网络管理员配置访客 WiFi RADIUS 认证指南

网络管理员配置访客 WiFi 的 RADIUS 身份验证指南 - 播客脚本 [片头 - 约1分钟] 您好，欢迎收听。我将为您详细介绍配置访客 WiFi 的 RADIUS 身份验证所需了解的一切知识 - 从底层架构到团队需要采取的实际步骤，再到大多数部署中容易遇到的陷阱。 这不是一堂严肃的讲座。您可以把它看作是一位资深顾问的简报，他曾与酒店、零售连锁店、体育场馆和会议中心的 IT 经理们坐在一起，并帮助他们理清了这些问题。我们将涵盖技术基础、实际应用中的实现模式，以及 Purple 的云原生 RADIUS 平台在其中所扮演的角色。 让我们正式开始吧。 [技术深挖 - 约5分钟] 那么，什么是 RADIUS？RADIUS 代表远程身份验证拨号用户服务。它是一种网络协议 - 定义在 RFC 2865 中 - 为网络准入提供集中的身份验证、授权和计费。通俗地说：它是决定访客设备是否被允许进入您的网络、在什么条件下以及允许进入多长时间的系统，随后它还会记录整个会话。 具体到访客 WiFi，RADIUS 介于您的接入点和您的身份层之间。访客连接到您的 SSID，他们的设备向接入点发送身份验证请求，接入点将该请求转发给网络接入服务器 - 或 NAS - 然后 NAS 再查询 RADIUS 服务器。RADIUS 服务器验证凭据，返回 Access-Accept（允许接入）或 Access-Reject（拒绝接入），随后会话开始或被阻止。计费数据包随后会跟踪会话时长、消耗的数据量以及终止原因。 这三个核心功能通常被称为 AAA：身份验证、授权和计费。身份验证用于确认身份。授权用于定义该身份可以访问的内容 - 宽带限制、VLAN 分配、会话时长。计费则创建审计轨迹。 现在，对于访客 WiFi 来说，身份验证方法极其重要。在企业环境中，您通常会使用带有 EAP-TLS 的 802.1X - 基于证书，非常安全。但对于访客来说，这并不切合实际。访客的个人设备上没有证书。因此，常见的模式是 Captive Portal 结合 RADIUS。访客到达展示页面，输入他们的信息或通过社交登录进行身份验证，然后 Captive Portal 代表他们与 RADIUS 服务器交换这些凭据。随后，RADIUS 服务器向接入点发送信号以授予访问权限。 这正是 Purple 运行的架构。我们的云原生 RADIUS 服务处理身份验证交换，而 Captive Portal - 您可以通过 Purple 平台对其进行品牌化和配置 - 则管理面向访客的体验。接入点只需要知道 RADIUS 服务器地址、端口和共享密钥。Purple 会提供这三者。 我们来讨论一下端口和协议。RADIUS 认证流量运行在 UDP 端口 1812 上。RADIUS 计费运行在 UDP 端口 1813 上。您需要在您的接入点上配置这两个端口。共享密钥是您的接入点与 RADIUS 服务器之间的预共享密钥 - 请将其视为密码。请使用随机生成的长字符串。切勿在不同的部署中重复使用它。 在硬件方面，Purple 与硬件无关。我们支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 等品牌。虽然不同厂商的配置步骤有所不同，但底层的 RADIUS 参数是一致的：服务器 IP 或主机名、认证端口 1812、计费端口 1813、共享密钥以及计费间隔。 例如，对于 Avaya 接入点，您需要在 External RADIUS 部分配置 RADIUS 属性，将 Called-Station-Id 格式设置为 UC 连字符 MAC 格式，启用计费，然后配置 SSID 并将网页重定向指向 Purple 的 Captive Portal URL。Purple 的支持文档在指南的链接中涵盖了 Avaya 的具体配置步骤。 对于 Pepwave MAX 系列设备，您可以通过其云管理平台 InControl2 进行配置，也可以直接通过本地 Web 界面进行配置。无论采用哪种方式，您都是在设置一个外部 Captive Portal，将认证和计费指向 Purple 的 RADIUS 服务器，并配置启用 Captive Portal 且安全模式为开放的 SSID。同样，具体步骤请参阅 Purple 的支持文档。 值得注意的一个架构决策是：主 RADIUS 服务器和备 RADIUS 服务器。请务必同时配置两者。Purple 提供了两个 RADIUS 服务器地址以实现冗余。如果主服务器无法访问，接入点将自动故障转移到备用服务器。如果没有配置备用服务器，RADIUS 服务器的一时波动就意味着您的访客无法连接。在一个拥有 300 间客房的酒店或容纳 40,000 名球迷的体育场内，这将是一起严重的事件。 VLAN 隔离是另一个关键环节。您的访客 WiFi 流量绝不能接触您的企业网络或业务网络。将访客会话分配到专用的 VLAN，并将该 VLAN 路由到独立的互联网上行链路，或者至少通过具有严格流出规则的防火墙。如果您在同一物理基础设施上处理卡支付，这是 PCI-DSS 的要求，而且无论如何这都是一个很好的实践。 [实施建议与常见陷阱 - 约 2 分钟] 让我为您列出最常出错的三件事。 第一：共享密钥不匹配。接入点上的共享密钥必须与 RADIUS 服务器中注册的完全匹配。区分大小写，字符必须完全一致。单个字符出错就会导致 Access-Reject，且不会提供任何有用的错误信息。请始终从您的 Purple 控制面板中复制粘贴，而不是手动输入。 第二点：白名单遗漏。在访客进行身份验证之前，其设备需要访问 Captive Portal。这意味着某些域名必须在接入点上加入白名单，包括 Purple 的门户 URL、身份验证端点以及您正在使用的任何社交登录提供商。如果白名单不完整，访客将看到空白页面或发生超时。Purple 在其支持文档中维护着一份最新的所需域名列表 - 请直接使用该列表，切勿自行猜测。 第三点：计费间隔。这控制了接入点向 RADIUS 服务器发送临时计费更新的频率。设置得太长会丢失会话粒度；设置得太短则会产生不必要的流量。对于大多数部署，240 到 300 秒是合适的范围。Avaya 推荐的间隔是 300 秒；Pepwave 的是 180 到 240 秒。请遵循特定厂商的指南。 合规性方面：GDPR 要求您在收集访客数据时必须具备合法依据。一个配置完善、带有明确同意勾选框的 Captive Portal 可以满足这一要求。Purple 的平台符合 GDPR 规范并已通过 ISO 27001 认证。通过 Purple 进行的每一次登录都是自主选择的加入 - 访客在连接前需主动同意您的条款。该审计追踪就是您的合规证据。 [快速问答 - 约 1 分钟] 以下是我经常被问到的快速问题。 “我需要更换现有的硬件吗？” 不需要。Purple 运行在您现有的基础设施之上。无需拆除和更换。 “我可以在同一个平台上对员工 WiFi 使用 RADIUS 吗？” 可以。Purple 支持为访客和员工设置独立的 SSID，并在每个 SSID 上应用不同的身份验证策略。 “如果我的场所有多个分店怎么办？” Purple 从单一窗口管理多场所部署。您只需配置一次，即可复制到各个分店。 “云端 RADIUS 的安全性是否低于本地部署？” 并非如此。Purple 的云端 RADIUS 具有 99.999% 的正常运行时间、ISO 27001 认证以及端到端加密。由于补丁升级和安全加固均在云端集中处理，因此其受攻击面比自主管理的服务器更小。 “完整部署需要多长时间？” 对于使用支持硬件的单一场所，网络管理员可在两小时内完成 RADIUS 配置。Purple 的上线团队随时可为您提供协助。 [总结与后续步骤 - 约 1 分钟] 总结一下。为访客 WiFi 采用 RADIUS 身份验证可为您带来集中式访问控制、完整的计费审计追踪以及满足 GDPR 和 PCI-DSS 所需的合规基础。其架构非常简单：接入点到 NAS，再到 RADIUS 服务器，最后到 Purple 的云平台。需要做对的三件事是：共享密钥、域名白名单和计费间隔。 Purple 在全球超过 80,000 个场所运行着云原生 RADIUS，并在 2024 年处理了 4.4 亿次登录。该平台兼容各种硬件、通过了 ISO 27001 认证且符合 GDPR 规范。 您的后续步骤：检查您的硬件是否在 Purple 的支持列表中，从 Purple 仪表板中获取 RADIUS 服务器凭据，并按照 Purple 支持中心中针对特定厂商的配置指南进行操作。如果您需要帮助，Purple 的技术团队可以为您提供指导。 感谢您的收听。下面提供了包含图表、工作示例和配置参考 food 的完整书面指南链接。