eduroam 和 802.1X：面向高等教育的安全 WiFi 身份验证

播客脚本：eduroam 与 802.1X - 高等教育安全 WiFi 认证 时长：约 10 分钟 配音：英式英语，男性，资深顾问语气 - 自信、口语化、权威 --- [片头 - 1分钟] 欢迎回来。在接下来的十分钟里，我将带您了解 eduroam 和 802.1X - 它们是什么，其底层的实际运行机制，以及您的团队在部署或集成其中任何一项之前需要了解哪些信息。 如果您是高校、学院或科研机构的 IT 经理、网络架构师或 CTO，亦或是需要了解学术访客对您的无线基础设施有何期望的场馆运营商，那么本期内容正是为您准备的。 让我们先从大局看起。eduroam 代表“教育漫游”。它是一项全球性的 WiFi 漫游服务，允许来自成员机构的学生、研究人员和教职员工在任何参与该计划的场馆连接到互联网 - 自动、安全，且使用其本校的凭据。无需访客门户，无需凭证码，也无需向服务台询问密码。 该服务自 2003 年开始运行，目前已覆盖 100 多个国家的 10,000 多所机构，是全球高等教育校园无线网络的行业事实标准。如果您的组织与大学有交集 - 无论您是校园周边的酒店、举办学术活动的会议中心，还是大学城里的公共图书馆 - 了解 eduroam 都与您的网络策略直接相关。 --- [技术深度剖析 - 5分钟] 好的。让我们深入了解一下它的工作机制。 eduroam 是构建在 IEEE 802.1X 基础之上的 - 这是基于端口的网络访问控制标准。802.1X 定义了一个在允许设备访问网络之前对其进行身份验证的框架。它最初是为有线以太网设计的，但可以无缝映射到无线网络上，这也是我们所说的 WPA2 企业级（WPA2-Enterprise）或 WPA3 企业级（WPA3-Enterprise）安全性的基石。 802.1X 模型由三个部分组成。第一，客户端（Supplicant）- 即尝试连接的设备。例如学生的笔记本电脑、研究人员的手机。第二，认证器（Authenticator）- 即您的网络接入点（AP）或网管型交换机。它介于客户端和网络的其余部分之间，充当看门人的角色。第三，认证服务器（Authentication Server）- 几乎都是 RADIUS 服务器。RADIUS 代表远程用户拨号认证服务。它是实际验证凭据的组件。 以下是握手的工作原理：学生的设备与无线接入点关联。接入点尚未授予完整的网络访问权限 - 它会打开一个所谓的受控端口，但仅用于 EAP 流量。EAP 是可扩展身份验证协议。接入点代理设备与 RADIUS 服务器之间的 EAP 对话。RADIUS 服务器对设备进行挑战，设备以凭据（通常是用户名和密码或证书）进行响应。如果 RADIUS 服务器感到满意，它会发回一个 Access-Accept 消息。然后，接入点会打开完整的网络端口。在配置良好的部署中，整个交换过程只需不到两秒钟。 现在，eduroam 是如何在其上进行分层的？eduroam 使用分层 RADIUS 代理架构。每个参与机构都运行自己的 RADIUS 服务器 - 称为身份提供商或 IdP。例如，当来自曼彻斯特大学的学生访问伦敦帝国理工学院并连接到 eduroam SSID 时，他们的设备会以 username@manchester.ac.uk 的格式发送其凭据。帝国理工学院的 RADIUS 服务器会看到域 - 即 @ 符号后面的部分 - 并将身份验证请求代理到国家 RADIUS 服务器，该服务器在英国由国家科研教育网络 Jisc 运营。然后，Jisc 将请求路由到曼彻斯特大学的 RADIUS 服务器，该服务器验证凭据并发回 Accept 或 Reject。整个链条在几毫秒内即可完成解析。 这种代理链使 eduroam 能够在跨机构边界工作，而无需机构之间有任何预共享密钥。链中的每个跃点仅与其次邻近节点使用共享的 RADIUS 密钥。学生的实际密码永远不会离开母校的 RADIUS 服务器 - 它受到 EAP 隧道的端到端保护。 谈到 EAP 方法 - 这是许多部署出错的地方，因此请注意。eduroam 中最常用的 EAP 方法是 PEAP（受保护的 EAP）和 EAP-TLS。PEAP 将内部身份验证方法（通常是 MSCHAPv2）封装在 TLS 隧道内。它要求在 RADIUS 服务器上具有服务器端证书，但客户端只需要用户名和密码。EAP-TLS 是更安全的选择 - 它使用双向证书身份验证，这意味着服务器和客户端都需要提供证书。由于您需要 PKI 来颁发客户端证书，因此大规模部署难度更大，但它基本上可以免受凭据钓鱼攻击。 许多机构忽视的关键安全要求是客户端证书验证。当设备使用 PEAP 连接到 eduroam 时，设备必须在提交凭据之前验证 RADIUS 服务器的证书。如果设备配置错误，导致其接受任何证书，攻击者就可以建立一个广播 eduroam SSID 的恶意接入点，提供自签名证书，并窃取凭据。这是一种已知的攻击途径。解决方法是配置您的请求程序配置文件 - 对于托管设备通过 MDM 进行配置，而对于个人设备，则通过名为 CAT 的 eduroam Configuration Assistant Tool 进行配置 - 以固定预期的证书颁发机构和服务器名称。 从标准角度来看，eduroam 部署预计需符合 eduroam 策略服务定义，该定义强制要求所有基于 TLS 的 RADIUS 连接必须使用 TLS 1.2 或更高版本，禁止使用弱 EAP 方法（如 EAP-MD5 或 LEAP），并要求所有 RADIUS 代理连接尽可能使用 RadSec（基于 TLS 的 RADIUS），而不是普通的 UDP RADIUS。这与英国的 NCSC 指南和美国的 NIST SP 800-120 一致。 还有一个值得注意的技术点：VLAN 分配。在架构良好的 eduroam 部署中，RADIUS Access-Accept 响应包含 VLAN 属性，这些属性会告知接入点将连接设备分配到哪个 VLAN。这使您可以对流量进行细分 - 将来访的学生置于仅允许访问互联网的受限制 VLAN 中，同时将您自己的员工路由到内部网络。这对于合规性至关重要，特别是当您受制于 PCI-DSS 或需要保持研究数据网络与普通互联网流量之间的隔离时。 --- [实施建议和常见陷阱 — 2 分钟] 让我为您提供一些实用的指导。 如果您是首次部署 eduroam，您首先应该联系您的国家 NREN - 在英国是 Jisc，在爱尔兰是 HEAnet，在美国是 Internet2。他们处理联盟成员资格，并将为您分配一个 RADIUS 域。如果不成为国家联盟的成员，您将无法参与 eduroam。 您的基础设施清单：您需要支持 802.1X 的接入点 - 任何来自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企业级设备都可以做到这一点。您需要一台 RADIUS 服务器 - FreeRADIUS 是开源标准，或者您可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要为您的 RADIUS 服务器提供一张由 eduroam 社区信任的 CA 颁发的有效 TLS 证书 - 通常是来自您机构的 PKI 或 eduroam 批准列表中的商业 CA 的证书。 我最常遇到的三种部署失败情况是：第一，证书配置错误 - 要么是 RADIUS 证书已过期，要么是客户端 supplicant 配置文件未正确绑定。第二，RADIUS 代理超时 - 如果您的上游 NREN 连接存在延迟问题，身份验证将会超时，用户会遇到看似凭据错误的连接失败。第三，VLAN 配置错误 - 访客用户最终进入了错误的网段，要么无法访问互联网，或者更糟糕的是，获得了访问他们不应该看到的内部资源的权限。 在客户端，请通过您的 MDM 平台将 eduroam CAT 配置文件部署到所有受管设备。对于个人设备，请在显眼位置发布 CAT 安装程序链接。这一个步骤就可以消除大部分支持工单。 对于非高等教育机构但希望提供 eduroam 访问的场馆（会议中心、酒店和类似场所），该流程被称为 eduroam 访客访问（即 eVA）。它允许非会员组织托管 eduroam SSID 并将身份验证代理给联盟，而无需成为正式会员。如果您经常举办学术会议或大学活动，这非常值得研究。 --- [快速问答 - 1分钟] 我经常被问到的常见问题。 “eduroam 能否完全取代我们的访客 WiFi？”不能。eduroam 仅适用于在会员机构拥有凭据的用户。您仍然需要为其他所有人（访客、承包商、公众）提供一个独立的访客 WiFi 解决方案。 “eduroam 是否符合 GDPR？”符合，但有一些注意事项。联盟架构意味着您的机构会处理身份验证数据，但您需要确保您的隐私声明涵盖了这一点，并且您的 RADIUS 日志得到了适当的处理。 “我们可以将 WPA3 与 eduroam 结合使用吗？”可以。WPA3-Enterprise 与 802.1X 完全兼容，是新部署的推荐标准。它为高安全性环境增加了 192 位模式加密。 “eduroam 和 OpenRoaming 有什么区别？”OpenRoaming 是来自无线宽带联盟（Wireless Broadband Alliance）的一项更广泛的行业倡议，它使用相同的 802.1X 和 RADIUS 代理架构，但将漫游从教育领域扩展到了商业场所。包括 Purple 在内的一些平台支持将 OpenRoaming 作为其访客 WiFi 产品的一部分。 --- [总结和后续步骤 - 1分钟] 总结一下。eduroam 是一种成熟、管理完善、在全球部署的 WiFi 漫游服务，它基于 802.1X 和分层 RADIUS 代理基础设施构建。它在超过 10,000 家机构中提供单用户身份验证、强加密和无缝漫游，无需共享密码或 Captive Portal。 对于部署或升级校园无线网络的 IT 团队：在您的 PKI 能够支持的情况下，优先选择 EAP-TLS 而非 PEAP；在所有客户端配置文件上强制执行证书验证；对所有 RADIUS 代理连接使用 RadSec；并将访客用户隔离到专用的 VLAN 中。 对于场所运营商：如果您定期接待学术访客，请研究 eduroam Visitor Access。无论您是否部署 eduroam，您的访客 WiFi 基础设施都应该构建在企业级 802.1X 原则之上 - 而不是共享 PSK。 如果您想深入了解其中任何内容 - RADIUS 架构、适用于 EAP-TLS 的 PKI 设计，或者像 Purple 这样的平台如何与 eduroam 和 OpenRoaming 集成 - 完整的书面指南已链接在节目简介中。 感谢您的收听。我们下期再见。 --- 脚本结束