eduroam 与 802.1X：面向高等教育的安全 WiFi 认证

播客脚本：eduroam 与 802.1X — 高等教育的 WiFi 安全认证 时长：约 10 分钟 声音：英式英语，男声，高级顾问语调 — 自信、交谈式、权威 --- [引言 — 1 分钟] 欢迎回来。在接下来的十分钟里，我将带您了解 eduroam 和 802.1X — 它们是什么，在幕后如何运作，以及您的团队在部署或集成其中任何一个之前需要了解什么。 如果您是大学、学院或研究机构的 IT 经理、网络架构师或 CTO — 或者您是需要了解学术访客对您的无线基础设施有何期望的场馆运营商 — 那么这次简报就是为您准备的。 让我们从全局开始。eduroam 代表“教育漫游”。这是一项全球性的 WiFi 漫游服务，允许成员机构的学生、研究人员和员工在任何一个参与场所自动、安全地使用其归属机构的凭据连接到互联网。无需访客门户，无需代金券代码，无需向前台索要密码。 它自 2003 年开始运行，现已覆盖全球 100 多个国家的超过 10,000 家机构，并且是全球高等教育校园无线网络的事实标准。如果您的组织与大学有交集——无论是校园附近的酒店、举办学术活动的会议中心，还是大学城的公共图书馆——了解 eduroam 直接关系到您的网络策略。 --- [技术深入解读 — 5 分钟] 好的。让我们深入了解机制。 eduroam 建立在 IEEE 802.1X 之上——基于端口的网络访问控制标准。802.1X 定义了一个对设备进行认证后才授予其网络访问权限的框架。它最初是为有线以太网设计的，但可以很好地映射到无线网络，并且是我们所谓的 WPA2-Enterprise 或 WPA3-Enterprise 安全的基础。 802.1X 模型包含三个组件。第一个，Supplicant — 即尝试连接的设备。学生的笔记本电脑、研究员的手机。第二个，Authenticator — 即您的网络接入点或管理型交换机。它位于 supplicant 和网络其余部分之间，充当守门人。第三个，Authentication Server — 几乎总是一个 RADIUS 服务器。RADIUS 代表远程认证拨号用户服务。它是实际验证凭据的组件。 握手流程如下。学生的设备与无线接入点关联。接入点此时并不授予完整的网络访问权限——它打开一个所谓的受控端口，但只允许 EAP 流量通过。EAP 是可扩展认证协议。接入点代理设备与 RADIUS 服务器之间的 EAP 对话。RADIUS 服务器挑战设备，设备以凭据回应——通常是用户名和密码，或者证书——如果 RADIUS 服务器满意，它会发回一个 Access-Accept 消息。接入点随后开放完整的网络端口。在配置良好的部署中，整个交换过程不到两秒。 那么，eduroam 是如何叠加在这个基础上的呢？eduroam 使用一个层级化的 RADIUS 代理基础设施。每个参与的机构运行自己的 RADIUS 服务器——称为身份提供者（IdP）。当一名来自曼彻斯特大学的学生访问伦敦帝国理工学院并连接到 eduroam SSID 时，其设备以 username@manchester.ac.uk 的格式发送凭据。帝国理工学院的 RADIUS 服务器看到 realm——即 @ 符号之后的部分——并将认证请求向上游代理到国家级 RADIUS 服务器，在英国由 Jisc（国家科研和教育网络）运营。然后 Jisc 将请求路由到曼彻斯特大学的 RADIUS 服务器，后者验证凭据并返回接受或拒绝。整个链条在毫秒内完成解析。 正是这个代理链使得 eduroam 能够在没有机构间预共享秘密的情况下跨机构边界工作。链中的每一跳仅与其直接邻居使用共享的 RADIUS 秘密。学生的实际密码永远不会离开归属机构的 RADIUS 服务器——它被 EAP 隧道端到端保护。 说到 EAP 方法——这是很多部署出错的地方，请注意。eduroam 中最常见的 EAP 方法是 PEAP——受保护的 EAP——和 EAP-TLS。PEAP 将内部认证方法（通常是 MSCHAPv2）封装在 TLS 隧道中。它要求 RADIUS 服务器有一个服务器端证书，但客户端只需要用户名和密码。EAP-TLS 是更安全的选择——它使用双向证书认证，意味着服务器和客户端都出示证书。由于需要 PKI 来颁发客户端证书，大规模部署更难，但它基本上对凭据钓鱼免疫。 许多机构搞错的关键安全要求是客户端的证书验证。当设备使用 PEAP 连接到 eduroam 时，设备必须在提交凭据之前验证 RADIUS 服务器的证书。如果设备被错误配置为接受任何证书，攻击者就可以搭建一个广播 eduroam SSID 的恶意接入点，出示自签名证书，并收集凭据。这是一个已知的攻击向量。修复方法是通过 MDM 为受管理设备配置 supplicant 配置文件，或通过 eduroam 配置助手工具（CAT）为个人设备配置，以固定预期的证书颁发机构和服务器名称。 从标准角度，eduroam 部署应遵守 eduroam 策略服务定义，该定义要求所有 RADIUS over TLS 连接使用 TLS 1.2 或更高版本，禁止使用脆弱的 EAP 方法如 EAP-MD5 或 LEAP，并要求所有 RADIUS 代理连接尽可能使用 RadSec——即 RADIUS over TLS——而非普通的 UDP RADIUS。这与英国的 NCSC 指南和美国的 NIST SP 800-120 相一致。 另一个值得指出的技术点是：VLAN 分配。在一个架构良好的 eduroam 部署中，RADIUS 的 Access-Accept 响应包含 VLAN 属性，告诉接入点将连接的设备分配到哪个 VLAN。这使您能够对流量进行分段——将访客学生放在仅限互联网访问的受限 VLAN 中，而您自己的员工则被路由到内部网络。这对于合规性至关重要，特别是如果您需要遵守 PCI DSS 或需要保持研究数据网络与一般互联网流量之间的隔离。 --- [实施建议与常见误区 — 2 分钟] 让我为您提供一些实用指导。 如果您是首次部署 eduroam，您的第一步应该是联系您的国家级 NREN——在英国是 Jisc，在爱尔兰是 HEAnet，在美国是 Internet2。他们负责联盟成员资格，并将为您分配一个 RADIUS 域。您不能在未成为国家联盟成员的情况下参与 eduroam。 您的基础设施检查清单：您需要支持 802.1X 的接入点——任何来自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企业级设备都可以做到。您需要一个 RADIUS 服务器——FreeRADIUS 是开源标准，或者您可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要为 RADIUS 服务器提供一个有效的 TLS 证书，来自 eduroam 社区信任的 CA——通常是来自您机构 PKI 的证书或 eduroam 批准列表上的商业 CA。 我见过的最常见的三个部署失败是：第一，证书配置错误——要么是 RADIUS 证书已过期，要么是客户端 supplicant 配置文件未正确固定。第二，RADIUS 代理超时——如果您上游的 NREN 连接存在延迟问题，认证将超时，用户会看到看似凭据错误的连接失败。第三，VLAN 配置错误——访客用户最终进入错误的网络段，要么无法访问互联网，要么更糟的是，获得了不应有的内部资源访问权限。 在客户端，通过您的 MDM 平台将 eduroam CAT 配置文件部署到所有受管理设备。对于个人设备，显著地发布 CAT 安装程序链接。仅此一步就可以消除大部分支持工单。 对于那些不是高等教育机构但希望提供 eduroam 接入的场所——会议中心、酒店等——这个过程称为 eduroam 访客接入（eVA）。它允许非成员组织托管 eduroam SSID，并将认证代理到联盟，而无需成为完全成员。如果您经常举办学术会议或大学活动，这值得研究。 --- [快速问答 — 1 分钟] 一些我经常被问到的快速问题。 “eduroam 能完全取代我们的访客 WiFi 吗？” 不能。eduroam 仅对拥有成员机构凭据的用户有效。您仍然需要为其他人——访客、承包商、公众——提供一个独立的访客 WiFi 解决方案。 “eduroam 符合 GDPR 吗？” 是的，但有注意事项。联合架构意味着您的机构处理认证数据，但您需要确保您的隐私声明覆盖这一点，并且您的 RADIUS 日志得到适当处理。 “我们可以在 eduroam 中使用 WPA3 吗？” 可以。WPA3-Enterprise 与 802.1X 完全兼容，并推荐用于新部署。它为高安全环境增加了 192 位模式加密。 “eduroam 和 OpenRoaming 有什么区别？” OpenRoaming 是一项由无线宽带联盟推动的更广泛的行业倡议，使用相同的 802.1X 和 RADIUS 代理架构，但将漫游扩展到教育之外，涵盖商业场所。包括 Purple 在内的一些平台在其访客 WiFi 产品中支持 OpenRoaming。 --- [总结与后续步骤 — 1 分钟] 总结一下。eduroam 是一个成熟、治理良好、全球部署的 WiFi 漫游服务，建立在 802.1X 和层级化 RADIUS 代理基础设施之上。它提供每用户认证、强加密以及超过 10,000 家机构之间的无缝漫游——无需共享密码或 Captive Portal。 对于部署或升级校园无线网络的 IT 团队：在您的 PKI 可以支持的情况下，优先考虑 EAP-TLS 而非 PEAP，在所有客户端配置文件上强制证书验证，对所有 RADIUS 代理连接使用 RadSec，并将访客用户划分到专用的 VLAN 中。 对于场馆运营商：如果您经常接待学术访客，请研究 eduroam 访客接入。而且，无论您是否部署 eduroam，您的访客 WiFi 基础设施都应基于企业级 802.1X 原则构建——而不是共享 PSK。 如果您想更深入地了解这些内容——RADIUS 架构、EAP-TLS 的 PKI 设计，或者像 Purple 这样的平台如何与 eduroam 和 OpenRoaming 集成——完整的书面指南链接在节目备注中。 感谢收听。下次再见。 --- 脚本结束