Intune WiFi 配置文件服务器信任：Entra ID 的证书服务器名称和根 CA 清单

要在通过 Microsoft Entra ID 集成的 Intune WiFi 配置文件中建立服务器信任，请将您的证书服务器名称与您的 RADIUS 服务器证书进行匹配。在超过 80,000 个场所部署此 IEEE 802.1X 标准时，需要将包含根 CA 的受信任证书配置文件链接到同一个 Entra ID 组，以防止身份验证握手失败。

Intune WiFi 配置文件中的服务器验证到底起什么作用？

Intune 中的企业级 WiFi 配置文件包含两个部分。客户端部分证明设备的身份。服务器部分则证明该网络属于您。大多数停滞的部署都在服务器部分失败，因此本指南仅涵盖该部分。

首先介绍一些定义。IEEE 802.1X 是基于端口的访问控制标准。它会阻止设备接入网络，直到 RADIUS（远程用户拨号认证服务）服务器批准其接入。EAP-TLS（使用传输层安全协议的可扩展身份验证协议，RFC 5216）使用证书对双方进行身份验证。PEAP（受保护的 EAP）将密码交换封装在 TLS 隧道内。

在这两种方法中，RADIUS 服务器都会先出示其证书。设备在发送证书或密码之前，会决定是否信任该证书。

检查与决策

设备会对 RADIUS 服务器证书进行两项测试：

• 信任链。 该证书是否链接到配置文件中指定的根证书颁发机构 (CA)？在 Intune 中，该根证书作为受信任证书配置文件到达设备。
• 身份。 证书上的名称是否与证书服务器名称字段匹配？在 Windows、iOS 和 macOS 上，该字段即为此名称。在 Android Enterprise 上，它是 Radius 服务器名称字段。

两项测试都必须通过。来自受信任 CA 但名称错误的证书会验证失败。来自未列出 CA 但名称正确的证书也会验证失败。这种配对可以阻止呈现他人域名有效证书的恶意接入点。这种攻击会从跳过验证的设备中窃取 PEAP 凭据。

为什么失败会处于隐藏状态

Intune 会报告配置文件是否已到达设备。但它不会报告设备是否接受您的 RADIUS 服务器。配置文件可能会显示为“成功”，而接入点处的每一次握手却都失败了。您只有在员工反馈网络无法连接时才会发现问题。

在开始之前您需要准备什么？

在打开 Intune 之前，请收集以下项目：

• 生效中的 RADIUS 服务器证书。 记录使用者常用名 (CN)、每个使用者可选名称 (SAN) DNS 条目、到期日期、颁发中介和根 CA。
• 每个 RADIUS 服务器的证书。 主服务器和备用服务器通常携带不同的证书。设备必须对两者都进行验证。
• 根 CA 证书文件。 将其导出为 .cer 文件。您需要将其上传到受信任证书配置文件中。- 适用于 EAP-TLS 的客户端证书基础设施。 您需要一个 SCEP（简单证书注册协议）或 PKCS 证书配置文件以及签发它的 CA。Intune 同样需要针对该 CA 的受信任证书配置文件。
• Entra ID 组设计。 确定每个平台是针对用户组还是设备组。在每个关联的配置文件中，保持该选择完全一致。
• 配置为 WPA2-Enterprise 或 WPA3-Enterprise 的接入点。 SSID 必须指向您的 RADIUS 服务器。Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme 和 Fortinet 均支持 802.1X。
• 试点组。 至少包含一台 Windows 设备、一台 Apple 设备和一台 Android 设备。

如果您的接入点通过 RadSec（基于 TLS 的 RADIUS，RFC 6614）访问 RADIUS，则存在一个很重要的区别。接入点在该链路段上运行其自身的证书名称检查。Purple 针对 SecurePass 的 Juniper Mist 配置文件 在 Purple 的域名下设置了通配符 RadSec 服务器名称。它还会在组织级别加载 RadSec 证书。该检查位于接入点与服务器之间。Intune 绝不会触及它。在排除故障时，请将这两个层级分开。

如何在 Intune 中设置证书服务器名称和根 CA？

Microsoft 的 Intune 文档中包含具体的点击操作步骤。以下决定将决定这些步骤是否能成功运行。

第 1 步：读取服务器出示的证书名称

读取您当前的 RADIUS 服务器出示的证书。不要依赖证书请求或同事的记录。负载均衡器、新节点或最近的更新都可能会改变设备接收到的内容。

理想情况下，CN 和第一个 SAN DNS 条目是完全一致的，例如 radius.contoso.com。如果您运行两台服务器，请在以下模式中进行选择：

• 为每台服务器提供其专属的名称，并在配置文件中列出这两个名称。
• 在一个共享后缀下为两台服务器命名，例如 radius1.contoso.com 和 radius2.contoso.com。

第 2 步：为服务器的根证书构建受信任的证书配置文件

按平台（Windows, iOS 和 iPadOS, macOS 以及 Android Enterprise）创建受信任的证书配置文件。每个配置文件均包含签发 RADIUS 服务器证书的根 CA。

以下是常见错误：

• 错误地上传了客户端签发 CA。 如果您的 SCEP 证书与 RADIUS 证书来自不同的 CA，您需要准备独立的受信任证书配置文件。服务器验证字段必须引用服务器的根证书。
• 上传了中间证书而不是根证书。 请上传根证书。配置 RADIUS 服务器在 TLS 握手期间发送其中间证书，以便设备能够构建完整的证书链。

第 3 步：按平台完成服务器验证字段

• Windows: 在证书服务器名称下添加每个 RADIUS 服务器名称。在根证书下选择受信任的证书配置文件，以便进行服务器验证。Windows 接受多个根配置文件。
• iOS, iPadOS 和 macOS: 在证书服务器名称下输入名称。Apple 的配置配置文件参考文档将此字段记录为接受的服务器证书通用名称列表，并且支持 *.contoso.com 等通配符。选择受信任的证书配置文件作为服务器验证的根证书。
• Android Enterprise: 在 Radius 服务器名称下输入 DNS 名称或后缀。Microsoft 的指南建议，当多个服务器共享相同的后缀时，只需输入该共享后缀。选择根证书进行服务器验证。

步骤 4：将每个关联的配置文件分配给同一个组

将受信任的证书配置文件、SCEP 或 PKCS 配置文件以及 WiFi 配置文件分配给同一个 Entra ID 组。不要将一个配置文件发送给用户组，而将另一个发送给设备组。如果受信任的证书配置文件未能到达设备，则依赖的 WiFi 配置文件将失败或永远无法安装。

关于 Entra ID 部署的身份验证端，请参阅 如何启用单点登录。

各平台如何应用该字段

行为	Windows 10 和 11	iOS, iPadOS 和 macOS	Android Enterprise
Intune 字段名称	证书服务器名称 (Certificate server names)	证书服务器名称 (Certificate server names)	Radius 服务器名称 (Radius server name)
匹配对象	服务器证书上的 DNS 名称	服务器证书通用名称	服务器证书上的 DNS 名称或后缀
模式支持	输入每个完整的服务器名称	通配符，例如 *.contoso.com	后缀，例如 contoso.com
根设置	受信任的证书配置文件	受信任的证书配置文件	受信任的证书配置文件
如果名称字段留空	Windows 可能会要求员工信任该服务器	设备可能会要求员工信任该服务器	Android 11 及更高版本删除了跳过验证的选项
发生不匹配时员工看到的内容	连接失败且无提示	“无法加入”消息或信任提示	网络条目上显示身份验证问题
在何处读取错误	WLAN-AutoConfig 运行日志	macOS 控制台，eapolclient 进程	adb logcat，supplicant TLS 行

如何检查服务器验证是否正常工作？

在扩大分配范围之前，请在每个试点设备上运行以下检查：

1. 配置文件状态。 在 Intune 中确认受信任的证书、客户端证书和 WiFi 配置文件在设备上均报告成功。
2. 实时连接。 加入 SSID。在 Windows 上，netsh wlan show interfaces 可确认连接和身份验证方法。
3. 服务器端接受。 检查 RADIUS 日志中针对该设备或帐户的 Access-Accept 记录。
4. 反向测试。 将测试 SSID 指向其证书带有不同名称的 RADIUS 服务器。设备必须拒绝该连接。这证明了验证确实被强制执行，而没有通过信任提示而被绕过。
5. 记录到期时间。 记录 RADIUS 证书的到期日期及其根。提前安排好更新计划。

反向测试是团队最容易跳过的步骤。没有它，您将无法区分是配置正确进行了验证，还是因为信任了任何证书。

哪些环节容易出错，以及如何修复？

常见故障模式

• 字段中的名称错误。 团队输入了 IP 地址、短主机名或负载均衡器的名称。请输入证书本身上印有的名称。
• 根错误。 配置文件引用了客户端颁发 CA 或中间证书。请引用签署了服务器证书链的根证书。
• 分配不匹配。 WiFi 配置文件针对的是用户组，而受信任的证书配置文件针对的是设备组。请对齐它们。
• 缺少中间证书。 RADIUS 服务器仅发送其叶证书。设备无法构建链，因此会拒绝它。请在服务器上安装中间证书。
• CN 与 SAN 不符。 Apple 会匹配通用名称 (CN)。如果在 Android 上可以通过，但在 iPhone 上失败，可能是因为证书具有正确的 SAN 但 CN 不同。请保持两者完全相同。

更新的 RADIUS 证书如何静默中断连接

保持相同根证书和相同名称的更新不会改变设备上的任何内容。连接将继续正常进行。

当以下任何一项发生变化时，更新就会中断连接：

• 根 CA。 您的提供商从不同的根颁发新证书。而每个设备仍然指向旧的根。
• 中间链。 新链需要一个服务器未发送的中间证书。
• 名称。 有人使用新主机名重新颁发了证书，或丢弃了旧的 SAN。
• 多服务器设置中的一台服务器。 只有备用服务器发生了变化，因此故障看起来是随机且断断续续的。

由于 Intune 中的任何内容都没有改变，因此故障是静默发生的。配置文件仍显示为成功，且设备仍保留旧的根。

更新即将变得更加频繁。CA/Browser 论坛投票 SC-081 缩短了公共信任 TLS 证书的最大有效期。在未来几年中，这一限制将显著下降。使用公共 CA 证书的 RADIUS 服务器每年将需要更新多次。

以下修复方法可以消除大部分风险：

• 从您控制的私有 CA 颁发 RADIUS 证书。 其根证书的使用寿命可以比许多服务器证书更长。在同一根证书下进行的更新对设备是无感知的。
• 在更新之前部署任何根证书更改。 首先将新根证书部署为附加的受信任证书配置文件。Windows 配置文件在重叠期间可以同时引用两个根证书。仅在设备报告新配置文件后才更换服务器证书。

读取每个平台上的错误

• Windows: 在事件查看器中打开 Microsoft-Windows-WLAN-AutoConfig 运行日志。连接失败会在此处显示并附带原因。netsh wlan show wlanreport 可生成最近会话的 HTML 报告。
• macOS: 在控制台中筛选 eapolclient 进程。TLS 信任失败会指出被拒绝的证书名称。
• iOS 和 iPadOS: 设备会显示“无法加入”消息或信任提示。在 Intune 中确认配置文件内容，然后在具有相同配置文件的 Mac 上复现以读取日志。
• Android: 网络条目显示身份验证问题。在测试设备上，adb logcat 显示的 supplicant 行会指出证书验证失败。
• RADIUS 服务器: EAP 交互启动后在没有客户端响应的情况下停止，通常意味着设备拒绝了您的证书。

实际案例分析

案例 1：某零售连锁店在新根证书上进行更新。 某零售连锁店为其员工手持设备和 Windows 收银机运行 PEAP。其公共 CA 从一个较新的根证书更新了 RADIUS 证书。每台设备仍指向旧的根证书，导致第二天早上没有一家门店可以连接。该团队向同一设备组部署了针对新根证书的受信任证书配置文件。然后，它强制从 Intune 进行同步。门店在一个 Intune 签入周期内重新连接，随后该团队将 RADIUS 证书迁移到了私有 CA。此后的更新未再发生连接失败。零售 行业中拥有手持设备和收银机的资产都存在这种风险。

案例 2：某酒店与 Apple 通用名称。 某酒店在同一个 EAP-TLS SSID 上为客房部 iPad 和 Android 平板电脑分配了网络。重新颁发的 RADIUS 证书保留了正确的 SAN，但其 CN 恢复为了服务器的短主机名。Android 平板电脑匹配了 DNS 后缀并成功连接。iPad 拒绝了连接。重新颁发具有相同 CN 和 SAN 的证书后，无需更改 Intune 即可恢复每台 iPad 的连接。运行混合设备的 酒店 应将保持 CN 和 SAN 一致作为标准规范。

案例 3：某拥有拆分分配的会议中心。 某公共部门会议中心为活动工作人员的 Windows 笔记本电脑部署了 EAP-TLS。WiFi 配置文件针对的是用户组，而受信任证书和 SCEP 配置文件针对的是设备组。部分笔记本电脑从未收到 WiFi 配置文件。将配置文件重新定向到同一个设备组后解决了分发问题。笔记本电脑在下次签入时成功连接。

一旦验证通过，其余的掉线通常是无线信号或漫游问题。请参阅 解决企业 WLAN 中的漫游问题。对于繁忙场馆的信道变更，请参阅 Cisco Meraki、HPE Aruba 和 Ruckus 上的 DFS 雷达事件：信道变更诊断清单。

适用于已加入 Microsoft Entra ID 设备群的清单

1. 读取每个 RADIUS 服务器出示的证书中的 CN 和每个 SAN DNS 条目。
2. 使 CN 与主要的 SAN DNS 名称完全一致。
3. 确认每个 RADIUS 服务器在 TLS 握手中发送其中间证书。
4. 导出签发服务器证书的根 CA，而不是中间 CA。
5. 在您管理的每个平台上为该根证书创建一个受信任的证书配置文件。
6. 将客户端签发 CA 保留在其自身、独立的受信任证书配置文件中。
7. 在 Windows 上输入准确的服务器名称，在 Apple 上输入通配符，在 Android 上输入 DNS 后缀。
8. 将受信任证书、SCEP 或 PKCS 以及 WiFi 配置文件分配给同一个 Entra ID 组。
9. 针对平台上的每个链接配置文件，使用相同的组类型（用户或设备）。
10. 在每个平台上使用不匹配的服务器证书运行否定测试。
11. 记录每个 RADIUS 证书的到期日期和根，并在计划前提前进行审查。
12. 在更换服务器证书之前，将任何新根证书暂存为额外的受信任证书配置文件。

成本是多少，回报是什么？

Intune 已包含在 Microsoft 365 E3、E5 和 Business Premium 中。大多数加入 Entra ID 的设备群已拥有该许可证。私有 CA 可以在 Windows Server 中的 Active Directory 证书服务上运行。Microsoft Cloud PKI 可作为单独授权的 Intune 附加组件使用。

主要成本是员工时间。每次失败的更新都会在所有站点同时带来一波支持工单。上述清单在每个平台上只需花费几个小时，即可消除这一循环出现的风波。

回报是一个没有共享密钥可泄漏的网络。您可以通过禁用帐户或撤销证书来撤销访问权限。EAP-TLS 还支持 PCI-DSS v4.0 的 4.2.1.2 要求，该要求要求在连接到持卡人数据环境的无线网络上使用强密码学。医疗保健 站点和运行员工设备的 铁路 运营商也能从同样的控制中受益。

Purple 员工 WiFi 为该模式带来了基于身份的网络和云 RADIUS。它可与 Microsoft Entra ID、Okta 和 Google Workspace 配合使用，因此入职、异动和离职人员会自动更新网络访问权限。它在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 之间完全兼容硬件。Purple 在 80,000 多个活跃场馆运行，并持有 ISO 27001 和 Cyber Essentials 认证。

常见问题解答

Intune WiFi 证书身份验证是否适用于我们已有的接入点？

是的。服务器验证在设备和 RADIUS 服务器之间运行，因此接入点只需支持 WPA2-Enterprise 或 WPA3-Enterprise。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 都支持 802.1X。Purple 员工 WiFi 与硬件无关，可在现有资产上作为云覆盖运行。您无需更换硬件即可将员工迁移到基于证书的身份验证。

我们是否需要额外的 Microsoft 许可证来部署 Intune WiFi 配置文件？

不需要，如果您已经拥有 Microsoft 365 E3、E5 或 Business Premium。这些套件已包含 Intune，其中涵盖了 WiFi、受信任的证书以及 SCEP 或 PKCS 配置文件。您可能需要为证书颁发机构单独付费。Active Directory 证书服务运行在 Windows Server 上。Microsoft Cloud PKI 是一款需要单独许可的 Intune 附加组件。无论您运行网络策略服务器还是云 RADIUS 服务，您的 RADIUS 服务器都是一项单独的成本。

RADIUS 服务器证书应该来自公共 CA 还是私有 CA？

对于大多数设备群来说，私有 CA 是更安全的选择。您可以控制其根证书，因此该根证书下的更新绝不会破坏设备信任。根据 CA/Browser Forum 投票草案 SC-081 的规定，公共 CA 证书的有效期正在缩短。每次公共证书更新都有可能带来根证书或中间证书的变更，从而导致设备拒绝连接，直到您重新部署信任配置文件。

我们能否在不中断员工工作的情况下，从 PEAP 密码迁移到 EAP-TLS？

可以。将 SCEP 或 PKCS 证书配置文件以及新的 EAP-TLS WiFi 配置文件与现有的 PEAP 配置文件一起部署。在每个平台上试点一个群组，并在您的 RADIUS 日志中确认连接情况。一旦每个群组都能稳定连接，即可删除 PEAP 配置文件。服务器验证设置（名称和根证书）在这两种方法中可以保持一致。这消除了迁移中风险最高的变量。

当 RADIUS 证书更新时，Intune WiFi 配置文件会发生什么？

只要更新后的证书保持相同的根 CA 和相同的名称，就不会发生任何变化。设备将保持连接。如果根证书、中间证书链、CN 或 SAN 发生变化，设备将拒绝该服务器，即使 Intune 仍然报告配置文件已成功。请先将任何新的根证书部署为额外的受信任证书配置文件。确认设备已收到该证书，然后在 RADIUS 服务器上安装更新后的证书。

基于证书的员工 WiFi 是否有助于满足 PCI DSS 和 GDPR 的要求？

是的。PCI DSS v4.0 的要求 4.2.1.2 要求对连接到持卡人数据环境的无线网络使用强密码学。具有服务器验证功能的 EAP-TLS 可以在没有共享密钥的情况下满足这一标准。对于 GDPR，证书身份验证将每个会话与已知身份相关联，从而支持访问日志记录和及时撤销。Purple 持有 ISO 27001 和 Cyber Essentials 认证，其平台符合 GDPR 规范。

配置文件更改需要多长时间才能到达设备？

大多数已注册的设备会在下一次 Intune 签到时收到更改。对于 Windows、iOS 和 Android 设备，该签到会在一天中定期运行。您可以从 Intune 或设备本身强制进行立即同步。请至少在 RADIUS 证书更换前的一个完整签到周期规划根证书更改。处于关机状态的设备将在下一次签到时获取更新。