如何借助 802.1X 在 iOS 和 macOS 上配置 Enterprise WiFi

要在 iOS 和 macOS 上设置企业级 WiFi，请构建包含三个 Effective 负载的配置描述文件。WiFi 有效负载使用 EAP-TLS 设置 WPA2 或 WPA3 企业级加密。证书有效负载包含您的根 CA。SCEP 或 ACME 有效负载为每台设备颁发独立证书。通过 Jamf Pro 或 Microsoft Intune 推送描述文件，或者在试点期间进行手动安装。

802.1X 企业级 WiFi 在 iPhone、iPad 和 Mac 上起什么作用？

IEEE 802.1X 是基于端口的网络访问控制标准。在无线网络中，它会在身份验证服务器确认设备身份之前阻止设备传输流量。该服务器是 RADIUS (Remote Authentication Dial-In User Service) 服务器。在 802.1X 术语中，设备是请求者 (supplicant)，接入点是认证者 (authenticator)，而 RADIUS 服务器负责最终的决策。

每台 iPhone、iPad 和 Mac 都内置了 802.1X 请求者。您无需安装任何代理程序。只需向设备提供配置描述文件，iOS、iPadOS 或 macOS 即可自动处理身份验证。

推荐标准化的方法是 EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)。双方都会出示证书。设备证明其持有由您的证书颁发机构 (CA) 颁发的证书；RADIUS 服务器证明它是您的服务器，而不是广播您的网络名称的伪造接入点。由于没有密码在空中传输，员工无需担心密码被钓鱼、共享或写在员工休息室的白板上。

许多网络仍在使用采用 MSCHAPv2 的 PEAP (Protected EAP)，员工在其中输入用户名和密码。这种方式虽然有效，但其安全性取决于每台设备是否验证服务器证书。接受任何证书的设备都会将凭据泄露给攻击者的接入点。

身份验证选项对比

iPSK (identity pre-shared key) 允许每个设备或组在同一个网络名称上使用独立的预共享密钥。它非常适合无法保存证书的硬件。对于受托管的 Apple 设备，EAP-TLS 是更强大的选择。

在为 iOS 和 macOS 配置 802.1X 之前需要准备什么？

您需要准备好四个组件。如果缺少任何一个，推行工作就会停滞在试点阶段。

公钥基础设施 (PKI)

PKI（公钥基础设施）包含证书颁发机构（CA）以及颁发、续订和吊销证书的流程。您需要一个根 CA，通常在其下方还需要一个颁发 CA，以及一个 Apple 设备支持的注册协议。

Apple 支持两种协议。SCEP（简单证书注册协议）是使用已久的老牌选项，通常由 Microsoft Active Directory 证书服务通过其 NDES 角色提供。ACME（自动证书管理环境）则是更新的协议。借助 ACME 负载，Apple 可以在受支持机型的设备硬件中生成私钥，因此私钥无法被导出。Jamf Pro 和 Microsoft Intune 都列出了其支持的 CA 集成文档；请在选择前进行核对。

具备受信任证书的 RADIUS 服务器

您的 RADIUS 服务器需要拥有自己的证书，该证书由设备信任的 CA 签名。证书的 SAN（使用者可选名称）必须包含服务器的完全合格域名，因为 Apple 设备会以此进行匹配。服务器还必须通过证书吊销列表或 OCSP（在线证书状态协议）检查吊销状态。如果没有该项检查，已吊销的证书依然可以建立连接。

您可以在本地运行 RADIUS，也可以使用 Purple 的云端 RADIUS，它运行在可用性达 99.999% 的平台上。

移动设备管理平台

MDM（移动设备管理）用于分发配置文件、请求证书并在到期前进行续订。Jamf Pro 和 Microsoft Intune 是大多数企业运行的两大平台。请通过 Apple Business Manager 和自动设备注册（Automated Device Enrolment）注册公司拥有的设备。通过这种方式注册的设备会受到监督管理，且配置文件会在任何人接触设备之前就已下发。

设置为 WPA2 或 WPA3-Enterprise 的接入点

请配置一个采用 WPA2-Enterprise、WPA3-Enterprise 或同时支持两者的过渡模式的专用网络名称。将其指向您的 RADIUS 服务器。如果您希望 RADIUS 将设备划分到不同的网段，请启用动态 VLAN 分配。这适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。Purple 作为与硬件无关的云端叠加层，运行在所有这八种设备上，因此您无需更换任何接入点。

如何在 iOS 和 macOS 上设置企业级 WiFi？

无论选择哪种交付途径，配置文件的结构都是相同的。它包含三个相互引用的负载。

1. 证书负载。 交付您的根 CA 和所有中间 CA，以便设备能够验证 RADIUS 服务器。
2. SCEP 或 ACME 负载。 告知设备如何从您的 CA 请求其自身的身份证书。
3. WiFi 负载。 设置网络名称、安全类型并将 EAP-TLS 指定为接受的身份验证方法。它会指定步骤 2 中的身份证书。其信任设置会将步骤 1 中的根 CA 指定为受信任，并列出 RADIUS 服务器的证书名称。

信任设置决定了部署是否为零接触。若遗漏其中任何一项，设备都会要求持有人手动信任服务器证书。该提示会中断自动化入网流程。更糟糕的是，这会使员工养成对任何证书都点击“信任”的习惯，从而给凭据窃取型接入点带来可乘之机。如果您运行多台 RADIUS 服务器，Apple 支持在受信任服务器名称字段中使用通配符模式。

选项 1：针对试点项目和小规模站点的受控手动配置

Mac 上的 Apple Configurator 可以构建包含相同三种有效负载的 .mobileconfig 描述文件。该描述文件可包含带有一次性质询的 SCEP 有效负载。或者，它也可以嵌入由密码保护的 PKCS#12 身份文件。您可以通过隔空投送、电子邮件或网页链接分发该文件。接收者需在 iPhone 和 iPad 的“设置”中，或在 Mac 的“系统设置”中批准安装。

在 Mac 上，用户也可以通过 WiFi 菜单加入网络，并从钥匙串中选取证书身份。该途径不会设置服务器信任，因此仍会弹出信任提示。

手动配置描述文件存在三大隐患：无法远程续订证书；无法远程撤回描述文件；嵌入的身份文件在传输过程中携带有私钥。请将手动配置仅限用于 10 到 20 台设备的试点项目。

选项 2：通过 Jamf Pro 部署

在 Jamf Pro 中，您可以为移动设备或计算机构建一个包含所有三种有效负载的配置文件。您可以将其范围限定为一个智能群组，例如前台部门的所有受监管 iPad。Jamf 会在下次签入时交付该文件、请求证书，并在证书到期前进行续订。

在 macOS 上，首先需确定配置文件级别。包含设备证书的计算机级配置文件会在登录窗口处（即任何人登录前）进行身份验证。而用户级配置文件仅在登录后才会连接。共享 Mac 以及需要在登录窗口使用网络帐户的 Mac 均需要计算机级别。Jamf 官方文档列出了各有效负载当前的字段名称。

选项 3：通过 Microsoft Intune 部署

Intune 将相同的结构拆分为三个互相关联的配置文件。受信任证书配置文件承载根 CA；SCEP 或 PKCS 证书配置文件颁发身份证书；WiFi 配置文件同时引用这两者。不希望自行运行 CA 服务器的组织可以使用 Microsoft Cloud PKI 作为颁发 CA。

请将所有这三个配置文件分配给相同的群组。如果受信任证书配置文件成功下发到设备，但 SCEP 配置文件未能成功下发，则 WiFi 配置文件将会失败。这种分配不匹配是 Apple 设备上最常见的 Intune 故障。

哪种部署途径适合您？

分四个阶段推广

在员工已使用的网络旁边构建新的网络名称。先在由不同设备型号和部门组成的幼小群体中进行试点。通过以下检查后，扩大适用范围。仅在所有受管理设备都已使用 EAP-TLS 完成身份验证后，再停用旧的共享密钥网络。

如何将企业 WiFi 与访客 WiFi 隔离？

身份验证证明了设备的身份。网络分段决定了它能访问的内容。将 EAP-TLS 设备放置在专用 VLAN（虚拟局域网，逻辑上隔离的网络段）上，与任何公共网络隔离。

RADIUS 可以根据证书属性或目录组为每台设备分配 VLAN。收银台 iPad 接入支付网络段，而客房部 iPhone 接入运营网络段。两者广播相同的网络名称，因此您可以减少广播的网络数量。

您的公共网络并行运行。来自 Purple 的 Guest WiFi 在其独立的 SSID 和 VLAN 上使用 Captive Portal（授予访问权限前显示的登录页面）。它在 GDPR 和 ISO 27001 控制下，通过自主选择的选择性同意收集第一方数据。WiFi Analytics 报告来自该网络的访客、购物者和乘客访问情况。企业流量和访客数据绝不共享同一个网络段。

如果您不想为员工运行自己的 PKI 和 RADIUS，Purple 的 Staff WiFi 提供基于身份的网络。通过云 RADIUS，访问权限与 Microsoft Entra ID、Okta 或 Google Workspace 绑定。目录中的入职、调动和离职人员变更网络访问权限时，无需任何人重新为设备输入密钥。对于无法保存证书的无头设备，iPSK 可确保每台设备使用各自独立的密钥。

如何检查 Apple 设备是否正确完成了身份验证？

在设备端、RADIUS 服务器端和网络端进行测试，然后测试生命周期。

在设备端

• 在 Mac 上，按住 Option 键并单击 WiFi 菜单，以显示安全类型和连接详细信息。
• 在 iPhone 和 iPad 上，确认设备在重启后以及超出范围并返回后，均能在没有任何提示的情况下自动加入。
• 在 Mac 上，筛选 Console 应用中针对 eapolclient 进程（macOS 802.1X 客户端）的统一日志，以查看每次 EAP 交换。

在 RADIUS 服务器端

每条身份验证记录都应显示 EAP-TLS 作为方法。它应显示您期望的证书主题以及服务器返回的 VLAN。显示来自受管理设备的 PEAP 记录意味着仍安装有旧的配置文件。

在网络端

确认设备从正确的 VLAN 范围获取地址。尝试访问其他网段（如访客网络）上的资源，并确认防火墙策略已将其阻止。

贯穿整个证书生命周期

• 吊销。 吊销测试设备的证书，并确认下一次连接失败。如果仍能连接，则说明您的 RADIUS 服务器未检查吊销状态。
• 续订。 颁发短期测试证书，并确认 MDM 在其过期前完成替换且不中断连接。
• 登录窗口。 在共享 Mac 上重启，并确认在任何人登录之前网络已处于连通状态。

iOS 和 macOS 802.1X 会出现哪些问题，又该如何解决？

避免更换 RADIUS 证书后出现静默故障

最具破坏性的故障通常发生在您续订 RADIUS 服务器证书时。如果新证书链接到您的设备尚不信任的根证书或中间证书，Apple 设备将中止握手。这虽然可以防范中间人攻击，但会导致您的所有设备同时离线。

通过变更控制来解决此问题。在 RADIUS 服务器切换证书前至少提前一周通过 MDM 推送新的 CA 证书链。在切换完成前，请在配置文件中保留旧证书链。将服务器证书的到期日期与其他关键续订事项一同列入日程表。

这在酒店、零售和公共部门中如何应用？

以下三个具体场景仅供参考。其效果取决于文中所述的配置，而非指特定名称的实际部署。

拥有 200 间客房的酒店更换员工共享密钥

**现状。**一家拥有 200 间客房的酒店在单个 WPA2-Personal 密钥上运行 120 部员工 iPhone 和 iPad。员工还将该密钥保存在个人手机上。管理层每年更改两次密钥，这意味着每次都需要有人在每台设备上重新输入。离职人员在下一次更改之前一直保留访问权限。

**应对措施。**IT 部门通过“自动设备注册”将设备注册到 Jamf Pro 中。SCEP 有效负载从现有的 CA 颁发证书。全新的 EAP-TLS 网络将设备分配至员工 VLAN。运行在 Purple Guest WiFi 上的访客网络仍保留在相同的接入点上，未作更改。了解这如何契合更广泛的 酒店 运营。

**成效。**手动密钥更新从每年 240 次（120 台设备更改两次）降至零。现在，当 IT 部门在 Jamf 中停用离职人员的设备时，其访问权限在当天即告终止。停用共享密钥网络后，存有旧密钥的个人手机失去了访问权限。

拥有 60 家门店且配备 iPad 收银机（POS）的零售商

**现状。**一家拥有 60 家门店的连锁企业将 iPad 用作移动收银机，通过每家门店的共享密钥连接到持卡人数据环境。PCI DSS v4.0 的要求 2.3.2 规定，只要知晓无线加密密钥的人员离职，就必须更换该密钥。随着门店员工的流动，更换密钥的工作持续不断。

**应对措施。**IT 部门向收银 iPad 部署了 Intune 受信任证书、SCEP 以及 WiFi 配置文件。RADIUS 将它们分配至支付 VLAN。顾客 WiFi 则通过 Purple 在独立的 SSID 上运行。有关该行业的更多详情，请访问我们的 零售 页面。

**成效。**员工不再知晓任何无线密钥，因此员工离职不再触发密钥更换。每台收银 iPad 都持有自己的证书。对评估员而言，CA 的颁发和吊销日志证明了连接人员以及访问终止时间。

地方议会将 400 台 Mac 迁移至登录窗口身份验证

**现状。**某地方议会使用用户级配置文件向 400 台 MacBook 部署了 EAP-TLS。新入职员工在没有有线网口的情况下无法完成首次登录，因为网络仅在登录后才会启动。

**应对措施。**IT 部门在计算机级别重新部署了配置文件，并为每台 Mac 颁发了设备证书。

**成效。**所有 400 台 Mac 现在都在登录窗口完成身份验证。新入职员工可在任何办公地点通过 WiFi 完成首次登录。相同的模式也适用于 医疗保健 领域的临床 iPad 以及 列车 上的列车员 iPad。

Apple 设备上的企业级 WiFi 成本是多少，又能带来什么收益？

您需要支付的费用

• **申请方（Supplicant）。**免费。802.1X 和 EAP-TLS 已内置于 iOS、iPadOS 和 macOS 中。
• **MDM。**Jamf Pro 按设备许可。Intune 包含在 Microsoft 365 商业高级版、E3 和 E5 中，因此许多组织已经拥有该产品。
• **PKI。**Active Directory 证书服务可在您可能已经拥有的 Windows Server 许可证上运行。Microsoft Cloud PKI 是单独许可的 Intune 附加组件。
• RADIUS。 您自行维护的本地服务器，或 Purple 的云端 RADIUS。
• 员工时间。 主要集中在 PKI 设计和试点阶段。一旦配置好配置文件，新设备在注册时就会自动完成配置。

您将获得的收益

• 无需轮换共享密钥。 上述酒店场景每年可减少 240 次手动更新。
• 支持针对单一设备终止访问权限。 撤销一张证书仅会移除一台设备，不会影响其他任何内容。
• 合规性证据。 基于单台设备的证书符合 PCI DSS v4.0 的 2.3.2 项要求以及 GDPR 第 32 条（该条款要求采取适当的技术措施来保障处理安全性）。
• 防御流氓无线接入点。 双向身份验证意味着设备会拒绝无法验证的服务器。

访客接入与此并行，运行在独立的设施上。Purple 在 90 个国家的 80,000 多个实时场所运营 Guest WiFi。它已通过 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证，可直接在您现有的硬件上运行。

常见问题解答

Purple 是否支持我们现有的无线接入点？

是的。Purple 与硬件无关，可以作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。您的 EAP-TLS 员工网络和 Purple Guest WiFi 可以通过独立的 SSID 和 VLAN 在相同的无线接入点上广播。您无需更换任何硬件，员工和访客流量在整个过程中始终保持隔离。

我们需要 Jamf 或 Intune 吗？还是可以手动配置 iPhone 和 Mac？

除试点项目外，其他任何规模的部署都需要 MDM 平台。Apple Configurator 可以为 10 到 20 台设备创建手动配置文件。但是，手动配置文件无法远程更新证书，也无法远程撤销。Jamf Pro 或 Microsoft Intune 可在注册时分发配置文件、在到期前更新证书，并在您报废设备时移除访问权限。这使得 MDM 成为任何有扩容预期设备群的实用路线。

对于 Apple 设备，EAP-TLS 是否比 PEAP 更安全？

是的。EAP-TLS 在双方都使用证书，因此没有密码通过网络传输，也无法被钓鱼或共享。采用 MSCHAPv2 的 PEAP 依赖用户名和密码。只有当每台设备都正确验证服务器证书时，它才是安全的。在迁移过程中，可将 PEAP 作为未托管设备的过渡方案。请将受管 iPhone、iPad 和 Mac 标准化为 EAP-TLS。

当我们将员工设备迁移到 802.1X 时，我们的访客 WiFi 会受到什么影响？

您的访客不会受到任何影响。EAP-TLS 员工网络在独立的 SSID 和 VLAN 上运行，与您的公共网络并行。Purple Guest WiFi 保留其 Captive Portal、自主选择的 Opt-in 订阅以及 WiFi Analytics 报告。将员工设备从共享密钥迁移出去通常也能加强访客安全性，因为离职员工和个人手机将失去对内部网段的访问权限。

基于证书的 WiFi 是否有助于 PCI DSS 和 GDPR 合规？

是的，它同时支持这两者。PCI-DSS v4.0 的 2.3.2 项要求明确规定，当知晓无线密钥的人员离职时，必须更换密钥。而采用 EAP-TLS 时，员工无需掌握任何共享密钥。GDPR 第 32 条要求采取适当的技术措施来确保处理过程的安全性。通过单设备证书、证书吊销以及 VLAN 网络隔离，您可以拥有完善的文档化控制措施以及来自 CA 日志的审计追踪。

我们能否将个人拥有的 iPhone 接入企业网络？

可以，但需要配合正确的注册流程。Jamf Pro 和 Intune 均支持 Apple 针对个人设备推出的账户驱动型注册模式。该模式可将工作数据和证书与个人数据彻底隔离开来。对于未采用 MDM 的 BYOD WiFi 环境，Purple 的 Staff WiFi 能将网络访问权限与 Microsoft Entra ID、Okta 或 Google Workspace 的身份体系绑定，确保离职员工的访问权限随其账号注销而自动终止。

部署上线需要投入多少精力？

绝大部分精力集中在准备工作上，而非设备端。您只需规划好 PKI、颁发带有正确 SAN 的 RADIUS 服务器证书并构建一个配置文件即可。随后在不同型号和部门的 10 到 20 台设备上进行试点。通过验证后，只需在 Jamf Pro 或 Intune 中扩大适用范围，即可在每台设备下次轮询签到时完成自动配置。