如何在 Android 设备上通过 EAP-TLS 设置企业级 WiFi

如何在 Android 设备上通过 EAP-TLS 设置企业级 WiFi Purple 技术简报 — 约 10 分钟 --- 介绍与背景 — 约 1 分钟 欢迎收看 Purple 技术简报系列。我是您的主持人，今天我们将深入探讨在 Android 设备上部署 802.1X EAP-TLS 认证的具体细节 - 无论您是管理酒店物业、零售连锁店、体育场馆还是公共部门园区。 如果您负责管理一个需要对企业或 BYOD Android 设备进行身份验证、而又不依赖共享密码的网络，那么本期内容非常适合您。EAP-TLS 是企业级 WiFi 安全的黄金标准 - 它使用基于证书的双向身份验证，这意味着没有凭据可被钓鱼，无需定期更换密码，并且其合规性表现完全符合 PCI DSS、ISO 27001 以及大多数公共部门的安全框架。 在本次简报结束时，您将完全了解 EAP-TLS 在 Android 上的工作原理、您的部署方案有哪些，以及导致部署失败的三个最常见错误。让我们开始吧。 --- 技术深度解析 — 约 5 分钟 让我们从架构开始。802.1X 是管理基于端口的网络访问控制的 IEEE 标准。当 Android 设备连接到配置为 WPA2-Enterprise 或 WPA3-Enterprise 的企业 WiFi 网络时，接入点将作为所谓的认证器。它本身不做出身份验证决定；它只在设备与 RADIUS 服务器（即实际的身份验证服务器）之间传递对话。 EAP-TLS - 即采用传输层安全协议的可扩展身份验证协议 - 是在 802.1X 框架内运行的身份验证方法。它与在 TLS 隧道内使用用户名和密码的 EAP-PEAP 或 EAP-TTLS 不同，EAP-TLS 在双方都使用 X.509 证书。RADIUS 服务器向设备出示服务器证书，设备向 RADIUS 服务器回传客户端证书。双方互相验证。这就是双向身份验证，也是使 EAP-TLS 成为目前最安全选择的原因。 现在，专门针对 Android 系统，有几点您需要了解。Android 11 及更高版本引入了更严格的证书验证要求。如果您在 Android 11 或更高版本上进行部署 - 此时这已占您设备群的绝大多数 - 除非 RADIUS 服务器证书被明确信任，否则设备将拒绝连接。您不能仅依赖系统信任库；您必须将根 CA 证书推送到设备，或者配置 WiFi 配置文件以明确引用它。让我们来谈谈证书链。在单个 Android 设备能够通过 EAP-TLS 进行身份验证之前，您需要准备好三个组件。首先，是证书颁发机构（CA） - 可以是您的内部 PKI、Microsoft Active Directory 证书服务，或者像通过 Intune 使用 SCEP 这样的云 PKI。其次，是颁发给您的 RADIUS 服务器并由该 CA 签名的服务器证书。第三，是颁发给每个设备或用户的唯一客户端证书，同样由该 CA 签名。设备在 TLS 握手期间出示其客户端证书，RADIUS 服务器会根据 CA 的证书吊销列表（CRL）或通过在线证书状态协议（OCSP）对其进行验证。 对于 Android，客户端证书和私钥通常被打包为一个 PKCS12 文件 - 即 .p12 或 .pfx 文件 - 其中包含证书和加密的私钥。在手动配置的设备上，用户通过“设置”、“安全”、“安装证书”来导入此文件。在 MDM 管理的设备上，证书会被静默推送到设备的托管密钥库中，无需用户交互。 现在让我们谈谈 WiFi 配置文件本身。在 Android 上配置企业级 WiFi 连接时，您需要指定：SSID、安全类型（WPA2 企业级或 WPA3 企业级）、EAP 方法（即 TLS）、用于服务器验证的 CA 证书、用于设备身份验证的客户端证书，以及标识字符串（通常是设备的常用名或用户的 UPN）。在 Android 11 及以上版本中，您还需要指定域名后缀匹配或服务器证书主题，以防止中间人攻击。 对于 MDM 部署 - 这才是真正实现大规模应用的地方 - 您需要将所有这些作为结构化的配置配置文件进行推送。在 Microsoft Intune 中，您创建一个 SCEP 证书配置文件，该文件会自动在每个注册的 Android 设备上申请并安装唯一的客户端证书。然后，您创建一个引用该证书配置文件的 WiFi 配置配置文件。当设备登记时，它会同时接收到证书和 WiFi 配置文件，并自动连接到您的 802.1X 网络。无需用户交互，无需技术支持支持。如果您正在使用 Intune 来实现这一点，我们关于如何使用 Microsoft Intune 向设备推送 WiFi 证书的配套指南将引导您完成确切的配置步骤 - 我建议您在阅读本简报的同时阅读该指南。 对于 VMware Workspace ONE 和 Jamf Connect，该过程在架构上是完全相同的 - 先是 SCEP 或 PKCS 证书配置文件，然后是引用它的 WiFi 配置文件。具体的用户界面有所不同，但证书链和 RADIUS 配置要求是相同的。 在 RADIUS 方面，有一点值得特别注意：如果您运行的是 FreeRADIUS、Microsoft NPS 或 Cisco ISE，请确保您的服务器证书包含正确的“扩展密钥用法”（EKU）属性 - 特别是服务器身份验证（OID 1.3.6.1.5.5.7.3.1）。Android 在这方面非常严格。如果缺少 EKU 或配置不当，在 Windows 客户端上运行良好的证书在 Android 上可能会失败。 --- 实施建议与常见陷阱 - 约 2 分钟 好，让我们来看看在实际部署中究竟会遇到哪些问题，因为这正是大多数部署遇到麻烦的地方。 第一个也是最常见的失败原因是证书信任。如果无法验证 RADIUS 服务器的证书链，Android 11 及以上版本将无法连接。解决方法很简单：通过 MDM 将您的根 CA 证书推送到设备的系统凭据存储中，并在 WiFi 配置文件的 CA 证书字段中明确引用它。不要将其保留为“不验证” - 这是一个安全漏洞，且在某些 Android 版本上无论如何都会失败。 第二个陷阱是证书过期。客户端证书的有效期通常为一到两年。如果您没有通过 SCEP 或 NDES 建立自动更新，那么某天早上醒来您会发现半数设备的 WiFi 访问权限同时失效。请从第一天起就将证书更新自动化构建到您的 MDM 工作流程中，而不是事后才想起来。 第三个问题是 RADIUS 服务器容量。由于需要进行完整的双向证书交换，EAP-TLS 握手在计算上比 PEAP 握手消耗更多资源。在拥有数千个并发认证的体育场或会议中心，配置不足的 RADIUS 服务器将成为瓶颈。请根据峰值并发认证数量而非平均负载来规划您的 RADIUS 基础设施规模。 最后，在 Android 方面，请注意不同的制造商（如 Samsung、Google、Xiaomi）在 WiFi 配置 API 的实现上略有不同。在进行大规模推广之前，请在您设备资产中每个制造商的代表性设备上测试通过 MDM 推送的配置文件。特别是 Samsung 设备，历史上一直要求显式设置身份字段，即使该字段可以从证书中推断出来。 --- 快速问答 - 约 1 分钟 以下是我经常被问到的几个快速问题。 我可以将 EAP-TLS 用于 BYOD 设备吗？可以，但这需要用户在其个人设备上安装客户端证书。对于大规模的 BYOD 场景，请考虑使用 PAP 协议的 EAP-TTLS 或 PEAP-MSCHAPv2 是否是更务实的折中方案，而将 EAP-TLS 留给公司所有的设备。 EAP-TLS 可以与 WPA3-Enterprise 配合工作吗？可以，事实上 192 位模式的 WPA3-Enterprise 强制要求使用 EAP-TLS。如果您在高度安全的部署环境中部署 WPA3-Enterprise，EAP-TLS 是您唯一符合规范的选择。 我应该针对的最低 Android 版本是多少？ Android 8 及以上版本原生支持 EAP-TLS。对于 Android 11 及以上版本，必须强制执行显式 CA 证书验证。对于 Android 13 及以上版本，您可以利用改进的证书管理 API 进行更细粒度的控制。 Purple 的平台可以与 EAP-TLS 网络集成吗？ Purple 的访客 WiFi 和分析平台在与您的 802.1X 企业网络独立的 SSID 上运行。您的企业设备在安全 SSID 上通过 EAP-TLS 进行身份验证，而访客设备则在访客 SSID 上使用 Purple 的 captive portal。两者在相同的接入点基础设施上共存，并通过 VLAN 隔离提供安全边界。 --- 总结和后续步骤 - 约 1 分钟 总结一下：Android 上的 EAP-TLS 是目前最安全的受支持企业 WiFi 身份验证方法，借助现代 MDM 工具，大规模部署完全切实可行。需要做对的三件事是：正确配置具有自动证书更新功能的 PKI、在 Android 11 及以上版本上显式信任 CA 证书，以及针对峰值负载进行规模设计的 RADIUS 基础设施。 如果您在混合了企业和访客流量的场所进行部署，Purple 的平台可以为您提供访客网络上的分析和互动层，而您的 EAP-TLS 基础设施则保护企业端。两者相辅相成。 对于您的后续步骤：请阅读完整指南中我们的架构图，完成 Intune 部署演练，并在推广到整个设备资产之前在部分设备上进行试点。从包含 50 台设备的受控组开始，验证证书分发和 WiFi 连接，然后充满信心地进行扩展。 感谢您收听 Purple 技术简报。您可以在 purple.ai 找到完整的书面指南、图表和配置参考。我们下期再见。