如何配置802.1X WiFi认证：逐步指南

如何配置802.1X WiFi认证：逐步指南 Purple企业WiFi智能播客 [简介 — 大约1分钟] 欢迎回来。我以高级解决方案架构师的身份与您交流，如果您正在收听此播客，您可能正面临一个涉及802.1X认证的网络安全项目——要么是因为您的合规团队已将其标记出来，要么是因为您的保险公司询问了此事，或者您刚接手一个运行着共享PSK的网络，而您知道这已经不够用了。 所以，我们直入主题。802.1X是IEEE基于端口的网络访问控制标准。它是企业WiFi安全的支柱——这个机制可确保每个连接到您网络的设备在获得一丝流量之前都已通过肯定识别和授权。对于处理PCI DSS下支付卡数据的组织来说，这并非可选；对于GDPR和NHS数据安全标准下的医疗保健环境来说，也非可选；坦率地说，对于任何运行多个接入点的组织来说，这都是正确的架构。 在接下来的十分钟内，我将向您介绍技术架构、RADIUS配置、证书部署以及实际情况变得复杂的真实场景。让我们开始吧。 [技术深入解析 — 大约5分钟] 好的，802.1X框架包含三个组件。您有请求者——即客户端设备，笔记本电脑、手机、物联网传感器。您有认证器——即您的接入点或网络交换机，有时也称为NAS，网络访问服务器。您还有认证服务器——在企业部署中几乎普遍为RADIUS服务器。 以下是握手的工作方式。当设备尝试连接到受802.1X保护的SSID时，接入点不会直接让它接入。相反，它会打开一个所谓受控端口——一个仅传递EAP（可扩展认证协议）流量的有限通道。AP向设备发送EAP-Request Identity。设备以其身份进行响应。然后，AP将其封装在RADIUS Access-Request数据包中，转发给RADIUS服务器。RADIUS服务器运行认证——根据Active Directory、证书存储或您配置的任何身份后端检查凭据——并发回Access-Accept或Access-Reject。只有在收到Accept时，AP才会打开完整的数据端口，并将设备分配到适当的VLAN。 现在，您在此处选择的EAP方法至关重要。在企业部署中，您会遇到五种方法。 EAP-TLS是黄金标准。客户端和服务器都提供X.509证书。不涉及密码。这是最安全的选项，也是最高PCI DSS合规层级所需要的。问题是，您需要完整的PKI——公钥基础设施——来颁发和管理客户端证书。这意味着证书颁发机构、证书生命周期管理，以及向每台设备推送证书的机制。对于拥有Microsoft Active Directory和Active Directory证书服务的组织来说，这是非常可行的。对于没有该基础设施的组织，这是一项重大投资。 PEAP-MSCHAPv2是实践中部署最广泛的方法。它仅使用服务器端证书创建TLS隧道，然后在隧道内传递用户名和密码凭据。它几乎与所有设备开箱即兼容，可通过Windows Server上的NPS直接与Active Directory集成，并且不需要客户端证书。其代价是，如果用户被诱骗连接到恶意AP，则容易受到凭据窃取攻击——因为默认情况下客户端不会验证服务器证书。您必须在请求者配置文件中强制执行服务器证书验证。 EAP-TTLS类似于PEAP，但在内部认证方法上更灵活。它常见于Linux环境以及需要支持旧式认证后端的情况。 EAP-FAST由Cisco开发，作为对LEAP弱点的回应。它使用受保护的访问凭据而非证书。如果您处于Cisco密集型环境中或需要处理无法支持其他方法的旧设备，它主要与此相关。 EAP-SIM和EAP-AKA用于电信级部署——比如OpenRoaming或Passpoint——其中认证与SIM卡或USIM绑定。对于公共场所WiFi来说，这些方法越来越相关，您希望实现无缝、安全的入网，而无需Captive Portal。 现在我们来谈谈RADIUS配置。无论您是部署Microsoft NPS、FreeRADIUS、Cisco ISE还是Aruba ClearPass，核心配置步骤都是相同的。 首先，您定义RADIUS客户端——这些是您的接入点或无线局域网控制器。每个客户端都使用其IP地址和共享密钥进行注册。该共享密钥用于对AP和服务器之间的RADIUS消息进行认证。使用至少22个字符，随机生成，并且每个NAS设备唯一。 其次，您配置网络策略。您可以在此处定义谁可以访问什么。在NPS术语中，您正在创建一个网络策略，该策略匹配条件（Active Directory中的组成员身份、设备类型、时间点）并分配属性（VLAN ID、会话超时、带宽限制）。您将最常使用的RADIUS属性是VLAN分配，具体来说是将Tunnel-Type设置为VLAN，将Tunnel-Medium-Type设置为802，并将Tunnel-Private-Group-ID设置为您的VLAN号。 第三，您配置连接请求策略。这告诉NPS如何处理传入的RADIUS请求——是在本地进行认证还是将其转发到另一个RADIUS服务器。在分布式部署中，您可能拥有一个中央RADIUS服务器，并在每个站点配备NPS代理。 在证书方面，对于PEAP和EAP-TLS，您的RADIUS服务器需要一个受客户端信任的服务器证书。最简单的途径是使用来自公共CA的证书——DigiCert、Sectigo、Let's Encrypt——因为这些根证书已受所有主要操作系统的信任。如果您使用的是内部CA，则需要通过组策略或您的MDM平台将根证书推送到所有客户端设备。 特别是对于EAP-TLS，您还需要客户端证书。在Active Directory环境中，您可以使用ADCS，通过组策略自动注册将证书推送到域加入的设备。对于BYOD设备，您可以使用您的MDM——Intune、Jamf、VMware Workspace ONE——来推送证书和WiFi配置文件。 在接入点方面，配置很简单。您创建一个新的SSID，将安全性设置为WPA2-Enterprise或WPA3-Enterprise，将RADIUS认证服务器指向UDP端口1812上的NPS IP，将RADIUS计费服务器设置在UDP端口1813上，输入共享密钥，如果使用则启用动态VLAN分配。大多数企业AP平台——Cisco Meraki、Aruba、Ruckus、Extreme——都有一个GUI，一旦您的RADIUS服务器准备就绪，大约十分钟即可完成配置。 [实施建议与常见陷阱 — 大约2分钟] 好的，我们来谈谈部署失败的地方，因为这就是我赚取咨询费的地方。 最常见的故障点是证书验证。我见过组织在服务器端正确部署了PEAP-MSCHAPv2，但将客户端请求者配置文件保持为接受任何证书。这完全破坏了安全模型。每个请求者配置文件——无论是通过组策略还是MDM推送的——都必须指定受信任的根CA和预期的服务器名称。否则，您就容易受到双面恶魔攻击。 第二个常见问题是RADIUS共享密钥管理。我见过生产网络运行的共享密钥设为“radius”或供应商默认值。这些密钥是您认证基础设施的钥匙。随机生成它们，将它们存储在密钥管理器中，并按计划轮换。 第三：VLAN配置错误。动态VLAN分配功能强大——它可以让您使用同一个SSID，将员工设备放在公司VLAN上，将承包商放在受限VLAN上，并将物联网设备放在隔离VLAN上。但如果RADIUS属性未正确配置，或者交换机中继端口未承载正确的VLAN，设备将无法连接或落在错误的网段上。在推广到生产环境之前，请在实验室中彻底测试。 第四：冗余。您的RADIUS服务器现在是关键基础设施的一部分。如果它宕机，将无人能连接。您至少需要在每个AP上配置一个主RADIUS服务器和一个辅助RADIUS服务器。在大型部署中，请考虑使用具有健康监控功能的RADIUS代理集群。 第五，这对于酒店和零售环境特别重要：访客与公司分离。您的802.1X公司SSID和Guest WiFi SSID应完全分离——不同的VLAN、不同的防火墙策略、不同的DNS。像Purple这样的平台通过其自己的Captive Portal和分析层处理访客端，而您的802.1X基础设施处理公司端。这些是互补系统，而非竞争系统。 [快速问答 — 大约1分钟] 让我快速回答我收到最多的几个问题。 我可以在云管理的AP平台上运行802.1X吗？是的——Meraki、Aruba Central和Ruckus Cloud都支持。您可以在云仪表板中配置RADIUS服务器详细信息，AP处理EAP代理。 我需要Active Directory吗？不需要。FreeRADIUS可以针对LDAP、SQL数据库、纯文件甚至REST API进行认证。但通过NPS进行AD集成是迄今为止最常见的企业路径。 对于不支持802.1X的物联网设备呢？使用MAC认证旁路（MAB）作为后备方案。设备的MAC地址作为用户名和密码发送到RADIUS。它不像EAP那样安全，但它允许您注册物联网设备，同时将其保持在受限VLAN中。 802.1X与WPA3兼容吗？是的。WPA3-Enterprise本质上是带802.1X认证的WPA3。它增加了更强大的加密——高安全性模式下为192位——是新部署的推荐标准。 [总结与下一步 — 大约1分钟] 因此，总结一下：802.1X并非可有可无。对于任何处理敏感数据、处理支付或在受监管环境中运营的组织来说，它是企业WiFi安全的基线。该架构已十分成熟，工具也已成熟，部署路径清晰。 从EAP方法选择开始——如果您需要快速见效和广泛兼容性，则选择PEAP-MSCHAPv2；如果您拥有PKI基础设施且需要最强的安全态势，则选择EAP-TLS。在接触任何AP之前，先配置好RADIUS服务器并实现冗余。在上线之前，通过组策略或MDM推送您的请求者配置文件。并将您的Guest WiFi完全分开——使用一个专用平台来处理该层。 如果您运营的是多场所环境——酒店、零售连锁店、体育场馆——复杂性会随着站点数量的增加而增加，但架构不会改变。关键是集中式RADIUS加上站点本地冗余，并在您的设备群中推行一致的MDM推送请求者配置文件。 感谢收听。完整的书面指南、架构图和配置清单可在purple.ai上获取。如果您正在规划802.1X部署并希望讨论您环境的具体情况，请直接联系Purple团队。