为访客和员工 WiFi 网络配置 RADIUS 认证

执行摘要

在现代企业环境中，保护无线网络安全是一项至关重要的运营要求。传统的安全方法（例如共享预共享密钥 (PSK)）会引入重大的安全漏洞。如果单个员工离开组织，或者访客泄露了共享密码，整个网络的安全态势都会受到威胁。本指南详细介绍了如何实施远程用户拨号认证服务 (RADIUS) 以集中进行访问控制、执行细粒度的安全策略以及隔离访客和员工流量。

通过过渡到集中的 RADIUS 架构，组织可以为员工实施 802.1X 认证 - 确保每个设备都使用唯一的、可撤销的凭证进行身份验证 - 同时为访客用户利用安全的 Captive Portal 和 MAC 认证绕过 (MAB)。此技术参考提供了部署弹性、企业级无线认证基础设施所需的架构蓝图、配置步骤和故障排除框架。

技术深度剖析

AAA 框架

RADIUS 在 AAA 框架上运行，该框架定义了访问控制的核心阶段：

1. 认证 (Authentication)：验证尝试连接到 WiFi 网络的用户或设备的身份。这是通过凭证、数字证书或令牌实现的。
2. 授权 (Authorization)：确定授予已认证实体的网络访问级别。这包括分配特定的 VLAN、应用访问控制列表 (ACL) 或强制执行带宽限制。
3. 计费 (Accounting)：跟踪网络资源消耗，包括会话时长、传输的数据以及登录/登出时间。这些数据对于审计、合规性和网络规划至关重要。
4. 审计 (Auditing)：审查收集的计费数据，以识别异常、安全漏洞或策略违规行为。

RADIUS 架构组件

标准的企业 RADIUS 部署由三个主要组件组成：

• 申请者 (Supplicant)：在用户设备（例如笔记本电脑、智能手机）上运行的客户端软件，用于请求访问网络并提供凭证或证书。
• 认证者 (Network Access Server / NAS)：控制对网络物理访问的物理或虚拟网络设备 - 通常是无线局域网控制器 (WLC) 或接入点 (AP)。认证者不决定凭证是否有效；它充当代理，将认证请求打包到 RADIUS 数据包中并将其转发到 RADIUS 服务器。
• 认证服务器 (Authentication Server)：中央服务器（例如 FreeRADIUS、Cisco ISE、Aruba ClearPass 或 Purple 的云端 RADIUS 引擎），用于根据身份存储（例如 Active Directory、LDAP 或云身份提供商）验证凭证，并向认证者返回 Access-Accept 或 Access-Reject 消息。

适用于员工 WiFi 的 EAP 方法

对于员工网络，在 802.1X 框架内使用可扩展身份验证协议 (EAP) 来协商身份验证。两种最常见的企业级 EAP 方法是：

• PEAP-MSCHAPv2 (Protected EAP)：此方法使用服务器的数字证书在客户端和 RADIUS 服务器之间建立一个安全的加密 TLS 隧道。在此安全隧道内，使用 MSCHAPv2 协议对用户的用户名和密码进行身份验证。这因其易于部署而非常受欢迎，因为它不需要在客户端设备上安装证书。
• EAP-TLS：目前最安全的身份验证方法。它需要双向身份验证，这意味着 RADIUS 服务器和客户端设备都必须提供有效的数字证书。这消除了基于密码的攻击，但需要一个强大的公钥基础设施 (PKI) 来管理证书的分发和吊销。

访客 WiFi 身份验证流程

访客网络通常使用不同的流程来平衡安全性与用户便利性。访客网络通常不使用 802.1X，而是使用 Open SSID 并结合 Captive Portal。

当访客连接时，验证器使用 MAC 身份验证绕过 (MAB) 或重定向策略将用户引导至由 Purple 等平台托管的 Captive Portal。一旦用户在门户上完成注册或登录过程，门户平台就会与 RADIUS 服务器进行通信，然后 RADIUS 服务器向 WLC/AP 发送 Access-Accept 消息，在指定的会话期限内授权该访客的 MAC 地址访问网络。

安全传输：RadSec

传统的 RADIUS 流量是以明文形式通过 UDP（用于身份验证的端口 1812 和用于计费的端口 1813）发送的，仅使用共享密钥对用户密码字段进行混淆。当通过公共 WAN 连接或互联网路由身份验证流量时，这会带来安全风险。

为了缓解这种情况，应实施 RadSec (RADIUS over TLS)。RadSec 将标准的 RADIUS 数据包封装在安全的 TLS 隧道中（通常使用 TCP 端口 2083）。这确保了在本地网络和基于云的 RADIUS 服务器之间传输期间，所有身份验证和计费数据（包括用户名、MAC 地址和会话属性）都得到完全加密。

实施指南

第 1 步：在服务器上定义 RADIUS 客户端

在任何网络设备与 RADIUS 服务器通信之前，必须将其注册为客户端。

1. 登录到您的 RADIUS 服务器管理控制台。
2. 导航至 Clients（客户端）或 Network Devices（网络设备）部分。
3. 为每个 WLC 或 AP 添加一个新的客户端条目。
4. 输入验证器的 IP 地址或子网。
5. 生成一个高熵的共享密钥。此密钥长度必须至少为 22 个字符，包含大写字母、小写字母、数字和特殊字符。避免使用简单的词典单词。

第 2 步：配置无线局域网控制器 (WLC) / 接入点 (AP)

配置您的无线硬件以指向 RADIUS 服务器进行身份验证和计费。

1. 登录到您的 WLC 或 AP 管理界面。
2. 导航至 安全 > AAA > RADIUS > 身份验证。
3. 添加新的 RADIUS 身份验证服务器：
   • 服务器 IP 地址：输入主 RADIUS 服务器的 IP 地址。
   • 共享密钥：输入在步骤 1 中配置的准确共享密钥。
   • 端口：1812（如果使用 RadSec，则为 2083）。
   • 超时时间：设置为 5 秒，以容许网络延迟。
   • 重试次数：设置为 3。
4. 导航至 RADIUS 计费 并使用端口 1813（如果使用 RadSec，则为 2083）添加一个新的服务器条目。
5. 重复这些步骤以添加一个次（备用）RADIUS 服务器，以实现高可用性。

步骤 3：配置员工 SSID (802.1X)

1. 创建一个名为 Staff_Enterprise 的新 SSID。
2. 将安全类型设置为 WPA3-Enterprise（如果需要支持旧版设备，则设置为 WPA2/WPA3-Enterprise 过渡模式）。
3. 选择 802.1X 作为密钥管理协议。
4. 将该 SSID 与在步骤 2 中配置的 RADIUS 身份验证和计费服务器相关联。
5. 将该 SSID 映射到安全的员工 VLAN（例如 VLAN 10）。

步骤 4：配置带有 Captive Portal 的访客 SSID

1. 创建一个名为 Guest_WiFi 的新 SSID。
2. 将安全类型设置为 Open（或设置为 Enhanced Open / OWE 以进行机会性无线加密）。
3. 启用 MAC 过滤 或 MAC 身份验证 并将其指向 RADIUS 服务器。
4. 启用 Captive Portal / Web 门户 重定向。
5. 将重定向 URL 配置为指向 Purple 的 Captive Portal 登录页面。
6. 配置围墙花园（预身份验证 ACL）以在身份验证完成之前允许流量访问 Captive Portal 域名、DNS 服务器和必要的 CDN 资源。
7. 将该 SSID 映射到隔离的访客 VLAN（例如 VLAN 20）。

最佳实践

高可用性与冗余

始终以冗余对（主和备）部署 RADIUS 服务器。确保这些服务器位于不同的物理硬件上或不同的云可用区中。配置您的 WLC，以便在主服务器无响应时优雅地故障转移到备用服务器。在适当的情况下实施负载均衡以均匀分配身份验证流量。

证书管理

对于 PEAP 和 EAP-TLS 部署，RADIUS 服务器证书的有效性和信任度至关重要。

• 在访客门户和 PEAP 部署中，使用由受信任的公共证书颁发机构 (CA) 颁发的证书，以防止在用户设备上出现证书警告提示。
• 对于 EAP-TLS，建立专用的内部私有 CA 来颁发和管理客户端与服务器证书。
• 密切监控证书过期日期并实施自动更新流程（例如 SCEP 或 ACME），以防止突然发生全网范围的身份验证失败。

VLAN 隔离

使用 VLAN 严格隔离您的网络流量。访客流量必须与企业资源完全隔离。在核心交换机或网关上实施防火墙规则，以阻止访客 VLAN 与员工/管理 VLAN 之间的跨 VLAN 路由。仅允许访客流量直接路由到互联网。

会话超时和计费间隔

配置适当的会话超时，以防止陈旧的会话占用 IP 地址和网络资源。

• 对于员工网络，将会话超时设置为 8 到 12 小时，以符合标准工作班次。
• 对于访客网络，设置较短的会话超时，通常为 2 到 4 小时。
• 将 RADIUS 计费过渡更新（interim-update）间隔配置为 10 或 15 分钟。这可以确保 RADIUS 服务器定期收到设备连接和数据使用情况的更新，而不会因计费数据包过多而使服务器过载。

故障排除与风险缓解

常见故障模式及解决方案

1. 共享密钥不匹配

• 症状：WLC 日志显示 “RADIUS 服务器未响应”，且 RADIUS 服务器日志显示 “数据包已丢弃 - 无效的身份验证器” 或 “请求中的身份验证器错误”。
• 根本原因：WLC 上配置的共享密钥与 RADIUS 服务器上配置的共享密钥不匹配。
• 缓解措施：在两台设备上重新输入共享密钥，确保没有复制尾随空格或隐藏字符。

2. 证书信任问题

• 症状：客户端设备无法连接到员工 SSID，显示 “未受信任的服务器证书” 或 “连接被拒绝” 等错误。
• 根本原因：客户端设备不信任签署 RADIUS 服务器证书的 CA，或者证书已过期。
• 缓解措施：确保根 CA 和中间 CA 证书已安装在客户端设备的受信任根存储中。对于企业托管的设备，通过 MDM 或组策略分发这些证书。

3. 防火墙拦截

• 症状：RADIUS 服务器未收到来自 WLC 的任何流量，即使路由已验证也是如此。
• 根本原因：中间防火墙拦截了 UDP 端口 1812 和 1813。
• 缓解措施：创建明确的防火墙规则，允许 WLC 管理 IP 与 RADIUS 服务器 IP 之间通过 UDP 1812 和 1813（或针对 RadSec 使用 TCP 2083）。

4. 延迟引起的超时

• 症状：间歇性身份验证失败，特别是在高峰时段或使用基于云的 RADIUS 服务器时。
• 根本原因：网络延迟超过了 WLC 的 RADIUS 超时阈值，导致 WLC 认为服务器处于离线状态。
• 缓解措施：将 WLC 的 RADIUS 超时设置从默认值（通常为 2 秒）增加到 5 或 7 秒。优化 WAN 路由或实施本地 RADIUS 代理以缓存身份验证请求。

ROI 与业务影响

过渡到集中式 RADIUS 身份验证模型可在多个关键领域提供可衡量的业务价值：

• 降低运营开销：消除员工离职时轮换共享 WiFi 密码所需的手动工作。可在 Active Directory 或您的身份提供商中立即禁用用户账户，从而立即使其网络访问权限失效。
• 增强安全态势：降低因凭据窃取或未经授权的网络访问而导致的数据泄露风险。通过强制执行 802.1X 和基于证书的身份验证，企业可确保只有获得授权且合规的设备才能访问敏感的企业资源。
• 优化场所运营：通过将访客 WiFi 与 Purple 的云 RADIUS 平台相集成，场所运营商可以获取宝贵的人口统计和行为数据。这些数据可用于设计针对性的营销活动、提高访客参与度，并根据人流量分析优化物理空间利用率。
• 合规性：集中式 RADIUS 记账日志提供网络访问的审计轨迹，帮助企业满足 PCI-DSS、ISO 27001 和 GDPR 等标准的合规要求。