如何在 Android 设备上通过 EAP-TLS 设置企业级 WiFi

如何使用 EAP-TLS 在 Android 设备上设置企业级 WiFi Purple 技术简报 - 约 10 分钟 --- 引言与背景 - 约 1 分钟 欢迎来到 Purple 技术简报系列。我是您的主持人，今天我们将深入探讨在 Android 设备上部署 802.1X EAP-TLS 认证的具体细节 - 无论您是管理酒店物业、零售连锁、体育场馆，还是公共部门园区。 如果您负责的网络需要对企业或 BYOD Android 设备进行身份验证，而不依赖共享密码，那么本期内容正适合您。EAP-TLS 是企业级 WiFi 安全的黄金标准 - 它使用基于证书的双向身份验证，这意味着没有可以被网络钓鱼的凭据，无需轮换密码，并且其合规姿态能够满足 PCI-DSS、ISO 27001 以及大多数公共部门的安全框架要求。 通过本次简报，您将准确了解 EAP-TLS 在 Android 上的工作原理、您的部署选择是什么，以及导致部署失败的三个最常见错误。让我们正式开始。 --- 技术深度解析 - 约 5 分钟 让我们从架构开始。802.1X 是管理基于端口的网络准入控制的 IEEE 标准。当 Android 设备连接到企业 WiFi 网络（配置为 WPA2-Enterprise 或 WPA3-Enterprise 的网络）时，接入点将充当所谓的认证器。它本身不做出认证决策；它在设备和 RADIUS 服务器（即实际的认证服务器）之间传递对话。 EAP-TLS（即采用传输层安全协议的可扩展身份验证协议）是在该 802.1X 框架内运行的身份验证方法。它与在 TLS 隧道内使用用户名和密码的 EAP-PEAP 或 EAP-TTLS 不同，EAP-TLS 在双方都使用 X.509 证书。RADIUS 服务器向设备提供服务器证书，而设备向 RADIUS 服务器回传客户端证书。双方互相验证。这就是双向身份验证，也是使 EAP-TLS 成为目前最安全选择的原因。 现在，专门针对 Android 系统，有几点您需要了解。Android 11 及更高版本引入了更严格的证书验证要求。如果您在 Android 11 或更高版本上进行部署 - 在目前这占您设备的大多数 - 除非 RADIUS 服务器证书被明确信任，否则设备将拒绝连接。您不能仅依赖系统信任库；您必须将根 CA 证书推送到设备，或者配置 WiFi 配置文件以明确引用它。让我们来谈谈证书链。在单个 Android 设备可以通过 EAP-TLS 进行身份验证之前，您需要准备好三个组件。首先是证书颁发机构（CA）——可以是您的内部 PKI、Microsoft Active Directory 证书服务，或者是通过 Intune 的 SCEP 等云 PKI。其次是颁发给您的 RADIUS 服务器并由该 CA 签名的服务器证书。第三是颁发给每个设备或用户的唯一客户端证书，同样由该 CA 签名。设备在 TLS 握手期间出示其客户端证书，RADIUS 服务器通过 CA 的证书吊销列表（CRL）或通过 OCSP（在线证书状态协议）对其进行验证。 对于 Android，客户端证书和私钥通常打包为 PKCS12 文件（即 .P12 或 .PFX 文件），其中包含证书和加密的私钥。在手动配置的设备上，用户通过“设置”、“安全”、“安装证书”来导入此文件。在 MDM 管理的设备上，证书会被静默推送到设备的托管密钥库中，无需用户交互。 现在让我们来谈谈 WiFi 配置文件本身。在 Android 上配置企业级 WiFi 连接时，您需要指定：SSID、安全类型（WPA2-Enterprise 或 WPA3-Enterprise）、EAP 方法（即 TLS）、用于服务器验证的 CA 证书、用于设备身份验证的客户端证书，以及身份字符串（通常是设备的公用名或用户的 UPN）。在 Android 11 及以上版本中，您还需要指定域名后缀匹配或服务器证书主题，以防止中间人攻击。 对于 MDM 部署 - 这才是真正实现规模化的地方 - 您需要将所有这些作为结构化配置文件进行推送。在 Microsoft Intune 中，您创建一个 SCEP 证书配置文件，该文件会自动在每个注册的 Android 设备上申请并安装唯一的客户端证书。然后，您创建一个引用该证书配置文件的 WiFi 配置文件。当设备签入时，它会同时接收证书和 WiFi 配置文件，并自动连接到您的 802.1X 网络。无需用户交互，无需拨打支持电话。如果您正在使用 Intune 实施此操作，我们关于如何使用 Microsoft Intune 向设备推送 WiFi 证书的配套指南详细介绍了确切的配置步骤 - 我建议您在阅读本简报的同时阅读该指南。 对于 VMware Workspace ONE 和 Jamf Connect，其流程在架构上是完全相同的 - 同样是 SCEP 或 PKCS 证书配置文件，后跟引用该配置文件的 WiFi 配置文件。具体的 UI 有所不同，但证书链和 RADIUS 配置要求是一样的。 在 RADIUS 方面，有一点非常值得注意：如果您正在运行 FreeRADIUS、Microsoft NPS 或 Cisco ISE，请确保您的服务器证书包含正确的扩展密钥用法（EKU）属性 - 特别是服务器身份验证（Server Authentication），OID 1.3.6.1.5.5.7.3.1。Android 对此要求非常严格。如果缺少 EKU 或配置不当，在 Windows 客户端上运行良好的证书在 Android 上可能会失败。 --- 实施建议与常见陷阱 - 约 2 分钟 好，现在让我们来谈谈在实际部署中究竟会遇到哪些问题，因为这正是大多数部署陷入困境的地方。 第一个也是最常见的失败原因是证书信任。如果无法验证 RADIUS 服务器的证书链，Android 11 及以上版本将无法连接。解决方法很简单：通过 MDM 将您的根 CA 证书推送到设备的本地证书存储区，并在 WiFi 配置文件的 CA 证书字段中明确引用它。切勿将其保留为“不验证” - 这是一个安全漏洞，并且在某些 Android 版本上无论如何都会失败。 第二个陷阱是证书过期。客户端证书的有效期通常为一到两年。如果您没有通过 SCEP 或 NDES 建立自动更新机制，那么某天早上醒来，您会发现您有一半的设备同时失去了 WiFi 访问权限。从第一天起，就应该将证书自动更新流程构建到您的 MDM 工作流中，而不是事后才想起来。 第三个问题是 RADIUS 服务器的容量。由于完整的双向证书交换，EAP-TLS 握手在计算上比 PEAP 握手更耗费资源。在拥有数千个并发认证的体育场或会议中心，配置不足的 RADIUS 服务器将成为瓶颈。请根据并发认证的峰值，而非平均负载来规划您的 RADIUS 基础设施规模。 最后，在 Android 端，请注意不同的制造商 - 如 Samsung、Google、Xiaomi - 在 WiFi 配置 API 的实现上略有不同。在进行大规模部署之前，请在您拥有的每个制造商的代表性设备上测试 MDM 推送的配置文件。特别是 Samsung 设备，历史上一直要求明确设置身份字段，即使该字段可以从证书中推断出来。 --- 快速问答 - 约 1 分钟 以下是我经常被问到的几个快速问题。 我可以对 BYOD 设备使用 EAP-TLS 吗？可以，但这需要用户在个人设备上安装客户端证书。对于大规模 BYOD，请考虑 EAP-TTLS 结合 PAP 或 PEAP-MSCHAPv2 是否是更实用的折中方案，而将 EAP-TLS 留给公司所有的设备。 EAP-TLS 是否适用于 WPA3-Enterprise？是的，而且采用 192 位模式的 WPA3-Enterprise 实际上强制要求使用 EAP-TLS。如果您在高安全环境中部署 WPA3-Enterprise，EAP-TLS 是您唯一的合规选择。 我应该以哪个最低 Android 版本为目标？Android 8 及以上版本原生支持 EAP-TLS。对于 Android 11 及以上版本，需强制执行显式 CA 证书验证。对于 Android 13 及以上版本，您可以利用改进的证书管理 API 进行更细粒度的控制。 Purple 的平台可以与 EAP-TLS 网络集成吗？Purple 的访客 WiFi 和分析平台在与您的 802.1X 企业网络独立的 SSID 上运行。您的企业设备在安全 SSID 上通过 EAP-TLS 进行身份验证，而访客设备则在访客 SSID 上使用 Purple 的 Captive Portal。两者并存于相同的接入点基础设施上，通过 VLAN 隔离提供安全边界。 - 总结和后续步骤 - 约 1 分钟 总结一下：Android 上的 EAP-TLS 是目前最安全的企业 WiFi 身份验证方法，借助现代 MDM 工具，完全可以在大规模部署中实现。需要做对的三件事是：正确配置具有自动证书更新功能的 PKI、在 Android 11 及以上版本上显式信任 CA 证书，以及针对峰值负载进行合理规划的 RADIUS 基础设施。 如果您要在企业和访客流量混合的场所进行部署，Purple 的平台可以为您提供访客网络上的分析和互动层，而您的 EAP-TLS 基础设施则可以保护企业侧的安全。两者相辅相成。 对于您的后续步骤：请阅读完整指南中的架构图，按照 Intune 部署教程进行操作，并在推广到整个组织之前在一部分设备上进行试点。从 50 台设备的受控小组开始，验证证书分发和 WiFi 连接，然后充满信心地进行扩展。 感谢收听 Purple 技术简报。您可以在 purple.ai 找到完整的书面指南、图表和配置参考。我们下次再见。