如何在常见接入点平台（Cisco、Aruba、Ubiquiti）上配置 WPA2-Enterprise

如何在常用接入点平台上配置 WPA2-Enterprise - Cisco、Aruba 和 Ubiquiti Purple WiFi 深度智能通报 [导言 - 约 1 分钟] 欢迎来到 Purple WiFi 智能系列。我是你们的主持人，今天我们将直奔主题，探讨企业客户最常咨询的热门话题之一：如何在三个部署最广泛的接入点平台（Cisco、Aruba 和 Ubiquiti）上配置 WPA2-Enterprise。 无论您是拥有 500 间客房的酒店集团的 IT 总监、国家级零售连锁店的网络架构师，还是会议中心运营商的 CTO，本次通报都非常适合您。我们不会为了讲理论而讲理论。我们将逐步介绍您在做出部署决策、正确执行并避免让经验丰富的团队也踩坑时所需了解的知识。 让我们正式开始吧。 [技术深挖 - 约 5 分钟] 首先，我们来快速梳理一下什么是 WPA2-Enterprise，因为市场上对于 WPA2-Personal 和 WPA2-Enterprise 之间仍然存在惊人的混淆 - 而这一区别对于合规性和风险状况至关重要。 WPA2-Personal - 也就是大多数人最熟悉的版本 - 使用单一的预共享密钥。网络上的每个人都使用相同的密码。这对于家庭网络来说没有问题。但对于需要每用户身份验证、审计轨迹以及能够立即撤销访问权限的业务环境，这绝对是不可接受的。 基于 802.1X 定义的 WPA2-Enterprise 用个人身份验证交换取代了该共享密钥。每个用户或设备都会出示自己的凭据 - 无论这是用户名和密码、数字证书还是令牌 - 并且这些凭据在被授予网络访问权限之前由 RADIUS 服务器进行验证。接入点本身永远看不到凭据。它纯粹充当身份验证器，在客户端和 RADIUS 服务器之间传递 EAP - 可扩展身份验证协议 - 交换。这是一种从根本上更安全的气候架构，也是任何处理支付卡数据的环境中满足 PCI-DSS 合规性的基线要求，同时在 GDPR 下，也强烈建议通过无线网络处理个人数据的组织采用此种方式。 现在，让我们来谈谈这三个平台。 从 Cisco 开始。Cisco 的企业级 WiFi 产品组合（主要是 Catalyst 和 Meraki 系列）是大规模部署的首选。Cisco DNA Center 提供集中式策略管理，而 Meraki 仪表板则为分布式资产提供云端管理的便捷性。要在 Cisco Catalyst 接入点上配置 WPA2-Enterprise，您需要通过 WLC（无线局域网控制器）或 DNA Center 进行操作。关键步骤包括：在“安全”下的“AAA”，然后是“RADIUS 身份验证服务器”中定义您的 RADIUS 服务器；创建一个新的 WLAN 配置文件；将安全策略设置为 WPA2，并将 802.1X 作为密钥管理方法；然后将 RADIUS 服务器绑定到该 WLAN。关于 Cisco 的一个关键点是：确保您配置了 RADIUS 计费以及身份验证。计费可为您提供合规性框架所需的每个会话的审计轨迹。在 Meraki 上，该过程更加简单 - 导航至“无线”，然后是“SSID”，选择您的目标 SSID，将安全设置为带有“我的 RADIUS 服务器”的 WPA2-Enterprise，并输入您的 RADIUS 服务器 IP、端口（通常身份验证为 1812，计费为 1813）和共享密钥。Meraki 还支持直接从仪表板进行 RADIUS 测试，这在调试期间非常有用。 接下来是 Aruba。Aruba Networks（现为 HPE 旗下成员）是酒店业和高等教育领域的主导选择。Aruba Central 提供云管理，而 ArubaOS 是其底层平台。在 Aruba 上，WPA2-Enterprise 配置存在于 SSID 配置文件中。您将定义一个引用您的 RADIUS 服务器的 AAA 配置文件，然后将该 AAA 配置文件附加到您的虚拟 AP 配置文件中。Aruba 的 ClearPass Policy Manager 在这里值得特别提及 - 它是 Aruba 自己的 RADIUS 和策略引擎，并在设备分析、基于角色的访问控制和访客引导方面增加了重要功能。如果您运行的是员工、承包商和访客都连接到同一基础设施的混合环境，ClearPass 可为您提供策略粒度以进行适当的分段。对于在员工和后台网络上部署 WPA2-Enterprise，同时通过 Purple 等平台运行独立访客 WiFi 解决方案的酒店而言，Aruba 的 SSID 分段与用于员工身份验证的 ClearPass 相结合是一种非常干净的架构。 现在来看 Ubiquiti。Ubiquiti 的 UniFi 平台在中小企业和中端市场（以及越来越多精品酒店和零售业）中获得了极大的关注，这得益于其极具竞争力的价格和真正强大的管理界面。UniFi Network Controller 是您进行核心配置的地方。要在 UniFi 上配置 WPA2-Enterprise，请导航至 Settings（设置），然后选择 WiFi，创建或编辑您的 SSID，将安全类型设置为 WPA2 Enterprise，并配置您的 RADIUS 配置文件 - 同样需要输入 IP 地址、认证端口 1812、计费端口 1813 以及共享密钥。关于 Ubiquiti 的一个重要注意事项是：它不像某些企业级平台那样自带内置的 RADIUS 服务器。您需要一个外部 RADIUS 服务器 - 无论是 Windows Server NPS、FreeRADIUS 还是云 RADIUS 服务。这本身不是一个限制，而是一个需要提前规划的依赖项。对于较小规模的部署，UniFi Network Application 确实包含一个基础 RADIUS 服务器，但对于生产环境，我始终建议使用专用的 RADIUS 实例。 在这三个平台中，EAP 方法的选择都值得关注。PEAP 结合 MSCHAPv2 是应用最广泛的方法，因为它可以使用 Active Directory 凭据工作，而不需要客户端证书。EAP-TLS 更加安全 - 它使用双向证书认证 - 但它需要 PKI 基础设施并将证书部署到每个客户端设备，这增加了运维开销。对于大多数企业部署，PEAP-MSCHAPv2 配合配置妥当的 RADIUS 服务器以及客户端的证书验证，是安全性与运维可管理性之间的最佳平衡。 [实施建议与常见陷阱 - 约 2 分钟] 现在，让我为您介绍在 WPA2-Enterprise 部署中最常见的三个故障模式以及如何避免它们。 第一：RADIUS 服务器可用性。您的 RADIUS 服务器现在处于每次无线认证的关键路径上。如果它宕机，任何人无法连接。这意味着您需要 RADIUS 冗余 - 至少在每个接入点上配置主 RADIUS 服务器和备 RADIUS 服务器。大多数平台都原生支持这一点。在 Cisco 上，您可以配置带故障转移的 RADIUS 服务器组。在 Aruba 上，AAA 配置文件支持配置了重试和超时值的多个 RADIUS 服务器。在 Ubiquiti 上，您可以在 RADIUS 配置文件中指定备用 RADIUS 服务器。千万不要跳过这一步。 第二点：证书验证。在我审查的部署中，有高得令人震惊的比例将客户端设备配置为接受任何 RADIUS 服务器证书。这完全破坏了安全模型 - 它会让您容易受到恶意双胞胎攻击（evil twin attacks），即流氓接入点伪装成您的网络并窃取凭据。请配置来自受信任 CA 的 RADIUS 服务器证书，并配置您的客户端申请者（supplicants）来验证该证书。在 Windows 上，这通过组策略完成。在 iOS 和 Android 上，这通过 MDM 配置文件处理。对于任何处理敏感数据的环境，这都是不可谈判的原则。 第三点：VLAN 分配。WPA2-Enterprise 支持动态 VLAN 分配 - RADIUS 服务器可以在 Access-Accept 消息中返回 VLAN 属性，从而根据每个已验证用户的身份或角色将其放入适当的网络段中。这是 802.1X 架构最强大的功能之一，但经常未被配置。如果您的场所在同一物理基础设施上运行员工、管理层和物联网设备，动态 VLAN 分配就是您在不管理多个 SSID 的情况下实施网络分段的方法。 在 Purple 集成方面：如果您为员工和运营网络部署 WPA2-Enterprise，并运行 Purple 的访客 WiFi 平台进行访客连接，这两个系统可以干净地共存。Purple 处理访客认证、数据捕获和分析层 - 包括场所运营商用于运营决策的 WiFi 分析和客流智能 - 而您的 WPA2-Enterprise 基础设施则保护企业网络的安全。关键是在接入点级别进行干净的 SSID 和 VLAN 隔离，这三个平台都支持这一点。 [快速问答 - 约 1 分钟] 让我快速解答几个经常出现的问题。 我可以在相同的接入点上运行 WPA2-Enterprise 和访客网络吗？是的，完全可以。所有这三个平台都支持每个射频有多个 SSID，每个 SSID 都有独立的安全性策略。您的企业 SSID 运行 WPA2-Enterprise；您的访客 SSID 可以通过具有适当隔离功能的 Purple Captive Portal 运行。 我需要更换现有的接入点来部署 WPA2-Enterprise 吗？几乎肯定不需要。企业级接入点支持 WPA2-Enterprise 已经超过十年了。如果您的硬件购买时间不足八年，并且运行的是当前的固件，它就会支持 802.1X。 WPA2-Enterprise 和 WPA3-Enterprise 有什么区别？WPA3-Enterprise 增加了使用 Suite B 加密算法的 192 位安全模式，这适用于政府和国防环境。对于大多数商业部署，采用强 EAP 方法的 WPA2-Enterprise 仍然是标准。对于新的部署，WPA3 过渡值得规划，但对于大多数组织来说，这并不是一个紧急的迁移任务。 云 RADIUS 是一种可行选择吗？是的，而且正变得越来越流行。像云端的 Cisco ISE、作为服务提供的 Aruba ClearPass，或者 JumpCloud 和 Foxpass 等第三方方案，都将 RADIUS 作为托管服务提供，从而消除了基础设施开销。对于分布式物业（例如拥有 200 家门店的零售连锁），云 RADIUS 可以显著降低运营复杂度。 [总结与后续步骤 - 约 1 分钟] 总结一下：WPA2-Enterprise 是任何企业无线部署不可妥协的基线。在 Cisco、Aruba 和 Ubiquiti 上的配置过程都遵循相同的基本模式 - 定义您的 RADIUS 服务器、创建具有 802.1X 密钥管理的 SSID、选择您的 EAP 方法并在上线前进行测试。不同之处在于管理界面以及每个平台周围的生态系统工具。 需要做好的三件事：RADIUS 冗余、客户端上的证书验证以及动态 VLAN 分配。做好这三件事，您就拥有了坚固、合规且可审计的无线安全态势。 对于您的后续步骤：如果您正在评估平台，请使用随附指南中的供应商对比框架。如果您准备好进行部署，实施部分中提供了每个平台的逐步配置演示。如果您正在思考访客 WiFi 如何与您的企业网络协同工作，Purple 平台文档详细介绍了集成架构。 感谢您的收听。我们在下一次简报中再见。