企业级 SCEP 设置指南：面向高等教育和大型网络基于证书的 WiFi 身份验证

企业 SCEP 设置指南：面向高等教育和大型网络基于证书的 WiFi 身份验证 Purple 技术简报 - 播客脚本（约 10 分钟） --- 引言与背景 - 约 1 分钟 欢迎收看 Purple 技术简报系列。我今天想聊聊一个经常出现在许多 IT 收件箱中，但很少得到直接解答的话题：如何利用 SCEP 在大型网络（无论是大学校园、多站点酒店集团还是大型公共部门资产）中大规模实际部署基于证书的 WiFi 身份验证？ 我们将涵盖全景：SCEP 的实际作用、它如何融入 802.1X 架构、大多数团队都会搞错的部署顺序、两个真实的实施案例，以及如果不提前规划就会让你损失一整个周末的常见陷阱。 这是一份顾问简报，而不是入门教程。我假设您已经知道什么是 RADIUS 服务器，并且可能已经决定需要放弃预共享密钥。您现在需要的是实施路线图。 让我们开始吧。 --- 技术深度解析 - 约 5 分钟 首先，来看看基本原理。SCEP 代表简单证书注册协议（Simple Certificate Enrollment Protocol）。它于 2020 年被 IETF 正式确立为 RFC 8894，尽管在此之前它在企业中的广泛应用已超过十年。它的任务很简单：自动将数字证书获取到托管设备上，而无需人工干预每台机器。 在 WiFi 身份验证的上下文中，SCEP 是交付机制。您要实施的实际身份验证协议是 EAP-TLS（使用传输层安全性的可扩展身份验证协议），它存在于 802.1X 框架内。EAP-TLS 被广泛认为是企业无线网络中最安全的身份验证方法，因为它要求客户端设备和 RADIUS 服务器都出示有效的证书。在没有密码学证明的情况下，双方互不信任。这种双向身份验证正是保护您免受双面恶魔（evil twin）攻击（攻击者建立流氓接入点以窃取凭据）的关键。以下是整个链条的工作原理。托管设备 - 例如学生的笔记本电脑、员工的手机、酒店的 POS 终端 - 需要加入企业无线网络。您的 MDM 平台（可以是 Microsoft Intune 或 Jamf）会将 SCEP 负载推送至该设备。该负载包含两样东西：指向您的 NDES 服务器或云端 SCEP 网关的 SCEP URL，以及质询密码或共享密钥。设备会在本地生成自己的公钥和私钥对。这至关重要。私钥永远不会离开设备。它在设备上生成，存储在安全隔离区（secure enclave）或 TPM 中，并且永远不会在网络上传输。然后，设备会创建一个证书签名请求（即 CSR）并将其发送至 SCEP 网关。网关验证质询，将 CSR 转发给您的证书颁发机构（CA），CA 对其进行签名并将公钥证书返回给设备。从那时起，当设备连接到您的 WiFi SSID 时，它会将该证书出示给 RADIUS 服务器。RADIUS 服务器会根据您的 CA 信任链验证该证书，检查证书吊销列表（CRL）以确认该证书未被吊销，如果一切正常，则向接入点发送接受消息。设备便成功接入网络。整个过程对用户来说是完全无感的。 现在，让我们谈谈 SCEP 相对于另一种替代方案 PKCS 所处的位置。PKCS（公钥加密标准）是 Intune 等平台支持的另一种证书交付方法。使用 PKCS 时，CA 在中央生成公钥和私钥，然后证书连接器将密钥对向下推送至设备。这意味着私钥会在网络上传输，从而引入了理论上的攻击面。对于确实需要密钥托管的 S/MIME 电子邮件加密等用例，PKCS 是可以接受的。但对于 WiFi 身份验证，SCEP 才是正确的选择。私钥会一直保留在设备上，绝无例外。 接下来是硬件层。SCEP 和 EAP-TLS 是与厂商无关的通用标准，这意味着它们适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 接入点。您的 RADIUS 配置（无论是 Windows NPS、FreeRADIUS 还是云端 RADIUS 服务）是您定义证书验证策略的地方，更关键的是，它也是您配置动态 VLAN 分配的地方。动态 VLAN 是您按身份对网络进行细分的方式。学生设备分配到 VLAN 20 - 仅限访问互联网。教职工设备分配到 VLAN 10 - 可访问内部研究系统。设施管理设备分配到 VLAN 30 - 可访问楼宇管理系统。所有这一切都由证书属性和 RADIUS 策略驱动，无需对每台设备进行手动干预。对于身份提供商集成，SCEP证书属性 - 特别是使用者替代名称 - 可以携带来自Microsoft Entra ID、Okta或Google Workspace的用户主体名称。这使证书与特定身份绑定，这意味着当您在Entra ID中禁用某个帐户且MDM注销该设备时，证书将被吊销，WiFi访问权限将自动切断。这是预共享密钥完全无法实现的吊销流程。 --- 实施建议与常见陷阱 - 约2分钟 好的，我们来谈谈部署顺序，因为这是大多数团队容易出错的地方。 顺序是不可商榷的：首先是受信任的根证书，其次是SCEP证书配置文件，第三是WiFi配置文件。Intune和Jamf都强制执行配置文件依赖关系。如果您的WiFi配置文件引用了尚未部署到设备的SCEP证书，WiFi配置文件将失败并显示一个神秘的错误，这看起来像是配置错误，但实际上只是一个时间顺序问题。 第二个陷阱是组定位。所有三个配置文件 - 受信任的根证书、SCEP和WiFi - 必须部署到完全相同的Azure AD或Jamf组。如果SCEP配置文件针对的是用户组，而WiFi配置文件针对的是设备组，Intune将无法解析该依赖关系，WiFi配置文件将显示为“不适用”。这经常让团队措手不及。 第三：NDES服务器的可访问性。您的NDES服务器需要能够从互联网访问，以便设备在到达现场之前可以进行注册。正确的方法是通过Azure AD应用程序代理（Application Proxy），而不是在防火墙上打洞。应用代理为您提供安全的远程访问，无需参加入站端口，并允许您将条件访问策略应用于注册流程。 第四：CRL可用性。您的RADIUS服务器在每次设备身份验证时都会检查证书吊销列表（CRL）。如果您的CRL分发点不可用 - 无论是由于服务器宕机，还是URL已更改 - 网络上的每个设备都将同时身份验证失败。这是一次校园范围的网络中断。请确保您的CRL端点具有高可用性，并在上线前测试吊销功能。 对于大型网络 - 任何超过500台设备的网络 - 请考虑使用云端SCEP网关，而不是本地NDES。云网关消除了NDES的单点故障，可以水平扩展，并且通常直接与云RADIUS服务集成，从而消除了另一个基础设施依赖项。 --- 快速问答 - 约1分钟 SCEP能处理未注册MDM的BYOD设备吗？不能直接处理。SCEP需要MDM注册来推送证书有效负载。对于未托管的BYOD，您需要采用不同的方法 - 无论是自助服务入网门户，还是使用带有身份验证的Captive Portal的独立SSID。Purple的平台可以干净利落地处理该访客和BYOD层，与您通过证书验证的员工网络并行运行。 iOS 和 Android 怎么样？这两个平台都原生支持 SCEP。iOS 自 iOS 4 起就支持 SCEP。Android Enterprise 通过 Intune 和其他 MDM 支持 SCEP。每个平台的配置略有不同，但底层协议是完全相同的。 EAP-TLS 是否适用于 WPA3？是的。WPA3-Enterprise 规定了适用于敏感环境的 192 位安全模式，并且 EAP-TLS 完全兼容。事实上，采用 EAP-TLS 的 WPA3-Enterprise 是 Wi-Fi Alliance 针对政府和金融网络推荐的组合。 - - - 总结和后续步骤 - 约 1 分钟 总结一下。对于拥有 50 台以上托管设备的任何网络，SCEP 证书 WiFi 认证都是正确的架构。它消除了共享凭据，为您提供单台设备身份，支持动态 VLAN 分段，并直接与您的身份提供商集成以实现自动撤销。部署顺序 - 受信任的根证书，然后是 SCEP 配置文件，最后是 WiFi 配置文件 - 是固定的。组目标定位必须保持一致。CRL 可用性是必选项。 特别是对于高等教育，为教职员工设备提供 SCEP，并为使用个人设备的学生的学生提供一个单独的访客 WiFi 层，两者的结合可以让您兼顾安全性和出色的用户体验，而无需做出妥协。 如果您想深入了解，Purple 针对没有 Active Directory 或本地服务器的企业 WiFi 认证指南涵盖了云原生路径。如果您正在考虑员工离职时会发生什么，我们关于撤销 WiFi 访问权限的指南将逐步引导您完成整个撤销工作流程。 感谢收听。我是来自 Purple 技术团队的成员，我们下期简报再见。 - - - 脚本结束