在高等教育机构中实施 SCEP 以实现安全的 BYOD 和 802.1X WiFi

欢迎阅读 Purple 技术简报。我是您的主持人。今天我们将深入探讨高等教育 IT 领域经常出现的一个主题：如何实现 SCEP - 即简单证书注册协议 - 以在校园内提供安全的 BYOD 和 802.1X WiFi。 如果您目前正在管理大学或学院的网络，您可能正在应对一种令人熟悉的紧张关系。一方面，学生、教职员工带来了成百上千甚至数万部个人设备。另一方面，您的安全防护水平需要满足机构、监管以及日益增加的网络保险要求。基于密码的 WiFi 和开放式 Captive Portal 已经无法满足需求。因此，让我们来谈谈行之有效的方法。 首先，让我们理清背景。802.1X 是用于基于端口的网络访问控制的 IEEE 标准。它自 2001 年就已经存在，但如今比以往任何时候都更加重要。其核心思想是，在任何设备进入您的网络之前，它必须证明自己的身份 - 不仅仅是出示任何人都可以共享的密码，而是出示可验证的凭据。在有线网络环境中，这种凭据检查发生在交换机端口。在 WiFi 中，它发生在接入点，并由 RADIUS 服务器进行调解。 现在，凭据本身可以有多种形式。您可以使用用户名和密码通过 PEAP - 即受保护的扩展身份验证协议进行验证。或者，您可以使用数字证书通过 EAP-TLS - 即采用传输层安全协议的扩展身份验证协议。EAP-TLS 是黄金标准。它是双向的 - 网络向设备进行身份验证，设备也向网络进行身份验证。这种双向身份验证正是阻止恶意接入点的原因。学生的笔记本电脑绝不会连接到没有正确证书的伪造网络。 那么，SCEP 在其中扮演什么角色？SCEP - 简单证书注册协议 - 是设备自动请求和接收这些数字证书的机制。如果没有 SCEP，您将不得不手动生成证书并分发到每台设备。在一所有着一万名学生和三千名教职员工的大学里，这绝非可行之举。SCEP 将整个流程自动化。 以下是其工作流程。设备连接到预配网络 - 有时称为引导配置 SSID。它与您的 SCEP 服务器联系，该服务器通常与您的证书颁发机构 - 即您的 CA 集成。设备提交证书签名请求。SCEP 服务器会验证该请求，通常是通过对照您的目录 - Microsoft Entra ID 或 Google Workspace 检查用户的凭据。验证通过后，CA 会签发一个已签名的证书，设备随后会安装该证书。从那时起，设备就会自动使用该证书对受 802.1X 保护的 SSID 进行身份验证。无需门户，无需密码提示，也无需 IT 工单。 让我们更详细地讨论一下架构。在典型的高等教育部署中，您需要考虑三个网络段。首先是您的入网引导网络 - 这是未注册设备的落地地。它具有互联网访问权限，但与您的内部资源隔离。其次是您的 802.1X 安全 SSID - 这是已注册设备连接的地方，具有与其角色相适应的资源的完整访问权限。第三是您的管理基础设施 - 您的 RADIUS 服务器、您的 CA、您的 SCEP 服务器以及您的目录集成。 RADIUS 服务器就像是交通警察。当设备尝试连接到您的 802.1X SSID 时，接入点会向 RADIUS 发送身份验证请求。RADIUS 会根据 CA 的证书吊销列表验证证书，检查目录中用户的状态，并批准或拒绝访问。它还可以根据角色将设备分配到 VLAN - 学生进入一个网段，教职员工进入另一个网段，行政人员进入第三个网段。这就是实际应用中的基于身份的网络（Identity-Based Networking）。 现在，我最常被问到的一个问题是：这适用于哪些硬件？好消息是 802.1X 是一个标准，因此它适用于任何支持 WPA2 或 WPA3 企业级的接入点。在实际操作中，您需要验证特定供应商的具体实现方式。Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - 所有这些都支持该标准。配置步骤因供应商而异，但底层协议是一样的。 让我为您介绍一个真实的实施案例。我将使用一个基于英国中等规模大学的综合示例 - 该校拥有约一万五千名学生、三个校区，并混合使用了 Aruba 和 Meraki 基础设施。 项目始于网络审计。现有的设置混合了开放式 SSID 和供学生访问的 Captive Portal。IT 团队淹没在密码重置工单中 - 每周大约有 40 个。iOS 和 Android 上的 MAC 地址随机化彻底破坏了他们的分析数据，因此他们没有关于网络使用模式的可靠数据。 第一阶段是部署 PKI 基础设施。他们建立了一个双层 CA - 一个离线根 CA 和一个在线发证 CA。SCEP 服务器与发证 CA 集成，并连接到 Microsoft Entra ID 进行身份验证。证书有效期设为一年，并在 30 天期限时触发自动更新。 第二阶段是配置 802.1X SSID。他们创建了一个启用了 WPA3 企业级的专用 SSID，将其指向其 RADIUS 服务器，并配置了 VLAN 分配规则。学生分配到一个 VLAN，员工分配到另一个 VLAN，而物联网设备则分配到第三个 VLAN。第三阶段是入网激活体验。他们使用网络访问控制（Network Access Control）解决方案，将未注册的设备重定向到自助服务门户。学生使用其大学凭据进行身份验证，SCEP 流程在后台运行，随后证书便安装完成。在 iOS 上，这需要一个配置描述文件。在 Android 上，该流程略有不同，但同样实现了自动化。 结果如何？在第一个月内，密码重置工单减少了百分之九十以上。由于基于证书的身份不会像 MAC 地址那样发生轮转，网络可见性得到了显著提升。安全团队终于对网络上的每个设备都有了可靠的审计追踪。 现在让我们来谈谈 Purple 在此场景中的定位。Purple 的 SecurePass 产品正是基于这种架构构建的。SecurePass 使用支持 802.1X 双向身份验证的 WPA2 和 WPA3-Enterprise 发布带有数字签名的 WiFi 配置描述文件。整个注册过程用时不到三十秒。设备一旦获取了配置描述文件，就会自动连接 - 无需门户，无需密码，毫无阻碍。 SecurePass 尤其适用于高等教育机构的原因在于其将安全性与数据分析完美结合。由于身份验证凭据是稳定的证书，而不是轮转的 MAC 地址，因此您可以获得准确的回访数据、停留时间以及访问频率。这些数据直接传输到 Purple 的分析平台，让您能够真实直观地了解校园网络的使用情况。 SecurePass 还集成了 Microsoft Entra ID 和 Google Workspace，用于员工部署。这意味着当员工离开大学时，其访问权限会被自动撤销。无需手动操作，没有遗忘的账户，也不存在安全漏洞。这就是端到端自动化的入职、调岗及离职工作流。 在 RADIUS 基础设施方面，Purple 运营着云端 RADIUS 服务器（主服务器和备用服务器），因此您无需自己管理该基础设施。支持的硬件列表涵盖 Cisco Meraki、Cisco Catalyst、HPE Aruba、Ubiquiti UniFi、Ruckus、Juniper Mist 和 Fortinet 等。完整详情请参阅 Purple 支持网站上的 SecurePass 常见问题解答（FAQ）。 让我为您指出需要注意的实施误区。这些是实际部署中容易让团队措手不及的问题。 第一：证书撤销。您需要一个正常运行的 CRL - 证书撤销列表 - 或 OCSP 响应程序。如果您的 RADIUS 服务器无法检查撤销状态，您要么阻止所有连接，要么接受所有连接。这两种情况都是不可接受的。在正式上线之前，请务必测试您的撤销基础设施。 第二：设备兼容性。大多数现代 iOS、Android、macOS 和 Windows 设备都原生支持 EAP-TLS。但较旧的设备、IoT 终端和某些遗留系统则不支持。您需要为这些设备制定一个方案 - 无论是使用采用不同身份验证方式的独立 SSID，还是采用托管的异常处理流程。 第三：证书生命周期和更新。如果证书过期且更新流程失败，用户将失去网络接入权限。请宽裕地设置更新窗口 - 到期前三十天是一个合理的最低限度。集中监控证书到期情况，并在问题发生前发出警报。 第四：配置引导体验。即使技术流程再完美，如果学生觉得注册流程令人困惑，他们也不会去完成。应投入精力提供清晰的标识、简单的自服务门户和简短的帮助指南。SecurePass 所宣传的三十秒内完成注册是可以实现的，但前提是用户体验（UX）必须正确。 第五：RADIUS 服务器弹性。您的 802.1X 基础设施现在是网络接入的关键路径。如果您的 RADIUS 服务器宕机，所有人都会断开连接。您需要主、备 RADIUS 服务器（最好位于不同的可用区），并具备自动故障转移机制。 现在进入我们的快速问答环节。这些是我最常被问到的问题。 SCEP 可以与云端 CA 配合工作吗？可以。微软的 NDES（网络设备注册服务）以及几家第三方云 CA 提供商都支持通过 HTTPS 的 SCEP。您不需要本地基础设施。 802.1X 可以与 Passpoint 和 OpenRoaming 配合工作吗？可以。Passpoint - 也称为 Hotspot 2.0 - 使用 802.1X 作为其身份验证层。OpenRoaming 将其扩展到了一个全球可信网络的联盟。通过 SecurePass 注册的学生将在全球超过八万个 OpenRoaming 场馆自动连接。这包括机场、酒店、交通枢纽 - 且无需任何额外操作。 访客接入该如何处理？802.1X 和 SCEP 适用于受管设备和已知身份。对于真正的访客，您仍然需要一个独立的访客接入机制。这两个系统并行运行，互不冲突。 WPA3-Enterprise 是强制性的吗？不是，带有 802.1X 的 WPA2-Enterprise 仍被广泛部署，对于大多数用例来说绝对安全。WPA3-Enterprise 增加了更强的加密。如果您的硬件支持，请启用它。如果不支持，WPA2-Enterprise 也是一个坚实的基础。 总结一下，以下是我希望您从本次简报中汲取的五个要点。 第一：基于证书身份验证的 802.1X 是高等教育中 BYOD 的正确安全架构。在您如今面临的威胁环境中，密码和门户网站已不足以提供安全保障。 第二：SCEP 是使基于证书的身份验证具备可扩展性的关键。如果没有自动注册，您就无法部署大学所需规模的证书。 第三：双向身份验证是核心的安全属性。它既能保护您的学生免受流氓接入点的侵害，也能保护您的网络免受未经授权设备的干扰。 第四：与 Microsoft Entra ID 或 Google Workspace 进行目录集成，是实现入职、转岗、离职工作流自动化的关键。在没有集成目录的情况下，请勿部署 802.1X。 第五：入网体验决定了采用率。技术本身可以完美无缺，但如果注册流程繁琐，您在处理支持工单上花费的时间会比节省的时间还要多。 如果您想深入了解，Purple支持网站提供了详细的SecurePass文档，涵盖RADIUS配置、硬件兼容性以及注册流程。链接已在节目简报中提供。 感谢收听。我们在下一次简报中再见。