无需 Active Directory 或本地服务器的企业级 WiFi 身份验证

执行摘要

大多数组织已经将其身份管理迁移到云端。Microsoft Entra ID、Okta 和 Google Workspace 现在管理着用于电子邮件、SaaS 应用和设备管理的内部用户、组和访问策略。但企业级 WiFi 的发展并未跟上步伐。接入点仍然需要 RADIUS 服务器，而该 RADIUS 服务器在历史上一直是连接到本地 Active Directory 域控制器的 Windows 网络策略服务 (NPS)。

这种不匹配迫使 IT 团队仅仅为了维持 WiFi 运行而维护冗余的本地基础设施。解决方案是云端 RADIUS：一种完全托管的身份验证服务，它向您的接入点发送 RADIUS 协议，并向您的云身份提供商发送 OAuth2、SCIM 和 SAML 协议。将其与通过您的 MDM 进行的 EAP-TLS 证书分发相结合，您就拥有了一个完整的 802.1X 部署，无需本地服务器，无需操作系统补丁，并且可以与您的云目录直接关联以进行即时访问权限撤销。

Purple 在全球 80,000 多个场所运营云端 RADIUS，正常运行时间达 99.999%（Purple 内部数据，2024 年），并与 Microsoft Entra ID、Okta 和 Google Workspace 进行原生集成。您可以在一小时内，在现有的 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 或 Fortinet 接入点上快速上线。

技术深度剖析

问题核心：协议不匹配

根本性的挑战在于，云身份提供商和 WiFi 接入点使用的是完全不同的语言。Microsoft Entra ID（前身为 Azure AD）通过 SAML、OIDC 和 OAuth2（浏览器和 SaaS 应用使用的协议）对用户进行身份验证。WiFi 接入点使用 RADIUS（远程用户拨号认证服务，RFC 2865），这是一种在 20 世纪 90 年代为拨号和 VPN 设计的基于 UDP 的协议。Microsoft 从未为 Entra ID 提供过原生的 RADIUS 端点。您无法将 Meraki 或 Aruba 接入点直接指向 Azure 并期望 802.1X 能够工作。

这是每一个致力于云优先的 IT 团队在尝试使用 WPA2-Enterprise 或 WPA3-Enterprise 保护员工 WiFi 时都会遇到的瓶颈。必须有某种技术来填补接入点与云身份提供商之间的空白。这种技术就是云端 RADIUS。

为什么在没有 Active Directory 的情况下 PEAP-MSCHAPv2 会失效

在历史上，802.1X 部署依赖于 PEAP-MSCHAPv2（受保护的可扩展身份验证协议，采用微软质询握手身份验证协议版本 2）。用户输入其用户名和密码，接入点将请求转发给 RADIUS 服务器，然后 RADIUS 服务器根据存储在 Active Directory 中的 NTLM 哈希值对密码进行验证。 Microsoft Entra ID 不存储 NTLM 哈希。这并不是配置漏洞 - 而是经过深思熟虑的架构决策。Entra ID 是现代云身份提供商，而不是域控制器。因此，指向 Entra ID 的 RADIUS 服务器无法验证 PEAP-MSCHAPv2 质询。使 PEAP 适用于 Entra ID 的唯一方法是部署 Entra Domain Services - 一种从 Entra ID 进行同步的付费托管 Active Directory，然后对其运行 NPS。这重新引入了您试图消除的大部分内容：Windows Server 虚拟机、操作系统补丁、NTLM 哈希存储以及手动证书管理。

EAP-TLS：云原生组织的正确选择

EAP-TLS（可扩展身份验证协议 - 传输层安全，RFC 5216）用 X.509 数字证书代替了密码。设备向 RADIUS 服务器出示证书。RADIUS 服务器根据受信任的证书颁发机构（CA）验证该证书。由于交换过程中没有密码，RADIUS 服务器不需要 NTLM 哈希存储。它只需要信任 CA 并检查身份提供商中的用户组数资格，即可应用正确的 VLAN 和访问策略。

EAP-TLS 在设计上具有防钓鱼特性。没有可以窃取的凭据。它符合 CISA 关于防钓鱼多因素身份验证的指南，并符合 PCI-DSS 对处理持卡人数据的网络上强身份验证的要求。它是 IEEE 802.1X 为托管设备群推荐的身份验证方法。

云原生 802.1X 身份验证架构：设备通过 Purple 的云 RADIUS 运行 EAP-TLS 进行身份验证，该服务器会验证证书并应用来自 Microsoft Entra ID、Okta 或 Google Workspace 的基于组的策略。

MDM 如何取代本地 CA

在传统的 802.1X 部署中，证书由运行 Active Directory 证书服务（AD CS）的本地证书颁发机构颁发。在云原生部署中，MDM 通过 SCEP（简单证书注册协议）接管此角色。Microsoft Intune、Jamf Pro 和其他 MDM 平台可以向云端托管的 CA 请求证书，并静默推送到托管设备。

流程如下。IT 管理员在 MDM 中创建一个 SCEP 证书配置文件，其范围限定为需要 WiFi 访问的设备组。MDM 会自动将证书推送到 Windows、macOS、iOS、iPadOS、Android Enterprise 和 ChromeOS 设备。用户无感知。证书与 MDM 中的设备身份绑定，并在过期前自动续期。当设备连接到 WiFi 时，它会将证书出示给云 RADIUS 服务器，该服务器会根据 CA 验证该证书并应用正确的网络策略。

对于使用 Microsoft Intune 的组织，Microsoft Cloud PKI 提供了一个直接与 Intune SCEP 配置文件集成的完全托管 CA，从而无需本地 NDES（网络设备注册服务）服务器。对于由 Jamf 托管的 Mac 和 iOS 设备群，Jamf 的内置 CA 或第三方云 CA 也具有相同的用途。

SCIM 与即时访问撤销

云 RADIUS 在运营上最重要的一个方面是 SCIM（跨域身份管理系统）预配。SCIM 是一种开放标准，可实时将身份变更从可信源（您的云身份提供商）推送到依赖系统。当员工在 Entra ID 或 Okta 中被禁用时，SCIM 会立即将该变更推送到云 RADIUS 服务。下次设备尝试身份验证时，RADIUS 服务器将返回“拒绝访问”。由于接入点上配置了较短的会话超时，设备在账户被禁用后几分钟内就会被移出网络。

与共享 PSK 网络相比，这是一项重大的安全改进，在共享 PSK 网络中，撤销访问权限的唯一方法是更改每台设备上的密码；而与依赖定期 LDAP 同步（存在数小时或数天的窗口期）的传统 RADIUS 部署相比，这同样是一项重大改进。

RadSec：保护互联网上的 RADIUS 流量

传统的 RADIUS 使用 UDP，仅提供基本的报文身份验证。当您的 RADIUS 服务器与您的接入点位于同一数据中心时，这是可以接受的。当您的 RADIUS 服务器是云服务时，身份验证流量会穿越公共互联网。RadSec（基于 TLS 的 RADIUS，RFC 6614）使用 TLS 对 RADIUS 交换进行加密，从而为身份验证流量提供机密性和完整性。Purple 原生支持 RadSec，并为尚不支持 RadSec 的接入点提供 IPsec 后备方案。

-

实施指南

使用 EAP-TLS 部署云 RADIUS 需要四个协调步骤。如果 Entra ID 和 MDM 已经就绪，试点 SSID 可以在一小时内上线。

第 1 步：将云 RADIUS 连接到您的身份提供商

通过 OAuth2 管理员同意（针对 Entra ID）或 API 令牌（针对 Okta 和 Google Workspace）将 Purple 连接到您的身份提供商。这会授权 Purple 从目录中读取用户、组和组成员身份。配置 SCIM 预配以实时将用户状态变更推送到 Purple。磁盘上不存储任何服务主体凭据。组变更会在下一次身份验证事件时传播，而不是按同步计划进行。

第 2 步：配置您的 MDM 和 SCEP 配置文件

在 Microsoft Intune 中，为 CA 根证书创建一个受信任的证书配置文件，然后创建一个指向 Purple 托管 CA 的 SCEP 证书配置文件。将这两个配置文件的范围限定为需要 WiFi 访问的设备组。对于 Jamf，在配置文件中配置 SCEP 负载。MDM 会以静默方式推送证书。在继续之前，请先在 MDM 合规性仪表板中验证证书交付情况。

步骤 3：在云 RADIUS 控制面板中定义网络策略

创建 RADIUS 策略，将身份提供商组映射到特定的 VLAN 和访问控制。例如，将 Entra ID 组“Staff-Finance”映射到具有完全互联网访问权限的 VLAN 20，并将“Staff-Contractors”映射到具有自动过期时间限制访问权限的 VLAN 30。Purple 的控制面板在身份验证时应用这些策略，无需更改防火墙。

步骤 4：更新接入点配置

更新接入点上的 SSID 配置，以使用带有 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise。输入 Purple 云 RADIUS 主和备端点的主机名或 IP 地址，以及共享密钥。配置接入点以根据 Purple 返回的 RADIUS 属性使用动态 VLAN 分配。在整个园区推广之前，先在部分接入点上使用单个 SSID 进行测试。

云 RADIUS 与本地 RADIUS：部署时间、Active Directory 依赖关系、高可用性、操作系统补丁、身份集成和证书生命周期管理方面的直接对比。

最佳实践

这些建议反映了 IEEE 802.1X 标准、PCI DSS v4.0 要求以及 Purple 在超过 80,000 个场所的运营经验。

对托管设备强制执行 EAP-TLS。 密码容易受到网络钓鱼和凭据填充攻击。证书提供身份和设备合规性的加密证明。EAP-TLS 是唯一在设计上具有防钓鱼特性的 802.1X 方法。

使用 SCIM 进行即时撤销。 定期的 LDAP 同步会留出一个时间窗口，让被终止合同的员工在此期间仍保留网络访问权限。SCIM 可确保在身份提供商中禁用账户的瞬间撤销访问权限。

部署多区域 RADIUS。 为您的接入点配置至少两个位于不同地理区域的 RADIUS 端点。Purple 默认提供双活多区域故障转移，故障转移在数秒内即可完成。

使用动态 VLAN 进行流量细分。 使用身份提供商组群关系动态地将用户分配到特定的 VLAN。这可以隔离敏感流量并限制受损设备的影响范围，而无需手动更改防火墙。

启用 RadSec。 如果您的接入点支持 RadSec，请启用它以加密接入点与云 RADIUS 服务器之间的身份验证流量。这对于分支机构以及接入点处于不可信网络段的场所尤为重要。

监控证书生命周期。 设置 MDM 自动更新在证书寿命达到 80% 时触发。对于一年期证书，更新从第 10 个月开始。对未能在线上证书过期前完成更新的设备进行告警。 要更广泛地了解企业 WiFi 安全标准和框架，请参阅我们的 企业 WiFi 安全：2026年完整指南 。

故障排除与风险缓解

过渡到云 RADIUS 会引入新的依赖关系。在这些常见故障模式影响生产环境之前，请做好以下准备。

证书过期。 如果设备证书在 MDM 续订之前过期，设备将静默无法通过身份验证。用户会看到连接错误，但没有任何说明。缓解措施是：配置 MDM 在证书寿命达到 80% 时自动续订，并监控 MDM 合规仪表板以发现证书即将过期的设备。

MDM 同步失败。 未能满足 MDM 合规性或未能签到的设备可能无法收到续订的证书。实施合规性策略，对不健康的设备进行标记，并在证书过期前提醒管理员。

防火墙拦截 RADIUS 流量。 接入点必须能够通过 UDP 端口 1812（身份验证）和 UDP 端口 1813（计费）或 TCP 端口 2083（RadSec）连接到云 RADIUS 端点。分支机构的出站防火墙规则经常会拦截这些端口。在部署前，测试从接入点管理 VLAN 的可达性。

SCIM 预配失败。 如果身份提供商与 Purple 之间的 SCIM 连接中断，用户状态更改将无法传播。在身份提供商和 Purple 仪表板中监控 SCIM 同步状态。为同步失败配置警报。

不支持证书的传统设备。 物联网设备、打印机和较旧的硬件可能不支持 EAP-TLS。对于这些设备，请使用 iPSK（独立预共享密钥）而不是共享 PSK。Purple 原生支持 iPSK，可为每台设备分配唯一的密钥，并在无需 802.1X 客户端支持的情况下将每台设备划分到正确的 VLAN。

投资回报率（ROI）与业务影响

从本地 RADIUS 迁移到云 RADIUS 可在基础设施、运营和安全方面提供可衡量的价值。

使用 Purple 的员工 WiFi 的 IT 团队通常会发现 WiFi 支持工单减少了 80%（Purple 内部数据，2024年），这主要得益于免去了密码重置和手动设备引导。基于证书的身份验证还满足了 PCI-DSS 规范 8.3 对强身份验证的要求，以及 ISO 27001 控制项 A.9.4 对系统和应用程序访问控制的要求，从而减轻了安全团队的审计负担。

对于 零售 和 酒店 行业的组织而言，通过单一云端控制台管理员工 WiFi 和 Guest WiFi - 配合统一的身份层 - 能够降低多站点资产的运营复杂度。对于 交通 运营商和 医疗保健 服务提供商，即时撤销功能和完整的审计追踪无需额外工具即可满足监管合规要求。

Purple 的 WiFi Analytics 层在身份验证基础设施之上增加了空间占用和混合办公数据，将员工 WiFi 从成本中心转变为运营情报的来源。

-

相关阅读： 企业 WiFi 安全：2026年完整指南 - OpenWrt 自定义固件与 Purple WiFi 的集成