企业级 SCEP 设置指南：面向高等教育和大型网络的证书型 WiFi 身份验证

企业级 SCEP 设置指南：面向高等教育和大型网络的证书级 WiFi 身份验证 Purple 技术简报 - 播客脚本（约 10 分钟） --- 引言与背景 - 约 1 分钟 欢迎收听 Purple 技术简报系列。今天我要探讨的是一个经常出现在许多 IT 部门收件箱中、但很少得到明确解答的问题：如何在大型网络（无论是大学校园、多站点酒店集团，还是大型公共部门机构）中，利用 SCEP 大规模部署基于证书的 WiFi 身份验证？ 我们将全面探讨。包括 SCEP 的实际作用、它如何融入 802.1X 架构、大多数团队都会搞错的部署顺序、两个真实的实施场景，以及如果您不提前规划就会浪费整个周末时间去解决的常见陷阱。 这是一份顾问简报，而不是入门教程。我假设您已经了解什么是 RADIUS 服务器，并且可能已经决定弃用预共享密钥。您现在需要的是一份实施蓝图。 让我们正式开始。 --- 技术深度解析 - 约 5 分钟 首先，来看看基本原理。SCEP 代表简单证书注册协议。虽然在企业中广泛应用已超过十年，但直到 2020 年才被 IETF 正式确立为 RFC 8894。它的任务非常简单：自动将数字证书获取到托管设备上，而无需人工手动操作每台机器。 在 WiFi 身份验证的场景中，SCEP 是分发机制。您实际采用的身份验证协议是 EAP-TLS - 基于传输层安全协议的可扩展身份验证协议 - 它运行在 802.1X 框架内。EAP-TLS 被广泛认为是企业级无线网络中最安全的身份验证方法，因为它要求客户端设备和 RADIUS 服务器都要出示有效的证书。在没有密码学证明的情况下，双方都不会信任对方。这种双向身份验证可以保护您免受恶魔双胞胎攻击 - 即攻击者通过建立流氓接入点来窃取凭证。 以下是完整链条的工作原理。受管设备 - 如学生笔记本电脑、员工手机或酒店销售终端 - 需要加入企业无线网络。您的 MDM 平台（如 Microsoft Intune 或 Jamf）向该设备推送 SCEP 载荷。该载荷包含两部分内容：指向您的 NDES 服务器或云端 SCEP 网关的 SCEP URL，以及质询密码或共享密钥。设备在本地生成自己的公钥和私钥对。这至关重要。私钥永远不会离开设备，它在设备上生成并存储在安全区域或 TPM 中，绝不会在网络中传输。随后，设备创建一个证书签名请求 - 即 CSR - 并将其发送到 SCEP 网关。网关验证该质询，将 CSR 转发给您的证书颁发机构（CA），CA 对其进行签名并将公钥证书返回给设备。从那时起，当设备连接到您的 WiFi SSID 时，它会向 RADIUS 服务器出示该证书。RADIUS 服务器根据您的 CA 信任链验证该证书，检查证书吊销列表（CRL）以确认该证书未被吊销，如果一切正常，则向接入点发送接受消息。设备便成功接入网络。整个过程对用户来说是完全无感的。 现在，我们来讨论一下 SCEP 与另一种选择 PKCS 相比所处的位置。PKCS - 即公钥加密标准 - 是 Intune 等平台支持的另一种证书交付方法。在 PKCS 中，CA 集中生成公钥和私钥，然后证书连接器将该密钥对推送到设备。这意味着私钥会在网络上进行传输，从而引入了理论上的攻击面。PKCS 适用于确实需要密钥托管的场景（例如 S/MIME 邮件加密）。而对于 WiFi 身份验证，SCEP 才是正确的选择。简而言之，私钥会一直保留在设备上。 接下来是硬件层。SCEP 和 EAP-TLS 是不限供应商的通用标准，这意味着它们可以无缝运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 等接入点上。您的 RADIUS 配置（无论是 Windows NPS、FreeRADIUS 还是云端 RADIUS 服务）是您定义证书验证策略以及（至关重要的）配置动态 VLAN 分配的地方。动态 VLAN 是您根据身份对网络进行细分的方式。学生设备分配到 VLAN 20 - 仅限互联网访问；教职工设备分配到 VLAN 10 - 可访问内部研究系统；设施管理设备分配到 VLAN 30 - 可访问建筑管理系统。所有这一切都由证书属性和 RADIUS 策略自动驱动，无需对每台设备进行任何手动干预。 为了实现身份提供商集成，SCEP 证书属性 - 特别是使用者替代名称（Subject Alternative Name） - 可以携带来自 Microsoft Entra ID、Okta 或 Google Workspace 的用户主体名称。这将证书与特定身份绑定，这意味着当您在 Entra ID 中禁用帐户并且 MDM 取消注册该设备时，该证书将被吊销，且 WiFi 访问权限会被自动切断。这就是预共享密钥根本无法做到的吊销机制。 --- 实施建议和常见陷阱 - 约 2 分钟 好，让我们来谈谈部署顺序，因为这是大多数团队容易出错的地方。 部署顺序是不可更改的：首先是 Trusted Root 证书，其次是 SCEP 证书配置文件，第三是 WiFi 配置文件。Intune 和 Jamf 都会强制执行配置文件依赖关系。如果您的 WiFi 配置文件引用了尚未部署到设备上的 SCEP 证书，则 WiFi 配置文件将失败，并显示一个看似配置错误但实际上只是时间问题的隐晦错误。 第二个陷阱是组定位。所有这三个配置文件 - Trusted Root、SCEP 和 WiFi - 必须部署到完全相同的 Azure AD 或 Jamf 组。如果 SCEP 配置文件针对的是用户组，而 WiFi 配置文件针对的是设备组，则 Intune 无法解析该依赖关系，WiFi 配置文件将显示为“不适用”。这经常让团队措手不及。 第三：NDES 服务器的可访问性。您的 NDES 服务器需要能够从互联网访问，以便设备在到达现场之前进行注册。正确的方法是通过 Azure AD Application Proxy，而不是在防火墙上开孔。App Proxy 为您提供安全的远程访问，无需入站端口，并允许您将条件访问策略应用于注册流程。 第四：CRL 可用性。每当设备进行身份验证时，您的 RADIUS 服务器都会检查证书吊销列表（CRL）。如果您的 CRL 分发点不可用 - 无论是由于服务器宕机还是 URL 发生更改 - 网络上所有设备都会同时发生身份验证失败。这将导致整个园区网络中断。请确保您的 CRL 端点具有高可用性，并在上线前测试吊销功能。 对于大型网络 - 任何超过 500 台设备的情形 - 请考虑使用云端 SCEP 网关，而不是本地 NDES。云网关消除了 NDES 单点故障，支持水平扩展，并且通常能与云 RADIUS 服务直接集成，从而消除了另一个基础设施依赖项。 --- 快速问答 - 约 1 分钟 SCEP 能否处理未在 MDM 中注册的 BYOD 设备？不能直接处理。SCEP 需要 MDM 注册才能推送证书负载。对于非托管的 BYOD 设备，您需要采用不同的方法 - 要么使用自助式入网门户，要么使用带有身份验证的 Captive Portal 的独立 SSID。Purple 的平台可以干净利落地处理这一访客和 BYOD 层，与您进行证书身份验证的员工网络并存。iOS 和 Android 呢？这两个平台都原生支持 SCEP。iOS 自 iOS 4 起就支持 SCEP。Android Enterprise 通过 Intune 和其他 MDM 支持 SCEP。各平台的配置略有不同，但底层协议完全相同。 EAP-TLS 可以与 WPA3 一起工作吗？是的。WPA3-Enterprise 针对敏感环境强制执行 192 位安全模式，且与 EAP-TLS 完全兼容。事实上，采用 EAP-TLS 的 WPA3-Enterprise 是 Wi-Fi 联盟针对政府和金融网络推荐的组合。 - 总结和后续步骤 - 约 1 分钟 总而言之。对于拥有 50 台以上托管设备的任何网络，SCEP 证书 WiFi 认证都是正确的架构。它消除了共享凭据，为您提供单台设备身份标识，实现动态 VLAN 细分，并直接与您的身份提供商集成以实现自动撤销。部署顺序 - 先是受信任的根证书，然后是 SCEP 配置文件，最后是 WiFi 配置文件 - 是固定的。组目标定位必须保持一致。CRL 可用性是必选项。 特别是对于高等教育，面向教职工设备采用 SCEP，并为个人设备上的学生提供独立的访客 WiFi 层，两者的结合既能保证安全性，又能提供绝佳的用户体验，无需妥协。 如果您想深入了解，Purple 关于无需 Active Directory 或本地服务器的企业 WiFi 认证指南涵盖了云原生路径。如果您正在考虑员工离职时会发生什么，我们关于撤销 WiFi 访问权限的指南将逐步引导您完成整个撤销工作流程。 感谢您的收听。我是来自 Purple 技术团队的成员，我们在下一次简报中再见。 - 脚本结束