在高等教育机构中为安全的 BYOD 和 802.1X WiFi 部署 SCEP

在高等教育机构中实施 SCEP 以实现安全的 BYOD 和 802.1X WiFi Purple 技术简报 - 大约 10 分钟 [引言与背景 - 1 分钟] 欢迎阅读 Purple 技术简报。我将带您了解我们在高等教育 IT 中最常遇到的痛点之一：如何让数以千计的学生和教职工设备接入安全的、基于证书身份验证的 WiFi 网络，而不会让您的服务台被工单淹没。 简短的答案包含四个字母：SCEP。即简单证书注册协议。当您将它与 802.1X 和云 RADIUS 服务相结合时，您将获得真正强大的体验 - 在这个网络中，每台设备在获得访问权限之前都会证明其身份，证书会自动颁发和更新，并且您的 IT 团队无需手动干预每台设备。 大学在这方面面临着切实的压力。每年九月，成千上万的学生带着他们自己的笔记本电脑、手机和平板电脑入学。您需要让他们快速接入安全网络。此外，您还需要确保当学生离开或设备丢失时，能够彻底撤销其访问权限。SCEP 就是使所有这些能够在大规模环境下运行的机制。 让我们深入了解技术细节。 [技术深挖 - 5 分钟] 首先，让我们明确 SCEP 到底是什么。它是一种协议 - 最初由 Cisco 开发 - 可自动执行向证书颁发机构申请和接收数字证书的过程。在 SCEP 出现之前，将证书安装到设备上要么需要涉及 USB 闪存盘和大量点击的手动过程，要么需要让大多数终端用户感到困惑的、基于 Web 的复杂注册。SCEP 完全自动化了该握手过程。 以下是该流程在大学 BYOD 场景中的工作方式。学生到达校园。他们的设备 - 无论是 MacBook、Android 手机还是 Windows 笔记本电脑 - 都会注册到您的移动设备管理平台（即 MDM）中。MDM 将配置参数文件推送到设备。该参数文件包含指向您的证书颁发机构的 SCEP URL、用于身份验证的挑战密码以及要使用的证书模板。设备在本地生成密钥对 - 私钥绝不会离开设备 - 并通过 SCEP 向 CA 发送证书签名请求。CA 验证该请求，颁发证书，并将其返回给设备。整个过程只需几秒钟，除了初始的 MDM 注册外，不需要任何用户交互。 现在，为什么这对于 WiFi 尤为重要？因为 802.1X - 用于基于端口的网络访问控制的 IEEE 标准 - 可以使用该证书作为身份验证凭据。设备向 RADIUS 服务器出示其证书，而不是用户名和密码。RADIUS 服务器根据您的 CA 验证该证书，确认该设备是已知且可信的，然后授予访问权限。这就是 EAP-TLS（带有传输层安全性的可扩展身份验证协议），它是 WiFi 身份验证的金牌标准。与基于密码的方法相比，其安全优势非常显著。证书无法被钓鱼。学生不会不小心将自己的证书提供给虚假网络。私钥永远不会离开设备，因此即使证书在某种程度上被截获，没有相应的私钥也是无用的。而且由于证书包含设备身份，您可以细致地了解在任何给定时间正是哪台设备在您的网络上。 现在让我们谈谈您需要的底层架构组件。您需要一个证书颁发机构 - 这可以是大多数大学已经拥有的 Microsoft Active Directory 证书服务，或者是基于云的 CA。您需要一台 NDES 服务器 - 即网络设备注册服务 - 它在您的设备和 CA 之间充当 SCEP 代理。您需要一台 RADIUS 服务器来处理 802.1X 认证。并且您需要支持 802.1X 的 WPA2 企业版或 WPA3 企业版的接入点。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi 和 Fortinet 都原生支持此功能。 对于 RADIUS 组件，Purple 的 SecurePass 使用云原生 RADIUS 服务。主服务器是 rad1-secure.purple.ai，备用服务器是 rad2-secure.purple.ai，均使用标准认证端口 1812 和计费端口 1813。这消出了运行您自己的本地 RADIUS 基础设施的需要 - 这在历史上一直是大学 IT 团队的重大运维负担。对于完整的配置步骤，Purple 位于 support.purple.ai 的支持文档涵盖了精确的设置流程。 有一点值得强调：SecurePass 基于 Passpoint - 也称为 Hotspot 2.0 - 标准构建。这意味着在您大学注册的学生不仅能在校园内获得安全访问。他们的设备将在全球超过 80,000 个启用了 OpenRoaming 的场所 - 包括机场、酒店、火车站 - 自动连接。基于证书的身份如影随形。对于经常旅行的学生来说，这是一个真正实用的福利。 SSID 配置的正确性至关重要。SecurePass 需要一个启用了 WPA2 或 WPA3 企业版以及 Hotspot 2.0 的专用 SSID。您不应重复使用现有的 Captive Portal SSID。该 SSID 必须广播 - 隐藏的 SSID 会阻止使整个系统正常工作的自动连接行为。 对于身份提供商集成，SecurePass 可与 Microsoft Entra ID 和 Google Workspace 同步。这对于入职、变动、离职流程至关重要。当学生毕业或员工离职时，他们的帐户会在 Entra ID 中被禁用，访问权限也会自动撤销。无需手动撤销证书。这种自动化可以为您的 IT 团队节省大量时间。 [ 实施建议与陷阱 - 2 分钟 ] 让我为任何开始这个项目的大学 IT 团队提供一些实用的建议。 首先，从教职员工开始，然后再到学生。教职员工的设备通常是受管的 - 您拥有 MDM 覆盖，了解设备库存，且人群规模较小。在教职员工中完善流程，解决边缘情况，然后再推广到学生。 其次，仔细规划您的证书有效期。一年期的证书有效期是常见选择，但要考虑到您的学年日历。如果证书在八月过期，您将在新学年开始前迎来一波更新潮。考虑将过期时间调整至学期中，或使用通过 SCEP 的自动更新来彻底避免这一问题。 第三，在正式上线前彻底测试您的 NDES 配置。NDES 是最常引起问题的组件。挑战密码必须为每个注册请求全新生成 - 它的有效期很短。如果您的 MDM 在获取挑战密码后生成 SCEP 请求的速度过慢，注册将会失败。使用各种设备类型和操作系统版本进行测试。 第四，不要忽视设备兼容性矩阵。iOS、macOS、Android 和 Windows 处理 SCEP 的方式都略有不同。iOS 和 macOS 内置了原生 SCEP 支持，并能与 MDM 推送的配置文件无缝配合。Android 的行为因制造商而异。Windows 则需要 NDES 连接器或第三方 MDM 代理。记录您支持的配置，并向学生清晰地传达这些信息。 我看到的最常见误区是对 MDM 层的投入不足。SCEP 的效果取决于您的 MDM 覆盖率。如果学生的设备没有注册到 MDM 中，他们就无法接收到 SCEP 配置文件。您需要一个清晰的引导流程 - 最好整合到您的学生注册工作流中 - 在设备到达校园之前将其纳入 MDM 管理。 [快速问答 - 1 分钟] 以下是我经常被问到的几个快速问题。 SCEP 在没有 MDM 的情况下可以工作吗？技术上是可以的 - 您可以手动分发 SCEP 配置文件 - 但在大学规模下，您需要 MDM。没有它，您又回到了手动流程。 不支持 802.1X 的设备会怎么样？它们将像往常一样继续通过您现有的 Captive Portal。SecurePass 是附加性的 - 不支持的设备不会被阻止。 这适用于校园内的 IoT 设备吗？IoT 设备通常不支持 802.1X。请使用适当的防火墙规则将它们隔离到独立的 VLAN 中。不要试图将您的智能建筑传感器与学生笔记本电脑放在同一个网络中。 EAP-TLS 是唯一的选择吗？不是。采用 MSCHAPv2 的 PEAP 是一种常见的替代方案，它使用用户名和密码而不是证书。但是，采用 SCEP 签发证书的 EAP-TLS 安全性要高得多，并且消除了密码管理的开销。 [总结和后续步骤 - 1 分钟] 总而言之：SCEP 实现了大规模证书注册的自动化。结合 802.1X 和 EAP-TLS，它能为您提供一个对每台设备进行加密身份验证的网络，证书的颁发和更新无需 IT 人员干预，且在人员离职时会自动撤销访问权限。对于拥有数千台 BYOD 设备的大学而言，这就是易于管理网络与陷入服务台噩梦之间的本质区别。 其核心组件包括：证书颁发机构（CA）、NDES 或 SCEP 代理服务器、云 RADIUS 服务，以及支持 WPA2 或 WPA3 企业级的接入点。Purple 的 SecurePass 提供云 RADIUS 层和基于 Passpoint 的配置文件分发，并与您现有的 Microsoft Entra ID 或 Google Workspace 目录进行集成。 您的下一步行动：审查您的 MDM 覆盖范围并找出差距，评估您的 CA 基础设施，并向您的网络硬件供应商咨询关于 Passpoint 支持的信息。然后访问 support.purple.ai 以查看 SecurePass 配置指南和硬件兼容性列表。 感谢您的收听。如果您有任何疑问，Purple 团队随时在 purple.ai 为您提供支持。