。WPA3-Enterprise 标准提供了前向保密性，确保捕获的流量无法追溯解密。VLAN 隔离将任何受损设备的影响范围仅限制在 POS 网络段。

练习题

Q1. 您正在通过 Intune 向一批 Windows 笔记本电脑部署 SCEP 配置文件。设备成功接收了受信任的根证书，但 WiFi 配置文件应用失败，并在 Intune 控制台中显示为“错误”。SCEP 配置文件分配给“所有用户”Azure AD 组，而 WiFi 配置文件分配给“公司笔记本电脑”设备组。导致失败的原因是什么，您如何解决？

提示：考虑配置文件之间的依赖关系，以及当一个配置文件依赖于另一个配置文件时，Intune 如何解析组目标定位。

查看标准答案

失败是由组目标定位不匹配引起的。Intune 无法解析 SCEP 配置文件与 WiFi 配置文件之间的依赖关系，因为它们针对不同的组类型——一个针对用户，另一个针对设备。要解决此问题，请审核所有三个配置文件分配，并确保受信任的根证书、SCEP 和 WiFi 配置文件都部署到完全相同的 Azure AD 组。在所有配置文件中一致选择用户目标定位或设备目标定位。

Q2. 一家零售场所希望保护其 POS 平板电脑的安全。IT 总监建议使用 PKCS 代替 SCEP，因为这样可以通过消除对 NDES 服务器的需求来简化基础设施。作为网络架构师，您为什么应该推荐将 SCEP 用于 802.1X WiFi 身份验证？在什么情况下 PKCS 才是正确的选择？

提示：思考在这两种协议中私钥是在哪里生成和存储的，并考虑网络身份验证与电子邮件加密的安全影响。

查看标准答案

推荐将 SCEP 用于 802.1X WiFi 身份验证，因为私钥是在设备本地生成的，并存储在其硬件安全飞地中。私钥永远不会离开设备，也永远不会在网络上传输。如果平板电脑被盗，凭据无法被提取并在另一台设备上使用。而使用 PKCS 时，CA 会集中生成密钥对并将其传输到设备，这引入了网络身份验证无法接受的传输风险。PKCS 仅在需要密钥托管的 S/MIME 电子邮件加密中才是正确的选择，以便在原始设备丢失时可以解密加密的电子邮件。

Q3. 您正在为一家拥有 500 张床位的医院设计 BYOD 接入门户。临床工作人员将使用他们的个人智能手机访问非关键的内部应用，例如排班表和内部消息。您需要降低员工离职后过期设备仍留在网络中的风险，且无需 IT 人员对每次离职进行手动干预。您应该实施什么特定的证书配置？

提示：考虑证书的生命周期，以及如何强制设备定期重新进行身份验证，而无需 IT 人员手动撤销每个证书。

查看标准答案

实施有效期为 30 到 90 天的短期证书。当证书过期时，BYOD 设备将被强制通过 Captive Portal，使用该员工的公司 IdP 凭据重新进行身份验证。如果该员工已离职且其 IdP 帐户已被禁用，他们将无法完成重新身份验证，并且不会收到新证书。这自然会从网络中清除过期设备，而无需 IT 人员手动撤销单个证书。将此与 RADIUS 服务器上的 OCSP 检查相结合，以确保在帐户禁用时立即撤销，从而在证书过期周期之间提供深度防御。

Q4. 您的 NDES 服务器针对所有 SCEP 证书请求返回 HTTP 403 Forbidden 错误。该 NDES 服务器可通过 Azure AD Application Proxy 从互联网访问。导致此错误的两个最可能原因是什么，您如何诊断每一个原因？

提示：同时考虑证书模板上的权限以及设备与 NDES 服务器之间的网络路径。

查看标准答案

两个最可能的原因是：第一，Intune Certificate Connector 服务帐户在 CA 证书模板上缺乏必要的权限。请在 CA 控制台中验证该服务帐户对该模板是否具有“读取”和“注册”权限。第二，防火墙或 Application Proxy 阻止了 SCEP 使用的特定查询字符串参数。检查防火墙和 Application Proxy 日志，查看是否包含诸如“?operation=GetCACaps”或“?operation=PKIOperation”等参数的请求。这些是必须允许的标配 SCEP 操作。如果 Application Proxy 正在剥离查询字符串，请调整预身份验证设置以允许 NDES URL 路径透传。

继续阅读本系列

如何配置 SCEP 以实现自动化企业级 WiFi 证书注册

本指南详细介绍了如何配置 SCEP（简单证书注册协议）以实现自动化企业级 WiFi 证书注册，涵盖了从 PKI 和 NDES 到 MDM 配置文件部署以及 RADIUS 验证的完整架构。本指南面向酒店、零售连锁、体育场馆、会议中心和公共部门组织的 IT 经理、网络架构师和 CTO，旨在帮助他们摆脱预共享密钥，实施可扩展的、基于身份的 802.1X EAP-TLS 认证。Purple 的硬件无关型云覆盖平台可与该架构直接集成，为您提供与证书认证的员工网络并行的访客和 BYOD WiFi 层。

阅读指南 →

SCEP 企业指南：部署简单证书注册协议以实现自动化校园 WiFi 安全

本技术参考指南为使用 SCEP 进行企业 WiFi 证书部署提供了权威的架构蓝图和逐步实施策略。它涵盖了 SCEP 与 PKCS 之间的关键区别、成功部署所需的精确顺序，以及 IT 领导者的实际风险缓解策略。

阅读指南 →

如何实施 SCEP 以实现自动化 WiFi 证书注册

本指南介绍了如何在企业场所中实施 SCEP（简单证书注册协议）以实现自动化 WiFi 证书注册。它涵盖了完整的架构蓝图——从 PKI 设计和 MDM 集成到强制性的三步部署顺序——并向 IT 经理和网络架构师展示了如何消除共享凭据、自动化证书生命周期管理，并大规模满足 PCI DSS 和 GDPR 要求。

阅读指南 →