如何配置 802.1X WiFi 认证：分步指南

如何配置 802.1X WiFi 认证：分步指南 Purple 企业 WiFi 智能播客 [导言 - 约 1 分钟] 欢迎回来。今天我将以资深解决方案架构师的身份与大家探讨。如果您正在收听本期节目，您可能正面临着一个涉及 802.1X 认证的网络安全项目 - 这可能是因为您的合规团队提出了这一要求，您的保险公司询问了相关情况，或者您刚刚接管了一个基于共享 PSK 运行的网络，而您深知这种方式已经无法满足安全需求。 让我们直接切入正题。802.1X 是 IEEE 基于端口的网络访问控制标准。它是企业 WiFi 安全的基石 - 这一机制可确保连接到您网络的每个设备在通过任何一个字节的流量之前，都已获得明确的身份验证和授权。对于根据 PCI-DSS 处理付款卡数据的组织而言，这不是可选的；对于 GDPR 和 NHS 数据安全标准下的医疗保健环境而言，这同样不是可选的；坦率地说，对于任何运行超过几个接入点的组织来说，这都是正确的架构。 在接下来的十分钟里，我将带您了解技术架构、RADIUS 配置、证书部署以及在实际应用中变得复杂的场景。让我们开始吧。 [技术深挖 - 约 5 分钟] 好的，802.1X 框架由三个部分组成。首先是 客户端 (Supplicant) - 也就是客户端设备，如笔记本电脑、手机、IoT 传感器。其次是 认证系统 (Authenticator) - 也就是您的接入点或网络交换机，有时也被称为 NAS（网络接入服务器）。最后是 认证服务器 (Authentication Server) - 在企业部署中，这几乎无一例外是 RADIUS 服务器。 握手的工作原理如下：当设备尝试连接到受 802.1X 保护的 SSID 时，接入点并不会直接允许其接入。相反，它会打开一个所谓的“受控端口” - 一个仅传输 EAP（可扩展身份验证协议）流量的受限通道。AP 向设备发送 EAP-Request Identity。设备以其身份信息作为响应。然后，AP 将该响应封装在 RADIUS Access-Request 数据包中并转发给 RADIUS 服务器。RADIUS 服务器执行认证 - 对照 Active Directory、证书存储或您配置的任何身份后端检查凭据 - 并发回 Access-Accept 或 Access-Reject。只有在收到 Accept 时，AP 才会打开完整的物理/逻辑数据端口并将设备分配到相应的 VLAN。 现在，您在此处选择的 EAP 方法至关重要。在企业部署中，您会遇到以下五种方法。 EAP-TLS 是黄金标准。客户端和服务器都需要出示 X.509 证书。其中不涉及任何密码。这是最安全的选项，也是满足最高 PCI-DSS 合规性级别所需的选项。问题在于，您需要一个完整的 PKI - 公钥基础设施 - 来颁发和管理客户端证书。这意味着需要一个证书颁发机构、证书生命周期管理，以及将证书推送到每台设备的机制。对于拥有 Microsoft Active Directory 和 Active Directory 证书服务的企业来说，这非常容易实现。而对于没有该基础设施的企业来说，这是一笔巨大的投资。 PEAP-MSCHAPv2 是实际应用中最广泛部署的方法。它仅使用服务器端证书创建 TLS 隧道，然后在该隧道内传输用户名和密码凭据。它几乎开箱即用兼容所有设备，通过 Windows Server 上的 NPS 直接与 Active Directory 集成，并且不需要客户端证书。其权衡在于，如果用户被诱骗连接到流氓 AP，它很容易受到凭据收集攻击 - 因为客户端默认不验证服务器证书。您必须在 supplicant 配置文件中强制执行服务器证书验证。 EAP-TTLS 与 PEAP 类似，但在内部身份验证方法上更具灵活性。这在 Linux 环境以及需要支持传统身份验证后端的场景中很常见。 EAP-FAST 是 Cisco 为应对 LEAP 的弱点而开发的。它使用受保护的访问凭据（Protected Access Credentials）而不是证书。如果您处于 Cisco 密集的网络环境中，或者需要处理无法支持其他方法的传统设备，它才最为适用。 EAP-SIM 和 EAP-AKA 用于运营商级部署 - 例如 OpenRoaming 或 Passpoint - 其中身份验证与 SIM 卡或 USIM 绑定。这对于您希望在没有 Captive Portal 的情况下实现无缝、安全入网的公共场所 WiFi 越来越重要。 现在我们来谈谈 RADIUS 配置。无论您是部署 Microsoft NPS、FreeRADIUS、Cisco ISE 还是 Aruba ClearPass，核心配置步骤都是相同的。 首先，定义您的 RADIUS 客户端 - 这些是您的接入点或无线局域网控制器。每个客户端都注册有其 IP 地址和共享密钥。该共享密钥用于对 AP 和服务器之间的 RADIUS 报文进行身份验证。请使用至少 22 个字符、随机生成且每个 NAS 设备唯一的共享密钥。 其次，配置您的网络策略。在这里您可以定义谁可以访问什么。在 NPS 术语中，您正在创建一个网络策略，该策略匹配条件 - Active Directory 中的组名、设备类型、时间段 - 并分配属性 - VLAN ID、会话超时、带宽限制。您最常用的 RADIUS 属性是 VLAN 分配，具体为将 Tunnel-Type 设置为 VLAN，将 Tunnel-Medium-Type 设置为 802，并将 Tunnel-Private-Group-ID 设置为您的 VLAN 号。 第三，您需要配置连接请求策略。这会告知 NPS 如何处理传入的 RADIUS 请求 - 是在本地进行身份验证，还是转发给另一个 RADIUS 服务器。在分布式部署中，您可能拥有一个中心 RADIUS 服务器，并在每个站点部署 NPS 代理。 在证书方面，对于 PEAP 和 EAP-TLS，您的 RADIUS 服务器需要一个受客户端信任的服务器证书。最简单的途径是使用来自公共 CA（如 DigiCert、Sectigo、Let's Encrypt）的证书 - 因为这些根证书已被所有主流操作系统所信任。如果您使用的是内部 CA，则需要通过组策略或您的 MDM 平台将根证书推送到所有客户端设备。 专门针对 EAP-TLS 而言，您还需要客户端证书。在 Active Directory 环境中，您将使用 ADCS 并通过组策略自动注册，将证书推送到已加入域的设备。对于 BYOD 设备，您将使用 MDM - 比如 Intune、Jamf、VMware Workspace ONE - 来推送证书和 WiFi 配置文件。 在接入点方面，配置非常简单。您只需创建一个新的 SSID，将安全设置为 WPA2-Enterprise 或 WPA3-Enterprise，将 RADIUS 身份验证服务器指向 UDP 端口 1812 上的 NPS IP，在 UDP 端口 1813 上设置 RADIUS 计费服务器，输入共享密钥，并启用动态 VLAN 分配（如果您正在使用它）。大多数企业级 AP 平台 - 比如 Cisco Meraki、Aruba、Ruckus、Extreme Networks - 都有一个用于此项配置的 GUI，一旦您的 RADIUS 服务器准备就绪，大约需要十分钟即可完成。 [实施建议和常见陷阱 - 约 2 分钟] 好了，让我们来谈谈部署容易在哪些地方出错，因为这正是体现我咨询价值的地方。 最常见的故障点是证书验证。我见过一些组织在服务器端正确部署了 PEAP-MSCHAPv2，却将客户端请求方配置文件配置为接受任何证书。这完全破坏了安全模型。每个请求方配置文件 - 无论是通过组策略还是 MDM 推送 - 都必须指定受信任的根 CA 和预期的服务器名称。否则，您将极易受到邪恶双胞胎攻击。 第二个常见问题是 RADIUS 共享密钥管理。我见过有些生产网络中运行的共享密钥仍被设置为 "radius" 或厂商默认值。这些密钥是您身份验证基础设施的钥匙。请随机生成它们，存储在密钥管理器中，并定期进行轮换。 第三：VLAN 配置错误。动态 VLAN 分配功能非常强大 - 它允许您将员工设备划分到企业 VLAN，将承包商划分到受限 VLAN，并将 IoT 设备划分到隔离的 VLAN，而所有这些都来自同一个 SSID。但是，如果 RADIUS 属性配置不正确，或者交换机干道端口没有承载正确的 VLAN，设备要么会连接失败，要么会进入错误的网段。在部署到生产环境之前，请在实验室中对其进行彻底测试。 第四：冗余。您的 RADIUS 服务器现在是关键的基础设施。如果它宕机，所有人都会断开连接。您需要至少在每个 AP 上配置主和备 RADIUS 服务器。在大型部署中，请考虑具有健康监测功能的 RADIUS 代理集群。 第五，这是专门针对酒店和零售环境的：访客与企业的分流。您的 802.1X 企业 SSID 和访客 WiFi SSID 应该完全隔离 - 不同的 VLAN、不同的防火墙策略、不同的 DNS。像 Purple 这样的平台通过其特有的 Captive Portal 和分析层来处理访客端，而您的 802.1X 基础设施则处理企业端。这些是互补而非竞争的系统。 [快速问答 - 大约 1 分钟] 让我快速解答一下我最常遇到的几个问题。 我可以在云管理 AP 平台上运行 802.1X 吗？可以 - Meraki、Aruba Central 和 Ruckus Cloud 都支持它。您在云端控制面板中配置 RADIUS 服务器详细信息，AP 会处理 EAP 代理。 我需要 Active Directory 吗？不需要。FreeRADIUS 可以针对 LDAP、SQL 数据库、扁平文件甚至 REST API 进行身份验证。但是通过 NPS 进行 AD 集成是目前最常见的主流企业途径。 对于不支持 802.1X 的 IoT 设备该怎么办？使用 MAC 身份验证绕过 - MAB - 作为后备方案。设备的 MAC 地址会作为用户名和密码发送给 RADIUS。它虽然没有 EAP 安全，但可以让您在将 IoT 设备保持在受限 VLAN 中的同时对其进行上线引导。 802.1X 可以与 WPA3 配合使用吗？可以。WPA3-Enterprise 本质上就是具有 802.1X 身份验证的 WPA3。它增加了更强的加密 - 在高安全模式下为 192 位 - 是新部署的推荐标准。 [总结与后续步骤 - 大约 1 分钟] 因此，总结一下：802.1X 不是可有可无的。对于任何处理敏感数据、处理支付或在受监管环境中运营的组织来说，它都是企业 WiFi 安全的基准。其架构非常成熟，工具也非常完善，部署路径十分清晰。 首先选择您的 EAP 方法 - 如果您需要快速见效和广泛的兼容性，请选择 PEAP-MSCHAPv2；如果您拥有 PKI 基础设施并需要最强大的安全态势，请选择 EAP-TLS。在您接触任何单个 AP 之前，先配置好您的 RADIUS 服务器并做好冗余。在正式上线前，通过组策略或 MDM 推送您的客户端配置文件。并将您的访客 WiFi 完全隔离 - 在该层使用专门构建的平台。 如果您运营的是多场馆环境 - 酒店、零售连锁、体育场 - 复杂度会随着站点数量的增加而增加，但架构保持不变。关键是采用具有站点本地冗余的集中式 RADIUS，并在您的设备群中推行一致的、通过 MDM 推送的客户端配置文件。感谢收听。完整的书面指南、架构图和配置清单均可在 purple.ai 获取。如果您正在规划 802.1X 部署并希望探讨您环境的具体细节，请直接联系 Purple 团队。