Eduroam 和 802.1X：高等教育的安全 WiFi 身份验证 | Purple

播客脚本：eduroam 与 802.1X - 高等教育中的安全 WiFi 身份验证 时长：约10分钟 配音：英式英语，男声，资深顾问语气 - 自信、口语化、权威 --- [片头 - 1分钟] 欢迎回来。在接下来的十分钟里，我将带您深入了解 eduroam 和 802.1X - 它们是什么、底层的实际工作原理是什么，以及您的团队在部署或与其集成之前需要了解哪些内容。 如果您是大学、学院或研究机构的 IT 经理、网络架构师或 CTO - 亦或是需要了解学术访客对您的无线基础设施有何期望的场所运营商 - 这正是为您量身定制的简报。 让我们先从大局看起。eduroam 代表“教育漫游”。它是一项全球性的 WiFi 漫游服务，可让来自成员机构的学生、研究人员和教职员工在任何参与该计划的场所自动、安全地连接到互联网，且全部使用其母校机构的凭据。无需访客门户，无需凭证码，也无需向服务台询问密码。 它自2003年开始运行，如今已覆盖100多个国家的1万多家机构，是全球高等教育校园无线网络的行业标准。如果您的组织与大学有交集 - 无论您是校园附近的酒店、举办学术会议的会议中心，还是大学城里的公共图书馆 - 了解 eduroam 都与您的网络策略直接相关。 --- [技术深挖 - 5分钟] 好的。现在让我们进入技术细节。 eduroam 是构建在 IEEE 802.1X 基础之上的，这是基于端口的网络访问控制标准。802.1X 定义了一个在设备获准访问网络之前对其进行身份验证的框架。它最初是为有线以太网设计的，但可以完美地映射到无线网络中，并且是我们所说的 WPA2 企业级或 WPA3 企业级安全性的基石。 802.1X 模型包含三个组件。第一，申请者（Supplicant） - 即尝试连接的设备，比如学生的笔记本电脑、研究人员的手机。第二，认证者（Authenticator） - 即您的网络接入点或托管交换机，它介于申请者和网络的其余部分之间，充当守门人的角色。第三，认证服务器（Authentication Server） - 几乎无一例外是 RADIUS 服务器。RADIUS 代表远程用户拨号认证服务，它是实际验证凭据的组件。 握手过程的工作原理如下。学生的设备与无线接入点建立关联。接入点此时并不会授予完整的网络访问权限 - 它仅针对 EAP 流量打开一个所谓的受控端口。EAP 即扩展认证协议。接入点代理设备与 RADIUS 服务器之间的 EAP 交互。RADIUS 服务器对设备发起挑战，设备使用凭据（通常是用户名和密码或证书）进行响应。如果 RADIUS 服务器验证通过，它将发回 Access-Accept 消息。随后，接入点将打开完整的网络端口。在配置良好的部署中，整个交互过程用时不到两秒。 那么，eduroam 是如何叠加在此之上的呢？eduroam 使用了分层 RADIUS 代理架构。每个参与机构都运行自己的 RADIUS 服务器 - 称为身份提供商（IdP）。当来自曼彻斯特大学的学生访问伦敦帝国理工学院并连接到 eduroam SSID 时，其设备会以 username@manchester.ac.uk 的格式发送凭据。帝国理工学院的 RADIUS 服务器识别到该领域（即 @ 符号后面的部分），并将认证请求代理发送至国家级 RADIUS 服务器。在英国，该服务器由国家科研与教育网络 Jisc 运营。Jisc 随后将请求路由至曼彻斯特大学的 RADIUS 服务器，由其验证凭据并返回 Accept 或 Reject。整个链路在毫秒内即可完成解析。 正是由于这种代理链，eduroam 才能在无需机构间预共享密钥的情况下跨越机构边界正常工作。链路中的每个跃点仅与其相邻的节点使用共享 RADIUS 密钥。学生的真实密码绝不会离开其母校的 RADIUS 服务器 - 它在 EAP 隧道中受到端到端的保护。 说到 EAP 方法 - 这是很多部署容易出错的地方，因此请务必注意。在 eduroam 中，最常用的 EAP 方法是 PEAP - Protected EAP - 和 EAP-TLS。PEAP 在 TLS 隧道内封装了一种内部认证方法，通常是 MSCHAPv2。它需要在 RADIUS 服务器端部署服务器证书，但客户端仅需要用户名和密码。EAP-TLS 是更为安全的选项 - 它使用双向证书认证，意味着服务器和客户端都需要提供证书。由于需要 PKI 来颁发客户端证书，其大规模部署难度较大，但它基本上可以免受凭据钓鱼攻击。 许多机构忽视的关键安全要求是客户端的证书验证。当设备使用 PEAP 连接到 eduroam 时，该设备必须在提交凭据之前验证 RADIUS 服务器的证书。如果设备配置错误而接受任何证书，攻击者就可以建立一个广播 eduroam SSID 的流氓接入点，出示自签名证书并窃取凭据。这是一个已知的攻击向量。解决方案是配置您的请求方配置文件 - 对于托管设备通过 MDM，或对于个人设备通过 eduroam 配置助手工具（即 CAT） - 来绑定预期的证书颁发机构和服务器名称。 从标准的角度来看，eduroam 部署预计将符合 eduroam Policy Service Definition，该定义强制要求所有 RADIUS over TLS 连接使用 TLS 1.2 或更高版本，禁止使用弱 EAP 方法（如 EAP-MD5 或 LEAP），并要求所有 RADIUS 代理连接在可能的情况下使用 RadSec（即 RADIUS over TLS），而不是普通的 UDP RADIUS。这与英国的 NCSC 指南和美国的 NIST SP 800-120 相一致。 还有一个值得指出的技术点：VLAN 分配。在架构良好的 eduroam 部署中，RADIUS Access-Accept 响应包含 VLAN 属性，这些属性指示接入点应将连接设备分配到哪个 VLAN。这使您能够对流量进行细分 - 将来访的学生置于仅限互联网访问的受限 VLAN 中，而将您自己的员工路由到内部网络。这对于合规性至关重要，特别是当您需要遵守 PCI-DSS 或需要保持研究数据网络与普通互联网流量之间的隔离时。 - [实施建议和常见陷阱 - 2 分钟] 让我为您提供一些实用的建议。 如果您是首次部署 eduroam，您的第一步应该是联系您的国家 NREN - 在英国是 Jisc，在爱尔兰是 HEAnet，在美国是 Internet2。他们负责处理联盟成员身份，并将为您分配一个 RADIUS 领域。如果不成为国家联盟的成员，您将无法加入 eduroam。 您的基础设施清单：您需要支持 802.1X 的接入点 - 任何来自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企业级设备都可以实现这一点。您需要一个 RADIUS 服务器 - FreeRADIUS 是开源标准，或者您也可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要为您的 RADIUS 服务器提供一个有效的 TLS 证书，该证书需来自受 eduroam 社区信任的 CA - 通常是来自您机构的 PKI 或 eduroam 批准列表上的商业 CA。我最常遇到的三种部署故障包括：第一，证书配置错误 - 要么是 RADIUS 证书已过期，要么是客户端 supplicant 配置文件未正确固定。第二，RADIUS 代理超时 - 如果您的上游 NREN 连接存在延迟问题，身份验证将会超时，用户会看到类似于凭据错误的连接失败提示。第三，VLAN 配置错误 - 来访用户最终进入了错误的网段，要么无法访问互联网，要么更糟的是，获得了他们不应访问的内部资源的访问权限。 在客户端，请通过您的 MDM 平台将 eduroam CAT 配置文件部署到所有托管设备。对于个人设备，请在显眼位置发布 CAT 安装程序链接。仅这一个步骤就能消除大部分的支持工单。 对于非高等教育机构但希望提供 eduroam 访问服务的场所 - 如会议中心、酒店等 - 该流程被称为 eduroam Visitor Access（简称 eVA）。它允许非成员组织托管 eduroam SSID 并向联盟代理身份验证，而无需成为正式成员。如果您经常举办学术会议或大学活动，这非常值得研究。 - - - [快速问答 - 1分钟] 我经常被问到的常见问题。 “eduroam 能完全取代我们的访客 WiFi 吗？” 不能。eduroam 仅适用于在成员机构拥有凭据的用户。您仍然需要为其他所有人（访客、承包商、普通公众）提供一个单独的访客 WiFi 解决方案。 “eduroam 是否符合 GDPR 规范？” 是的，但有一些注意事项。联盟架构意味着您的机构会处理身份验证数据，但您需要确保您的隐私声明涵盖了这一点，并且您的 RADIUS 日志得到了妥善处理。 “我们可以在 eduroam 中使用 WPA3 吗？” 可以。WPA3-Enterprise 与 802.1X 完全兼容，是新部署的推荐标准。它为高安全性环境增加了 192 位模式加密。 “eduroam 和 OpenRoaming 之间有什么区别？” OpenRoaming 是来自无线宽带联盟（Wireless Broadband Alliance）的一项更广泛的行业倡议，它使用相同的 802.1X 和 RADIUS 代理架构，但将漫游从教育领域扩展到了商业场所。包括 Purple 在内的一些平台支持将 OpenRoaming 作为其访客 WiFi 解决方案的一部分。 - - - [总结与后续步骤 - 1分钟] 总结一下。eduroam 是一种成熟、管理完善、全球部署的 WiFi 漫游服务，基于 802.1X 和分层 RADIUS 代理基础设施构建。它在 10,000 多家机构中提供单用户身份验证、强加密和无缝漫游 - 无需共享密码或 Captive Portal。 对于部署或升级校园无线网络的 IT 团队：在您的 PKI 能够支持的情况下，优先选择 EAP-TLS 而非 PEAP；在所有客户端配置文件上强制进行证书验证；对所有 RADIUS 代理连接使用 RadSec；并将来访用户划分到专用的 VLAN 中。对于场所运营商而言：如果您经常接待学术访客，请调研 eduroam Visitor Access。此外，无论您是否部署 eduroam，您的访客 WiFi 基础设施都应该基于企业级 802.1X 原则构建，而不是共享的预共享密钥。 如果您想深入了解其中任何内容 - 比如 RADIUS 架构、适用于 EAP-TLS 的 PKI 设计，或者像 Purple 这样的平台如何与 eduroam 和 OpenRoaming 进行集成 - 完整的书面指南已链接在节目简介中。 感谢收听。我们下期再见。 --- 脚本结束