Google Workspace WiFi 认证：Chromebook 与 LDAP 集成
面向在 Google Workspace 环境中部署安全 WiFi 的 IT 管理员的权威技术参考。本指南涵盖了通过 Google Admin Console 向受管 Chromebook 部署 802.1X 证书、将 Google Secure LDAP 集成作为 RADIUS 后端，以及针对教育、媒体和企业场所的架构决策。它提供了实用的实施步骤、真实世界的案例研究以及 EAP 方法的直接对比，以帮助团队从脆弱的共享 PSK 过渡到强大的、基于身份的网络访问控制。
Video overview
收听本指南
查看播客转录
核心系列的一部分：企业级 WiFi 安全指南 →
Google Workspace WiFi & Chromebook 802.1X Architecture Advisor
Model your Google Workspace edition, Chromebook fleet size, and controller hardware to generate a custom 802.1X EAP-TLS or Secure LDAP deployment blueprint with automated Google Admin Console policies.
Tier designed for K-12 school districts and universities managing 1:1 Chromebook fleets, Google Classroom, student vs faculty OU segmentation, and Secure LDAP RADIUS.
Enrolled via Chrome Enterprise Upgrade. Supports silent background SCEP client certificate distribution with TPM hardware key storage.
Maximum zero-trust security: private keys never leave Chromebook hardware.
Generates vendor-specific RADIUS, 802.1X, and dynamic VLAN configuration commands.
Recommended Deployment Blueprint
Deploy EAP-TLS with hardware TPM-backed client certificates managed via SCEP/PKCS in Google Admin Console. ChromeOS devices authenticate cryptographically with zero user friction and zero password sharing.
Request Custom Google Workspace WiFi Blueprint & Cloud RADIUS Demo
Get tailored configuration files for your Cisco Meraki network and 650 devices.
针对高管的摘要
对于标准化使用 Google Workspace 的企业场所、教育机构和酒店服务提供商而言，与 Microsoft Active Directory 环境相比，实施安全、无缝的 WiFi 身份验证在历史上一直是一项挑战。本指南详细介绍了 Google Workspace WiFi 身份验证的架构和部署，特别关注 Chromebook 802.1X 证书部署以及用于 RADIUS 后端的 Google Secure LDAP 集成。
IT 经理和网络架构师必须在安全（WPA3-Enterprise、IEEE 802.1X）与用户摩擦之间取得平衡。虽然预共享密钥（PSK）很容易泄露且难以轮换，但直接与用户的 Google Workspace 身份绑定的基于证书的身份验证（EAP-TLS）或基于凭据的身份验证（PEAP-MSCHAPv2）可提供强大的访问控制、细粒度的策略执行以及在 访客 WiFi 和企业网络之间的无缝漫游。
本技术参考概述了配置 Google 管理控制台以进行自动证书分发、部署 Google Secure LDAP 以及将这些身份源与企业 RADIUS 服务器集成的确切步骤。通过遵循这些与厂商无关的最佳实践，企业可以减少凭据窃取、减少服务台工单并确保符合 GDPR 和 PCI-DSS 规范。
技术深度剖析
Google Workspace WiFi 认证架构
针对 Google Workspace 认证无线客户端需要弥合云原生身份验证（SAML/OAuth）与传统网络协议（RADIUS/802.1X）之间的差距。与原生支持 LDAP 并与网络策略服务器 (NPS) 无缝集成的 Active Directory 不同，Google Workspace 需要一个专门的中间层。
实现这一目标主要有两种架构：
架构 1 - Google 安全 LDAP (Cloud Identity Premium / Google Workspace Enterprise)： Google 为您的云目录提供托管的 LDAP 接口。您的 RADIUS 服务器（例如 FreeRADIUS、Cisco ISE、Aruba ClearPass）使用客户端证书安全地连接到 ldap.google.com。当用户尝试连接到 WiFi 时，RADIUS 服务器会向 Google 的 LDAP 服务验证其凭据。
架构 2 - 基于 SAML 的 Captive Portal / RadSec： 对于 BYOD（员工自带设备）或访客场景，用户连接到开放或 PSK 网络，系统会将其重定向到 Captive Portal。该门户通过 Google SSO (SAML/OAuth) 对用户进行身份验证。身份验证成功后，系统可以动态分发一个唯一的凭据（例如动态 PSK 或临时证书）用于后续连接。
图 1：Google Workspace 环境下的 802.1X 认证流程，展示了作为接入点与 Google 安全 LDAP 之间媒介的 RADIUS 服务器。
EAP 类型与 Chromebook 支持
Chromebook 原生支持适用于 802.1X 的多种可扩展身份验证协议 (EAP) 类型。EAP 类型的选择决定了安全态势和部署复杂度。如需全面了解 802.1X 基础知识，请参阅 802.1X 认证：确保现代设备上的网络访问安全。
图 2：Chromebook 支持的 EAP 方法直接对比，重点展示了安全性和复杂性之间的权衡。
| EAP 方法 | 认证类型 | 需要客户端证书 | 网络钓鱼风险 | 推荐适用场景 |
|---|---|---|---|---|
| EAP-TLS | 证书 | 是 | 无 | 托管的 Chromebook |
| PEAP-MSCHAPv2 | 密码 | 否 | 中等 | BYOD / 中小型企业部署 |
| EAP-TTLS | 密码 | 否 | 中等 | 混合环境 |
EAP-TLS (Transport Layer Security): 企业级 WiFi 的黄金标准。它要求同时具备服务器证书（位于 RADIUS 服务器上）和客户端证书（位于 Chromebook 上）。这消除了对密码的需求，从而降低了钓鱼风险。Google Admin Console 能够通过 Google Cloud Certificate Connector 或第三方 SCEP/EST 集成，自动将客户端证书推送到受管理的 Chromebook。
PEAP-MSCHAPv2 / EAP-TTLS: 这些协议使用服务器证书来建立一个安全隧道，在此隧道内部交换用户的用户名和密码。虽然对于非托管设备来说部署起来更容易，但如果客户端设备没有严格验证服务器证书，它们很容易受到凭据窃取的威胁。
在设计网络时，需考虑这些认证事件如何与下游系统（如 WiFi Analytics 平台）相关联，这些平台依赖于稳定的 MAC 地址或已认证的用户名来追踪用户旅程和客流量。
Google Workspace 对比 Microsoft 和 Okta：对比评估
评估企业级 WiFi 认证身份平台的组织应该了解其固有的权衡。鉴于 Microsoft Active Directory 具有原生 LDAP 支持和紧密的 NPS 集成，它仍然是无缝集成度最高的选择。Okta 通过其 RADIUS Agent 提供了强大的 RADIUS-as-a-Service 功能，消除了对自主管理 RADIUS 基础设施的需求。Google Workspace 通过 Secure LDAP 是一个可靠的选择，但需要更周密的架构 - 您始终需要一个中介 RADIUS 服务器，并且 Secure LDAP 服务仅在更高层级的许可中提供。
| 功能 | Google Workspace | Microsoft AD/Entra | Okta |
|---|---|---|---|
| 原生 RADIUS 支持 | 否 (需要 RADIUS 服务器) | 通过 NPS | 通过 RADIUS Agent |
| LDAP 接口 | Google Secure LDAP | 原生 AD LDAP | LDAP Interface Agent |
| EAP-TLS 支持 | 是 (通过 PKI 集成) | 是 (原生) | 是 |
| 托管设备证书推送 | Google Admin Console | Intune / GPO | MDM 集成 |
| 许可要求 | Enterprise / Cloud Identity Premium | 包含在 AD 中 | Workforce Identity |
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。
实施指南
部署 802.1X 到受管理的 Chromebook
将安全 WiFi 部署到受管理的 Chromebook 涉及配置 Google Admin Console 以推送所需的网络配置文件和证书。这可以确保设备在无需用户干预的情况下自动连接。
步骤 1：配置 RADIUS 服务器
部署支持 EAP-TLS 或 PEAP 的 RADIUS 服务器（例如 FreeRADIUS）。在 RADIUS 服务器上安装受信任的服务器证书。如果使用私有 CA，请确保导出根 CA 证书以部署到客户端。配置 RADIUS 服务器以查询 Google Secure LDAP（如果使用基于凭据的认证）或根据您的 CA 验证客户端证书（如果使用 EAP-TLS）。
步骤 2：设置 Google Secure LDAP（适用于 PEAP/EAP-TTLS）
在 Google 管理控制台中，导航至应用 > LDAP。添加一个新的 LDAP 客户端（例如 “Enterprise RADIUS”）。配置访问权限（读取用户信息、验证密码）。下载生成的客户端证书和密钥。将这些凭据安装到您的 RADIUS 服务器上，并将其配置为连接到 ldap.google.com:636。
步骤 3：向 Chromebook 部署证书（适用于 EAP-TLS）
在 Google 管理控制台中，导航至设备 > 网络 > 证书。上传您的根 CA 证书并将其标记为“受信任的证书颁发机构”。配置一个机制，通过 Google Cloud Certificate Connector 或支持 SCEP/EST 集成的云端 PKI 提供商向设备颁发客户端证书。
步骤 4：在 Google 管理控制台中创建 WiFi 配置文件
导航至设备 > 网络 > WiFi。创建一个新的 WiFi 网络配置文件。设置 SSID 并选择 WPA/WPA2/WPA3-Enterprise 作为安全类型。选择适当的 EAP 类型。如果使用 EAP-TLS，请选择已部署的客户端证书。如果使用 PEAP，请将其配置为使用用户登录的凭据。至关重要的一点是，选择受信任的根 CA 证书以确保 Chromebook 验证 RADIUS 服务器。将该配置文件应用到相应的组织单位（OU）。
最佳实践
严格的服务器证书验证： 务必在客户端设备上强制进行服务器证书验证。否则，用户将面临双面恶魔（Evil Twin）攻击的风险，攻击者会广播相同的 SSID 并截获凭据。这一个配置决定就关系到您的部署是安全还是存在漏洞。如需深入了解 802.1X 安全架构，请参阅 802.1X 身份验证：在现代设备上保障网络访问安全。
按角色进行网络细分： 使用从 Google LDAP 返回的 RADIUS 属性（例如 Filter-Id、Tunnel-Private-Group-Id），根据用户的 Google Workspace 组群成员身份（例如教职工与学生），动态地将用户分配到不同的 VLAN。这限制了横向移动，并显著提升了安全态势。
监控与审计： 定期审查 RADIUS 身份验证日志和 Google Workspace 审计日志。将这些日志整合到 SIEM 系统中，以检测异常的身份验证模式或暴力破解企图。思考这些数据如何接入更广泛的网络情报平台。
规划 BYOD： 尽管托管的 Chromebook 可以使用 EAP-TLS，但非托管设备（教职工个人手机、访客设备）需要采用不同的方法。为这些设备实施安全的自助网络接入门户或使用动态 PSK。对于 酒店 或 零售 环境中的公共访问区域，请考虑使用带有 Captive Portal 的标准 Guest WiFi 解决方案，以获取用户同意并确保符合 GDPR 合规性。
基础架构冗余： 部署多个 RADIUS 服务器并配置接入点以进行自动故障转移。单个 RADIUS 服务器是一个关键的单点故障 - 如果它宕机，所有托管设备都将无法连接到网络。
故障排除与风险缓解
常见故障模式
证书过期是生产环境中 EAP-TLS 故障最常见的原因。针对证书有效期，在过期前 90 天、30 天和 7 天实施自动监控和告警。这适用于 RADIUS 服务器证书以及任何中间 CA 证书。
时钟偏差是经常被忽视的间歇性身份验证失败原因。EAP-TLS 依赖准确的时间同步进行证书验证。确保 RADIUS 服务器、证书颁发机构和 Chromebook 均通过 NTP 进行同步。超过几分钟的偏差就会导致有效的证书被拒绝。
LDAP 连接问题： 如果使用 Google Secure LDAP，请确保 RADIUS 服务器可以通过 TCP 端口 636 访问 ldap.google.com，并且用于身份验证的客户端证书在 Google Admin Console 中未过期或未被吊销。
组织单位 (OU) 应用错误： 确保 WiFi 配置文件和证书已应用到 Google Admin Console 中正确的组织单位。常见错误是将设备证书配置文件应用到用户 OU，导致证书永远无法推送至设备。
风险缓解策略
分阶段推广至关重要。切勿一次性向整个组织部署新的 802.1X 配置。从一个小规模试点小组（例如 IT 团队）开始，然后扩大到单个部门或地点，最后再进行全球推广。保留一个隐藏且受到严格限制的备用 SSID，供 IT 人员在对无法通过 802.1X 进行身份验证的设备进行故障排除时使用。
对于受监管行业的组织，请确保您的 802.1X 部署符合相关的合规性框架。在 医疗保健 环境中，通过动态 VLAN 分配进行网络隔离，直接支持 HIPAA 关于隔离临床系统的要求。在零售业中，PCI-DSS 要求在持卡人数据环境与一般企业网络之间进行网络隔离 - 动态 VLAN 分配完美地满足了这一要求。
投资回报率与业务影响
从基于 PSK 的网络过渡到与 Google Workspace 集成的 802.1X，可带来显着且可衡量的收益，证明了这笔实施投资的价值。
减少服务台开销： 通过 Google Admin Console 自动部署证书，消除了托管设备上电的手动 WiFi 配置。组织通常报告称，在部署 EAP-TLS 后，与 WiFi 相关的服务台工单减少了 40% 到 60%，因为不再有密码需要遗忘或定期更换。
增强的安全态势： EAP-TLS 消除了基于密码的身份验证，从而防范了钓鱼攻击和凭据堆积攻击。这降低了数据泄露的风险以及相关的财务和声誉成本。2024年数据泄露的平均成本超过了480万美元 - 这一数字使得对适当身份验证架构的投资理由变得显而易见。
简化的离职流程： 当员工离职时，禁用其 Google Workspace 帐户将立即撤销其 WiFi 访问权限。无需在整个组织内轮换共享的 PSK，从而消除了员工离职到 PSK 轮换之间存在的安全漏洞窗口。
改进的分析与智能： 通过将网络身份验证与唯一身份绑定，场所可以利用 Wayfinding 和 WiFi Analytics 等平台，以更高的准确性了解空间利用率和用户行为。这些数据可以为基础设施投资提供依据，并在 Transport 枢纽或大型会议中心等复杂环境中优化房地产使用。对于正在探索网络智能如何支持更广泛业务目标的组织，Modern Hospitality WiFi Solutions Your Guests Deserve 这篇文章提供了相关的背景信息。
对于考虑更广泛网络架构背景的组织，Wireless Access Points Definition Your Ultimate 2026 Guide 和 The Core SD WAN Benefits for Modern Businesses 针对支持成功部署 802.1X 的基础设施决策提供了互补的指导。
关键定义
802.1X
一项用于基于端口的网络准入控制（PNAC）的 IEEE 标准。它为希望连接到局域网或无线局域网的设备提供了一种认证机制，要求每个设备在被授予网络访问权限之前必须先通过认证。
企业 WiFi 安全的奠基性协议，用基于身份的个人认证取代了共享密码（PSK）。Chromebook 和所有现代 WiFi 接入点均提供原生支持。
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
一种 EAP 方法，使用公钥基础设施（PKI）通过数字证书对客户端和服务器进行双向认证。认证过程中不交换任何密码。
托管设备 WiFi 认证的金标准。需要在 Chromebook 上部署客户端证书（通过 Google Admin Console 部署），并在 RADIUS 服务器上部署服务器证书。
Google Secure LDAP
Google 提供的一种托管服务，向 Google Workspace 云端目录公开传统的 LDAP 接口，允许 RADIUS 服务器等传统系统根据 Google 的身份平台对用户进行认证。
对于希望使用 Google 凭据进行 802.1X WiFi 认证的组织至关重要。可在 Cloud Identity Premium 和 Google Workspace Enterprise 许可中使用。
RADIUS (Remote Authentication Dial-In User Service)
一种网络协议，为连接到网络服务的用户提供集中式的认证、授权和计费（AAA）管理。接入点与 RADIUS 服务器通信，以验证用户或设备凭据。
连接 WiFi 接入点与 Google Workspace 等身份提供商之间的桥梁服务器。常见实现包括 FreeRADIUS、Cisco ISE 和 Aruba ClearPass。
PEAP-MSCHAPv2 (Protected Extensible Authentication Protocol)
一种 EAP 方法，使用服务器证书创建安全的 TLS 隧道，在该隧道内部使用 MSCHAPv2 协议验证用户的用户名和密码。
在无法向每个设备部署客户端证书的 BYOD 或中小企业环境中，作为 EAP-TLS 的常见替代方案。需要进行严格的服务器证书验证以防止凭据被盗。
Dynamic VLAN Assignment
在 802.1X 认证过程中通过 RADIUS 属性，根据用户身份或组群成员身份，将用户或设备分配到特定的虚拟局域网（VLAN）的过程。
允许网络管理员根据通过 Secure LDAP 返回的 Google Workspace 组群成员身份，使用单个 SSID 隔离流量（例如，将学生和教职员工保持在不同的子网中）。
SCEP (Simple Certificate Enrollment Protocol)
一种旨在自动大规模颁发和撤销数字证书的协议，常用于 MDM 和设备管理平台。
与 Google Admin Console 结合使用，自动将客户端证书推送到托管的 Chromebook，以进行 EAP-TLS 认证，而无需手动安装证书。
Evil Twin Attack
一个欺诈性的 WiFi 接入点，通过广播与受信任网络相同的 SSID 伪装成合法接入点，旨在拦截用户凭据或流量。
通过在 802.1X 配置中实施严格的服务器证书验证所防范的主要威胁。如果没有证书验证，PEAP 用户的 Google 凭据可能会被恶意接入点捕获。
WPA3-Enterprise
用于企业网络的最新一代 WiFi 网络安全协议，提供更强的加密（WPA3-Enterprise 192位模式下至少为192位加密），并改进了对离线字典攻击 formulation 的防御能力。
所有新 802.1X 部署推荐使用的安全协议。现代 Chromebook 和接入点已完全支持，并可通过 Google Admin Console WiFi 配置文件进行配置。
应用实例
一个拥有 2,000 名学生的大学校园需要向大学拥有的 Chromebook（通过 Google Admin 管理）和学生自携设备（BYOD，如手机、笔记本电脑）部署安全 WiFi。他们使用 Google Workspace for Education 作为唯一的身份提供商，并且没有本地的 Active Directory。
对于受管的 Chromebook，该大学应部署 EAP-TLS。他们配置一个通过 SCEP 与 Google Workspace 集成的云端 PKI。Google Admin Console 将根证书授权（Root CA）、SCEP 负载和 WiFi 配置文件（WPA3-Enterprise、EAP-TLS）推送到 Chromebook 的组织单位（OU）。设备在没有任何用户交互的情况下进行静默、安全的认证。
对于 BYOD 设备，他们部署一个安全的入网引导门户（Onboarding Portal）。学生连接到开放的 “Onboarding” SSID，在 captive portal 上通过 Google SAML SSO 进行认证，然后系统会为他们的设备分发一个用于主 “Campus-Secure” SSID 的唯一的、设备专用的证书（或动态 PSK）。这在利用相同 Google 身份的同时，将受管流量和未受管流量分离开来。RADIUS 服务器使用 Google Secure LDAP 来验证凭据，并根据学生的 Google Workspace 组群成员身份将学生和教职员工分配到不同的 VLAN。
一个拥有 50 个门店的零售连锁店使用 Google Workspace。他们希望为公司拥有的设备上的员工提供 WiFi，并为客户提供独立的 Guest WiFi。他们目前对员工使用单一的 PSK，且已三年未曾更改。已知有一名离职员工拥有该 PSK。
该零售连锁店应立即实施 Google Secure LDAP。他们在云端部署一个中央 RADIUS 服务器，并将其配置为针对 Google Secure LDAP 进行认证。在 Google Admin Console 中，他们使用 PEAP-MSCHAPv2 创建一个 WiFi 配置文件，强制执行严格的服务器证书验证。所有 50 个门店的接入点都指向该中央 RADIUS 服务器。员工使用他们的 Google Workspace 凭据进行连接 - 无需分发新密码。
对于客户，他们在一个隔离的 VLAN 上部署一个独立的 captive portal 解决方案，以收集营销同意并确保符合 GDPR，完全与员工网络隔离。离职员工的 Google 账户已被停用，从而立即撤销了其网络访问权限，无需在 50 个门店中轮换 PSK。
练习题
Q1. 您的组织正在向500台受管理的Chromebook部署802.1X。您希望获得最高级别的安全性，并希望避免用户在连接到WiFi时需要输入密码。您应该在Google Admin Console中配置哪种EAP方法，以及必须部署哪个附加基础设施组件？
提示：哪种方法完全依赖证书而非凭据？此外，客户端设备上必须部署什么？
查看标准答案
EAP-TLS。它需要通过Google Admin Console（使用SCEP或Google Cloud Certificate Connector）将客户端证书推送到Chromebook，并在RADIUS服务器上配置服务器证书。这完全消除了基于密码的身份验证。所需的附加基础设施是用于颁发和管理客户端证书的PKI（证书颁发机构）。
Q2. 您配置了Google Secure LDAP和一个FreeRADIUS服务器。用户可以成功进行身份验证，但无论他们是教职工还是学生，都被分配到了同一个默认VLAN中。您希望将教职工和学生分配到不同的VLAN。此配置必须应用在何处，由什么数据源启用？
提示：哪个组件负责将身份数据从Google桥接到网络设备，以及哪些协议属性承载了VLAN信息？
查看标准答案
必须配置RADIUS服务器，以从Google Secure LDAP查询用户的组群成员身份，然后将相应的RADIUS属性（具体为Tunnel-Private-Group-Id和Tunnel-Type）返回给接入点。接入点使用这些属性将客户端分配到正确的VLAN。启用此功能的数据源是通过Secure LDAP查询检索到的Google Workspace组群成员身份。
Q3. 一位用户报告说，他们无法在自己的BYOD Android手机上连接到新的802.1X网络。系统提示输入用户名和密码（PEAP），但在输入后连接静默失败。RADIUS日志显示未收到任何身份验证尝试。最可能的原因是什么？如何解决？
提示：思考客户端设备在发送用户凭据之前必须执行什么操作，以及设备上需要进行什么配置。
查看标准答案
客户端设备未能验证RADIUS服务器的证书。在现代Android版本中，默认强制执行严格的证书验证。如果用户未在其设备上安装根证书颁发机构（Root CA）证书，或者服务器证书上的域名与设备预期的域名不匹配，客户端将在发送凭据之前终止连接。解决方案：用户必须在其Android设备上安装根CA证书，并配置WiFi配置文件以指定该CA和预期的服务器域名。
Q4. 一家零售连锁企业正在考虑从静态PSK迁移到使用Google Secure LDAP的802.1X。首席财务官（CFO）要求提供商业理由。您将提出的三个最具说服力的财务和运营论点是什么？
提示：考虑与PSK管理相关的成本、凭据泄露的风险，以及分布式站点管理的运营开销。
查看标准答案
- 消除PSK轮换成本：使用静态PSK时，任何员工离职都需要在所有站点轮换密钥 - 这是一项成本高昂且具有破坏性的操作。使用基于身份的身份验证，禁用Google帐户即可立即撤销在所有位置的访问权限。2. 降低数据泄露风险：一旦PSK泄露，任何拥有该密钥的人都可以访问网络。基于身份的身份验证将风险限制在单个帐户内，这些帐户可以被立即禁用。数据泄露的平均成本超过480万美元，这使得基础设施投资非常容易合理化。3. 减少服务台开销：通过Google Workspace进行自动化凭据管理，消除了与WiFi相关的密码重置工单和手动设备配置，通常可将WiFi服务台工作量减少40-60%。
常见问题
Can Google Workspace be used directly as a RADIUS server for WiFi authentication?
Google Workspace does not offer a native RADIUS server endpoint. To authenticate enterprise 802.1X WiFi against Google Workspace, organisations deploy an intermediary RADIUS service - such as Purple Cloud RADIUS - that queries Google Workspace via Google Secure LDAP (port 636 LDAPS) or issues 802.1X client certificates via SCEP/PKCS. This allows access points and wireless controllers from Cisco Meraki, HPE Aruba, Ruckus, and Ubiquiti UniFi to validate credentials against Google user directories without on-premises servers.
How do you deploy 802.1X WiFi certificates to Chromebooks via Google Admin Console?
To deploy 802.1X certificates to ChromeOS devices, configure an automated SCEP (Simple Certificate Enrollment Protocol) profile in Google Admin Console under Devices > Networks > Certificates. Google Admin issues a Certificate Signing Request (CSR) with a hardware TPM-generated key pair to a trusted Cloud PKI. Once signed by your issuing CA, Google Admin pushes a managed WiFi profile under Devices > Networks > WiFi with EAP-TLS and the deployed client certificate to target Organizational Units.
What is the difference between EAP-TLS and Google Secure LDAP for WiFi authentication?
EAP-TLS is a certificate-based 802.1X protocol where devices authenticate cryptographically using unique digital certificates stored in hardware TPMs. It requires zero user password entry and eliminates credential theft. Google Secure LDAP, available in Enterprise and Education Plus editions, queries Google directory services directly over TLS port 636 using client certificates. While Secure LDAP enables password-based 802.1X via PEAP or EAP-TTLS, EAP-TLS is the industry standard for managed Chromebooks due to superior security and zero user friction.
How does dynamic VLAN assignment work with Google Workspace and Cloud RADIUS?
When a Chromebook or user authenticates, Cloud RADIUS inspects the user Organizational Unit (OU) or Google Group membership via Secure LDAP or directory sync. The RADIUS server returns RFC 2868 and RFC 3580 attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) in the Access-Accept packet. The wireless access point dynamically places the user into their authorized subnet - such as Staff VLAN 20, Student VLAN 30, or Contractor VLAN 40 - on a single SSID.
What happens when an employee or student is suspended in Google Workspace?
Because Cloud RADIUS queries Google Workspace in real time via Secure LDAP or validates certificates against an active OCSP/CRL responder, offboarding is instantaneous. As soon as a user account is suspended or moved to a disabled OU in Google Admin Console, subsequent 802.1X re-authentication requests receive a RADIUS Access-Reject. In addition, dynamic RADIUS Change of Authorization (CoA, RFC 3576 / RFC 5176) can immediately terminate the active wireless session.
How does Purple integrate with Google Workspace WiFi and Chromebook environments?
Purple Cloud RADIUS connects directly to Google Workspace without requiring on-premises Active Directory or domain controllers. Purple automates SCEP certificate provisioning for managed Chromebooks, bridges Google Secure LDAP for BYOD authentication, and provides dynamic VLAN assignment based on Google Groups. IT teams gain centralised visibility, venue footfall telemetry, and zero-touch network onboarding across 80,000+ venues worldwide.
来源
- Google Workspace Admin Help - Set up Secure LDAP service
- Google Chrome Enterprise Help - Manage certificates on ChromeOS devices
- IETF RFC 5216 - The EAP-TLS Authentication Protocol
- IETF RFC 3580 - IEEE 802.1X RADIUS Usage Guidelines & Dynamic VLANs
- IETF RFC 8894 - Simple Certificate Enrolment Protocol (SCEP)
继续阅读本系列
如何在员工离职时撤销 WiFi 访问权限
本指南向 IT 和场所运营团队展示了如何在不影响其他员工的情况下，在员工离职时取消其 Staff WiFi 访问权限。它对比了基于证书的 802.1X、特定身份的 iPSK 以及 SCIM 驱动的自动去激活方案，并提供了当日生效的运行手册、测试方法和审计证据模型。
安全 BYOD WiFi：Passpoint 证书入网与 xPSK (iPSK) 对比
一份面向 IT 团队的全面技术指南，介绍如何使用免触碰 Passpoint EAP-TLS 证书与特定厂商的 xPSK (iPSK/easyPSK, DPSK, PPSK, MPSK) 来保障员工和学生非托管设备 (BYOD) 的安全。
WPA2 Personal 对比 Enterprise：有什么区别，您应该使用哪一个？
本技术参考指南对企业 WiFi 环境中的 WPA2 Personal 和 WPA2 Enterprise 安全协议进行了全面对比。它概述了每种标准的架构差异、部署方法和安全影响，以帮助网络架构师和 IT 领导者做出明智的部署决策。
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。