如何配置 802.1X WiFi 认证：分步指南

如何配置 802.1X WiFi 认证：分步指南 Purple 企业 WiFi 智能播客 [导言 — 约 1 分钟] 欢迎回来。今天我作为一名资深解决方案架构师与大家交流。如果您正在收听本期节目，您可能正面临一个涉及 802.1X 认证的网络安全项目 - 这可能是因为您的合规团队提出了要求，您的保险公司询问了相关情况，或者您刚刚接管了一个运行在共享 PSK 上的网络，并且您深知这种方式已经无法满足安全需求。 那我们直接进入正题。802.1X 是用于基于端口的网络访问控制的 IEEE 标准。它是企业 WiFi 安全的骨干 - 这种机制可确保连接到您网络的每个设备在获取任何流量之前，都经过了明确的身份识别和授权。对于根据 PCI-DSS 处理付款卡数据的组织而言，这是必选项；对于 GDPR 和 NHS 数据安全标准下的医疗保健环境而言，这同样是必选项；坦率地说，对于任何运行多个接入点的组织来说，这都是正确的架构。 在接下来的十分钟里，我将带您深入了解技术架构、RADIUS 配置、证书部署以及实际操作中较为复杂的应用场景。让我们开始吧。 [技术深挖 — 约 5 分钟] 好的，802.1X 框架由三个部分组成。首先是客户端（Supplicant） - 也就是客户端设备，如笔记本电脑、手机或 IoT 传感器。其次是认证器（Authenticator） - 也就是您的接入点或网络交换机，有时也被称为 NAS（网络接入服务器）。最后是认证服务器（Authentication Server） - 在企业部署中，这几乎全都是 RADIUS 服务器。 以下是握手的工作原理。当设备尝试连接到受 802.1X 保护的 SSID 时，接入点并不会直接允许其接入。相反，它会打开一个所谓的受控端口 - 一个仅传输 EAP（可扩展身份验证协议）流量的受限通道。AP 向设备发送 EAP-Request Identity。设备回应其身份。然后，AP 将该信息打包在 RADIUS Access-Request 数据包中并转发给 RADIUS server。RADIUS server 执行认证 - 对照 Active Directory、证书库或您配置的任何身份后端检查凭证 - 并返回 Access-Accept 或 Access-Reject。只有在收到 Accept 时，AP 才会打开完整的数据端口并将设备分配到相应的 VLAN。 现在，您在此处选择的 EAP 方法至关重要。在企业部署中，您会遇到以下五种。EAP-TLS 是黄金标准。客户端和服务器都需要提供 X.509 证书，不涉及任何密码。这是最安全的选择，也是满足最高 PCI-DSS 合规性级别所需的方案。美中不足的是，您需要一个完整的 PKI（公钥基础设施）来颁发和管理客户端证书。这意味着需要证书颁发机构、证书生命周期管理以及将证书推送到每台设备的机制。对于拥有 Microsoft Active Directory 和 Active Directory 证书服务的企业来说，这非常容易实现。而对于没有这些基础设施的企业，这是一笔巨大的投资。 PEAP-MSCHAPv2 是实际应用中最广泛部署的方法。它仅使用服务器端证书创建 TLS 隧道，然后在该隧道内传输用户名和密码凭据。它几乎与开箱即用的每台设备兼容，通过 Windows Server 上的 NPS 与 Active Directory 直接集成，并且不需要客户端证书。其权衡之处在于，如果用户被诱骗连接到流氓 AP，它很容易受到凭据收集攻击，因为客户端默认情况下不验证服务器证书。您必须在客户端配置中强制执行服务器证书验证。 EAP-TTLS 与 PEAP 类似，但在内部身份验证方法上更具灵活性。它在 Linux 环境以及需要支持传统身份验证后端的场景中很常见。 EAP-FAST 是由 Cisco 开发的，旨在应对 LEAP 的弱点。它使用受保护访问凭据而非证书。如果您处于以 Cisco 为主的环境中，或者正在处理无法支持其他方法的传统设备，它才最为适用。 EAP-SIM 和 EAP-AKA 用于运营商级部署（例如 OpenRoaming 或 Passpoint），其中身份验证与 SIM 卡或 USIM 绑定。这些在公共场所 WiFi 中越来越重要，因为您希望在没有 Captive Portal 的情况下实现无缝、安全的接入。 现在我们来谈谈 RADIUS 配置。无论您部署的是 Microsoft NPS、FreeRADIUS、Cisco ISE 还是 Aruba ClearPass，核心配置步骤都是相同的。 首先，定义您的 RADIUS 客户端，这些是您的接入点或无线局域网控制器。每个客户端都注册有其 IP 地址和一个共享密钥。该共享密钥用于对 AP 和服务器之间的 RADIUS 消息进行身份验证。请使用至少 22 个字符、随机生成且每个 NAS 设备唯一的共享密钥。 其次，配置您的网络策略。在这里，您可以定义谁可以访问什么。在 NPS 术语中，您正在创建一个匹配条件的网络策略（例如 Active Directory 中的组名、设备类型、时间段）并分配属性（例如 VLAN ID、会话超时、带宽限制）。您最常使用的 RADIUS 属性是 VLAN 分配，具体而言，将 Tunnel-Type 设置为 VLAN，将 Tunnel-Medium-Type 设置为 802，并将 Tunnel-Private-Group-ID 设置为您的 VLAN 编号。 第三，您需要配置连接请求策略。这会告知 NPS 如何处理传入的 RADIUS 请求 - 是在本地进行身份验证，还是转发给其他 RADIUS 服务器。在分布式部署中，您可能在每个站点都配有 NPS 代理，并设有一个中央 RADIUS 服务器。 在证书方面，对于 PEAP 和 EAP-TLS，您的 RADIUS 服务器需要一个受客户端信任的服务器证书。最简单的途径是使用来自公共 CA（如 DigiCert、Sectigo、Let's Encrypt）的证书，因为这些根证书已被所有主流操作系统所信任。如果您使用的是内部 CA，则需要通过组策略或您的 MDM 平台将根证书推送到所有客户端设备。 特别是对于 EAP-TLS，您还需要客户端证书。在 Active Directory 环境中，您可以使用 ADCS 并通过组策略自动注册，从而将证书推送到已加入域的设备。对于 BYOD 设备，您可以使用您的 MDM（如 Intune、Jamf、VMware Workspace ONE）来推送证书和 WiFi 配置文件。 在接入点方面，配置非常直观。您只需创建一个新的 SSID，将安全类型设置为 WPA2-Enterprise 或 WPA3-Enterprise，将 RADIUS 身份验证服务器指向 UDP 端口 1812 上的 NPS IP，设置 UDP 端口 1813 上的 RADIUS 计费服务器，输入共享密钥，并启用动态 VLAN 分配（如果您正在使用它）。大多数企业级 AP 平台 - Cisco Meraki、Aruba、Ruckus、Extreme - 都为此提供了图形用户界面，一旦您的 RADIUS 服务器准备就绪，配置大约只需十分钟。 [实施建议与常见陷阱 - 约 2 分钟] 好，我们来聊聊部署中容易出错的地方，因为这正是我赚取咨询费的核心价值所在。 最常见的故障点是证书验证。我见过有些组织在服务器端正确部署了 PEAP-MSCHAPv2，却将客户端请求方配置文件配置为接受任何证书。这彻底破坏了安全模型。每一个请求方配置文件（无论是通过组策略还是 MDM 推送）都必须指定信任的根 CA 和预期的服务器名称。如果没有这些，您将很容易受到双面恶魔攻击（Evil Twin Attacks）。 第二个常见问题是 RADIUS 共享密钥管理。我见过有些生产网络运行中的共享密钥依然设为 "radius" 或厂商默认值。这些密钥是您身份验证基础设施的钥匙。请随机生成它们，存储在密钥管理器中，并定期进行轮换。 第三：VLAN 配置错误。动态 VLAN 分配功能非常强大 - 它可以让您将员工设备划入企业 VLAN，将承包商划入受限 VLAN，将 IoT 设备划入隔离 VLAN，而这一切均通过同一个 SSID 实现。但是，如果 RADIUS 属性配置不正确，或者交换机中继端口没有承载正确的 VLAN，设备要么会连接失败，要么会进入错误的网段。在推向生产环境之前，请在实验室中对其进行彻底测试。 第四：冗余。您的 RADIUS 服务器现在是一项关键的基础设施。如果它宕机了，任何人都无法连接。您至少需要在每个 AP 上配置主和备 RADIUS 服务器。在大型部署中，请考虑配置具有健康监测功能的 RADIUS 代理集群。 第五，这是专门针对酒店和零售环境的：宾客与企业网络隔离。您的 802.1X 企业 SSID 和宾客 WiFi SSID 应完全隔离 - 采用不同的 VLAN、不同的防火墙策略和不同的 DNS。像 Purple 这样的平台通过其专属的 Captive Portal 和分析层来处理宾客端，而您的 802.1X 基础设施则处理企业端。这两者是互补的，而不是竞争的系统。 [快速问答 - 约 1 分钟] 让我快速解答一下我最常遇到的几个问题。 我可以在云端管理的 AP 平台上运行 802.1X 吗？是的 - Meraki、Aruba Central 和 Ruckus Cloud 都支持。您只需在云端仪表盘中配置 RADIUS 服务器的详细信息，AP 就会处理 EAP 代理。 我需要 Active Directory 吗？不需要。FreeRADIUS 可以针对 LDAP、SQL 数据库、扁平文件甚至 REST API 进行身份验证。但是通过 NPS 进行 AD 集成是目前最常见的企业途径。 对于不支持 802.1X 的 IoT 设备该怎么办？使用 MAC 身份验证绕过 - MAB - 作为后备方案。设备的 MAC 地址会被发送到 RADIUS 作为用户名和密码。它不像 EAP 那样安全，但它允许您在将 IoT 设备保持在受限 VLAN 中的同时进行入网。 802.1X 可以与 WPA3 配合使用吗？可以。WPA3-Enterprise 本质上就是具有 802.1X 身份验证的 WPA3。它增加了更强大的加密 - 在高安全模式下为 192 位 - 并且是新部署的推荐标准。 [总结与后续步骤 - 约 1 分钟] 总结一下：802.1X 不是可有可无的。对于任何处理敏感数据、处理支付或在受监管环境中运营的企业组织来说，它都是企业 WiFi 安全的基准。其架构非常成熟，工具非常完善，部署路径也十分清晰。 首先从选择您的 EAP 方法开始 - 如果您需要快速见效和广泛的兼容性，请选择 PEAP-MSCHAPv2；如果您拥有 PKI 基础设施并且需要最强的安全姿态，请选择 EAP-TLS。在您改动任何一个 AP 之前，先配置好您的 RADIUS 服务器并做好冗余。在上线之前，通过组策略或 MDM 推送您的客户端配置文件。并将您的宾客 WiFi 完全隔离 - 在该层使用专门构建的平台。 如果您运营的是多场所环境 - 如酒店、零售连锁店、体育场馆 - 复杂性会随着站点数量的增加而增加，但架构保持不变。关键在于通过集中式 RADIUS 实现站点本地冗余，并在您的设备群中保持一致的、通过 MDM 推送的客户端配置文件。感谢收听。完整的书面指南、架构图和配置清单均可在 purple.ai 获取。如果您正在规划 802.1X 部署并希望探讨您环境的具体细节，请直接联系 Purple 团队。