在 Juniper Mist 上配置结合云 RADIUS 的 802.1X

要在 Juniper Mist 上配置 802.1X，请创建一个使用 WPA2 或 WPA3-Enterprise 安全协议的 WLAN。添加您的云 RADIUS 服务器以进行身份验证和计费，如果服务支持，请启用 RadSec。将 VLAN 设置为动态，以便 RADIUS 响应能够将每个设备放入正确的网络段。Mist 的客户端洞察时间线和 Marvis 随后会显示任何身份验证失败的具体环节。

802.1X 在 Juniper Mist 上具体起什么作用？

IEEE 802.1X 是基于端口的网络接入控制。在无线网络上，它会阻止设备的流量，直到该设备向身份验证服务器证明其身份。接入点（AP）充当认证者。它在设备和 RADIUS 服务器之间转发可扩展身份验证协议（EAP）消息。RADIUS 是 RFC 2865 中定义的身份验证协议。

RADIUS 服务器检查凭据并返回 Access-Accept（允许接入）或 Access-Reject（拒绝接入）。Accept 响应可以包含属性，例如设备应当加入的 VLAN。然后每个设备会生成自己的加密密钥，因此没有任何两名员工共享同一个密钥。

在 Juniper Mist 上，每个接入点都是一个 RADIUS 客户端。Mist 将 WLAN 配置保留在其云端，并将其推送到每个站点的每个 AP。它还会记录每次连接尝试的每个步骤，这也是 Mist 在身份验证失败时极其有用的原因。

EAP 方法决定了设备出示的内容：

• EAP-TLS：设备和服务器双方都出示证书。不存在会被钓鱼、共享或超期的密码。
• 带有 MSCHAPv2 的 PEAP：Protected EAP 将密码交换封装在 TLS 隧道内部。它更容易部署，但安全性较弱。Microsoft 文档指出，近期 Windows 11 版本中默认开启的 Credential Guard 会阻止基于 MSCHAPv2 身份验证的单点登录。
• EAP-TTLS：一种类似的隧道化方法，常见于身份存储库非 Microsoft 的场景。

Mist 不会协商该方法。设备和 RADIUS 服务器会自行协商，而 AP 仅转发该交换过程。这意味着您需要在 RADIUS 端和设备配置文件中选择 EAP 方法，而不是在 Mist 控制台中选择。

在 Mist 上配置 802.1X 之前您需要准备什么？

在打开控制台之前，请收集以下内容。大多数失败的部署都可以追溯到此列表中缺失的项目，而不是 Mist 配置本身的问题。

• Mist 访问权限：组织管理员权限，且 AP 已被申领并分配到站点。
• 云 RADIUS 详细信息：服务器主机名或 IP 地址、端口、共享密钥，以及如果您的提供商支持时的 RadSec 详细信息。
• 身份源：已连接到 RADIUS 服务的 Microsoft Entra ID、Okta 或 Google Workspace，且带有映射到网络角色的组。
• 证书：您的设备所信任的 RADIUS 服务器证书。对于 EAP-TLS，还需要通过您的 MDM 或 PKI 颁发的客户端证书。
• 有线网络。 连接到 AP 的交换机端口必须对 RADIUS 可能返回的每个 VLAN 进行 Trunk Trunk Trunk。每个 VLAN 都需要一个 DHCP 作用域。
• 防火墙出站。 标准 RADIUS 使用 UDP 1812 和 1813，或 RadSec 使用 TCP 2083，这些是 IANA 分配给各自的端口。
• 设备能力。 WPA3-Enterprise 需要受保护的管理帧（PMF，IEEE 802.11w）。较旧的扫描枪、打印机和手持设备可能不支持该功能。
• 覆盖范围。 企业级认证增加了往返耗时，因此信号覆盖弱会表现为认证超时。如果您最近尚未验证覆盖范围，我们关于 WiFi 现场勘测 的指南涵盖了相关方法。

Juniper Mist WLAN 应该指向哪个 RADIUS 后端？

后端决定了 AP 如何连接 RADIUS、防火墙必须放行什么以及服务器如何识别每个站点。

选项	来自 AP 的传输方式	现场硬件	防火墙出站	RADIUS 如何识别站点	最适合
本地 RADIUS (Microsoft NPS, FreeRADIUS)	基于 UDP 的 RADIUS（跨局域网或 VPN）	总部服务器，外加到每个站点的 VPN	到总部的 UDP 1812 和 1813	源 IP 加共享密钥	拥有现有服务器机房的单一园区
基于 UDP 的 Cloud RADIUS	基于 UDP 的 RADIUS（跨互联网）	无	UDP 1812 和 1813 出站	站点公网 IP 加共享密钥	具有静态公网 IP 地址的站点
基于 RadSec 的 Cloud RADIUS	TLS over TCP 内部的 RADIUS (RFC 6614)	无	TCP 2083 出站	双向证书认证	使用宽带或动态 IP 的多站点企业
经由 Juniper Mist Edge 代理的 Cloud RADIUS	AP 到 Juniper Mist Edge，再由 Juniper Mist Edge 到 RADIUS	Juniper Mist Edge 设备或虚拟机	仅来自 Juniper Mist Edge 的 RADIUS 端口	Juniper Mist Edge 源 IP	需要单一出站的大型园区

Juniper 还销售 Juniper Mist Access Assurance，这是其自有的云网络接入控制服务。本指南涵盖外部 Cloud RADIUS 服务，这可以使您的认证策略独立于 AP 供应商。

如何在 Juniper Mist 上通过 Cloud RADIUS 配置 802.1X？

Juniper Mist 控制台会定期更新，因此请参阅 Juniper 的 Juniper Mist 文档以获取最新的具体步骤。以下流程展示了每个阶段的作用及其背后的决策。

第 1 步：创建 WPA2 或 WPA3-Enterprise WLAN

如果您运营多个站点，请在组织级 WLAN 模板中创建 WLAN。模板适用于站点或站点组，因此一项更改即可覆盖整个企业。如果是单站点试点，则在站点级别创建。

命名 SSID 并选择企业级 (802.1X) 安全类型。然后选择 WPA2 或 WPA3。

• WPA3-Enterprise 强制要求 PMF，并且是 6 GHz 频段无线电上唯一的企业级选项。受控笔记本电脑和最新的手机请选择此项。
• WPA2-Enterprise 仍可连接较旧的设备。如果旧设备舰队暂时无法升级，请将其保留在独立的 SSID 上，而不是削弱主 SSID 的安全性。

考虑通过 IEEE 802.11r (Fast BSS Transition) 启用快速漫游。当设备在 AP 之间移动时，它能缩短重新认证的时间。在整网启用之前，请先用语音手持设备和较旧的客户端进行测试。

第 2 步：将 WLAN 指向您的云端 RADIUS 服务

在 WLAN 的认证服务器设置中，添加您的提供商的 RADIUS 服务器。

• 认证服务器。 为至少两台服务器输入主机、端口和共享密钥。当一台服务器停止响应时，Mist 会自动故障转移到下一台服务器。
• 计费服务器。 单独添加它们。计费会记录会话的启动和停止时间，您的审计和事件响应团队将需要这些数据。
• NAS 标识符。 设置一个 RADIUS 服务可以用来区分不同星点的数值。然后，您的提供商可以应用特定于星点的策略。

使用基于 UDP 的标准 RADIUS 时，请求在经过 NAT 后从每个星点的公网 IP 地址发出。您的云端 RADIUS 提供商必须将该地址注册为客户端。使用动态 IP 的星点只要其地址发生改变，就会失去认证能力。第 3 步中的 RadSec 可以消除这种依赖。

请将共享密钥视为凭据。将其设置得长且随机，并保存在您的密码库中。2024 年 7 月，研究人员公开了 BlastRADIUS (CVE-2024-3596)，这是一种针对基于 UDP 的 RADIUS 的伪造攻击。请确认您的提供商是否按安全公告建议要求使用 Message-Authenticator 属性，或者迁移至 RadSec。

第 3 步：启用 RadSec

是的，Juniper Mist 支持 RadSec。RFC 6614 中定义的 RadSec 通过 TCP 在 TLS 会话内部传输 RADIUS。Mist AP 可以直接向您的云端 RADIUS 服务建立该会话。

在 WLAN 的 RADIUS 设置中启用 RadSec 并输入服务器主机名。主机名必须与服务器证书上的名称匹配。然后建立双向信任：

• AP 信任服务器。 在 Mist 的组织设置中添加签署您的 RadSec 服务器证书的证书颁发机构 (CA)。
• 服务器信任 AP。 您的 RadSec 服务器必须信任 Mist AP 出示的证书。Juniper 的文档说明了从何处获取该证书。

从每个星点开放 TCP 2083 出站端口。RadSec 带来三个实际好处：

1. 加密。 它加密整个 RADIUS 数据包，包括其中的身份和 MAC 地址。标准 RADIUS 仅隐藏密码。
2. 无需 IP 注册。 证书验证的是 AP，而不是源地址。动态宽带 IP 不再影响使用。
3. 可靠传输。 EAP-TLS 消息携带证书链，通常会超过单个数据包的大小。在公网上使用 UDP 时，分片容易被丢弃。而 TCP 则会进行重传。

第 4 步：将 RADIUS 属性映射到动态 VLAN

动态 VLAN 分配将所有角色集中在一个 SSID 上，并由 RADIUS 决定网络分段。在 WLAN 的 VLAN 设置中，选择动态 VLAN。列出 AP 可能接收到的每个 VLAN ID 或名称，并为不带 VLAN 的回复设置默认值。

然后，您的 RADIUS 策略将返回三个隧道属性，这些属性在 RFC 2868 中定义，并应用于 RFC 3580 中的 802.1X。

属性	值	作用
Tunnel-Type	13 (VLAN)	告知 AP 该隧道为 VLAN
Tunnel-Medium-Type	6 (IEEE-802)	指定 IEEE 802 介质
Tunnel-Private-Group-ID	WLAN 上列出的 VLAN ID 或名称	选择此会话的 VLAN

围绕身份组构建策略。保洁设备接入保洁 VLAN。支付终端接入隔离网段。PCI DSS 将正确的网段隔离视为缩减持卡人数据环境范围的一种有效手段。同样的模式可在 医疗保健 场景中将临床设备与访客流量进行隔离。

第 5 步：先进行试点，然后通过模板进行扩展

首先将模板分配给一个站点。运行下一节中的检查。通过检查后，再将模板分配给其余站点或站点组。每个新站点都会自动继承 WLAN、RADIUS 服务器、RadSec 设置和 VLAN 列表。

如何检查 802.1X 在 Juniper Mist 上是否正常工作？

测试每个角色，而不仅仅是一个账号。一个组的成功接受认证并不能证明另一个组的 VLAN 映射正常。

1. 按角色连接测试设备。 在 Juniper Mist 的客户端列表中，确认 SSID、使用的身份、VLAN 以及预期子网中的 IP 地址。
2. 查看 RADIUS 日志。 确认收到带有预期隧道属性的 Access-Accept，随后收到记账开始记录。
3. 漫游。 携带设备在 AP 之间移动，确认会话保持连接，尤其是当您启用了 802.11r 时。
4. 撤销。 在身份提供商中禁用一个测试账号。确认其下一次身份验证被拒绝。
5. 监控服务水平。 Juniper Mist 的成功连接服务水平预期 (SLE) 包含授权分类器。连接时间可显示身份验证是否放缓了接入速度。

第 4 步存在一个特殊情况。禁用账号只能阻止下一次身份验证，而不能终止当前会话。要结束实时会话，请检查您的 RADIUS 服务和 WLAN 是否支持授权变更（CoA, RFC 5176）。CoA 允许服务器根据需要按需断开会话。

Juniper Mist 在哪里显示身份验证失败的原因？

查看客户端洞察时间线

打开出现故障的客户端并转到其洞察（Insights）页面。Juniper Mist 会按顺序列出每个连接事件：关联、EAP 交互、RADIUS 结果，然后是 DHCP。从左到右阅读。最后一个成功的事件会告诉您是哪一层出现了故障。

• 在任何 RADIUS 事件之前失败： 无线电或关联问题，并非 802.1X 问题。
• RADIUS 超时： AP 与服务器之间的可达性或信任问题。
• RADIUS 拒绝： 服务器做出了拒绝决定。具体原因请见 RADIUS 提供商的日志。
• 已通过身份验证，但 DHCP 失败： VLAN 或有线网络问题。

Juniper Mist 的动态数据包捕获会自动记录连接失败前后的帧。下载捕获文件并在 Wireshark 中打开，以查看交互停止时的具体 EAP 消息。

简化排错流程的 Marvis 查询

Marvis 作为 Juniper Mist 的对话式助手，可接收平实语言提问，需要订阅 Marvis 服务。以下类型的查询最省时间：

• "Troubleshoot [客户端名称或 MAC 地址]" 可返回单个设备的故障点和可能的原因。
• "Troubleshoot [站点名称]" 显示故障是否集中在某个站点，这通常指向防火墙或 WAN 问题。
• "Which clients failed to connect at [站点] today?" 可在打开单独的时间线之前确定问题范围。

排查范围优先。单个设备故障通常是设备配置文件问题。某站点的所有设备均故障通常是网络路径问题。所有地点的所有设备均故障通常是 RADIUS 服务或证书问题。

Juniper Mist 上常见的 802.1X 故障及其修复方法

Juniper Mist 显示的内容	可能的原因	修复方法
RADIUS 超时，无回复	防火墙阻断了 UDP 1812 或 TCP 2083，源 IP 未注册，或共享密钥不匹配	开放出站连接，注册站点 IP 或迁移至 RadSec，在两端重新输入密钥
Access-Reject	凭据错误、账户已禁用或设备不在任何策略组内	在 RADIUS 日志中查看拒绝原因并更正策略或账户
EAP 在服务器证书后停止	设备不信任服务器 CA，或服务器名称不匹配	通过 MDM 配置文件将 CA 和服务器名称推送到设备
已通过身份验证，无 IP 地址	返回的 VLAN 未 Trunk 到 AP，缺少 DHCP 范围，或 VLAN 不在 WLAN 列表中	Trunk 该 VLAN，添加该范围，并精准匹配 VLAN 名称
RadSec 会话从未建立	任何一端的 CA 不受信任、证书过期或时钟错误	重新检查两端的证书、过期日期和 NTP
基于 UDP 的间歇性 EAP-TLS 故障	分片数据包在互联网上传输时被丢弃	迁移至 RadSec 或缩短证书链
WPA3 设备可连接，旧设备失败	旧设备缺乏 WPA3 或 PMF 支持	将老旧设备迁移至独立的 WPA2-Enterprise SSID

在真实场馆中这是什么样子的？

以下两个场景具有示范意义。它们展示了配置如何改变可衡量的运营结果。

操作场景：拥有 200 间客房的酒店停用共享员工密钥

情况。 拥有 200 间客房的酒店运行了四个员工 SSID：前台、客房部、管理层和工程部。每个 SSID 都使用共享密码。当客房部员工离职时，团队要么需要在几十台设备上更改密钥，要么保持密钥不变。宾客则使用第五个 SSID。

具体做法。 团队在 Juniper Mist WLAN 模板中创建了一个 WPA3-Enterprise 员工 SSID。托管设备使用 EAP-TLS，并通过 MDM 推送证书。云 RADIUS 从 Microsoft Entra ID 读取组身份，并为每个部门返回一个 VLAN。同时保留了一个独立的 WPA2-Enterprise SSID，用于较旧的客房服务平板电脑。宾客则保持连接 Guest WiFi。

结果。 四个员工 SSID 合并为一个，再加上一个旧版 SSID，因此酒店广播的网络数量从五个减少到三个。SSID 数量减少意味着用于争用信道空闲时间的信标帧更少。共享的员工密钥从四个减少到零。员工离职后的访问权限现在会在 HR 禁用其账户时立即终止，无需进行密钥轮换。这种方法适用于大多数运行部门 PSK 网络的 酒店。

实际案例：拥有 120 家门店的零售连锁企业迁移至 RadSec

现状。 一家拥有 120 家门店的连锁企业在商业宽带上运行 Mist AP。身份验证通过站点到站点 VPN 传输至总部的本地 RADIUS 服务器。当某个门店的 VPN 断开时，员工设备和手持扫描枪便无法进行身份验证。

采取的措施。 该连锁企业迁移到了云端 RADIUS 服务，并在 Mist WLAN 模板上启用了 RadSec。证书信任在 Mist 的组织设置中一次性配置完成。门店开放了 TCP 2083 出站端口。支付终端通过动态分配获得了隔离的 VLAN，从而支持 PCI-DSS 分割要求。

结果。 RADIUS 服务器无需再跟踪 120 个按门店划分的客户端 IP 条目；证书取代了所有这些条目。身份验证不再依赖于 VPN。新门店只要加入该模板，即可立即获得 802.1X 认证。该模式非常适合采用宽带连接且 IP 地址不断变化的 零售 分支网络。

成本是多少，又能带来什么回报？

您不需要购买新的无线接入点。802.1X、RadSec 和动态 VLAN 均可在您现有的 Mist AP 上运行。我们关于 为什么您的下一次 WiFi 升级不需要新硬件 的文章更深入地讨论了这种云端叠加模式。

成本主要分布在四个方面：

• Juniper 订阅。 服务级别期望和 Marvis 取决于您的 Mist 订阅层级。请与您的 Juniper 合作伙伴确认覆盖范围。
• RADIUS 服务。 本地 RADIUS 的成本包含服务器、许可证、补丁更新和 VPN。云端 RADIUS 是一种无硬件成本的订阅服务。
• 证书。 EAP-TLS 需要 PKI 和 MDM 来颁发证书。大多数组织都已经部署了这两者。
• 工程时间。 Mist 的配置是较快的部分。向设备分发证书的进度决定了整体的部署节奏。

您获得的回报是可衡量的。共享密钥降至零。吊销权限紧跟身份提供商，无需展开复杂的密钥轮换项目。SSID 数量减少。网络分割缩减了 PCI-DSS 的合规审计范围。问题排查只需从时间线和 Marvis 查询开始，而无需进行现场实地考察。

Purple 的 RADIUS-as-a-Service 是适用于 Juniper Mist 的云端 RADIUS 选项之一。它横跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet，实现硬件无关性。它将网络接入与 Microsoft Entra ID、Okta 或 Google Workspace 中的身份挂钩，因此人员的入职、调岗和离职会自动更新。Purple 已通过 ISO 27001 和 Cyber Essentials 认证，并符合 GDPR 规定。我们自己的数据显示，2024 年在 80,000 多个实时场馆中实现了 99.999% 的正常运行时间和 4.4 亿次登录。请核对你入围的任何提供商（包括 Purple）的 RadSec 支持情况。如果你也在计算访客网络的成本，请参阅我们对 Captive Portal定价模式对比 的分析。

常见问题解答

Juniper Mist 原生支持 RadSec 吗？

是的。Mist 接入点可以直接建立前往云端 RADIUS 服务的 RadSec 会话，按照 RFC 6614 的定义，在 TCP 上的 TLS 中传输 RADIUS。你可以在 WLAN 的 RADIUS 设置中启用它，并在组织设置中管理证书信任。站点需要出站 TCP 2083。RadSec 会加密整个 RADIUS 数据包，并且无需向你的提供商注册每个站点的公网 IP 地址。

使用云端 RADIUS 需要 Mist Edge 吗？

不需要。Mist AP 无需额外硬件即可将 RADIUS 或 RadSec 直接发送至云服务。当你希望每个 RADIUS 请求都通过一个受控点发出时，Mist Edge 代理在大企事业单位园区中会很有帮助。它也适用于 AP 无法直接访问互联网的站点。对于大多数多站点资产，从 AP 直接使用 RadSec 是更简单的设计。

在迁移到云端 RADIUS 时，我可以保持 Microsoft NPS 运行吗？

可以，但请按用户组而不是按服务器顺序来规划切换。Mist 仅在一个认证服务器停止响应时才会在服务器之间进行故障转移，而不是在一个服务器拒绝请求时进行。因此，在同一个 WLAN 上列出 NPS 和云服务会导致不可预测的结果。运行指向云端 RADIUS 的第二个 SSID，一次迁移一个部门，然后停用 NPS。

Purple 的 RADIUS-as-a-Service 是否支持 Juniper Mist？

是的。Purple 具有硬件无关性，可以作为云端叠加层运行在 Juniper Mist 以及 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。它将网络接入连接至 Microsoft Entra ID、Okta 或 Google Workspace，因此接入权限会随账户的更改而更改。你保留现有的 Mist AP，无需强行替换硬件。

Mist 上的 802.1X 需要 WPA3-Enterprise 吗？

不需要。802.1X 可以与 WPA2-Enterprise 或 WPA3-Enterprise 配合使用。WPA3 增加了强制性受保护的管理帧 (PMF)，并且是 6 GHz 射频上的唯一企业选项。为当前的笔记本电脑和手机使用 WPA3。为缺少 PMF 支持的较旧扫描仪、打印机或平板电脑保留单独的 WPA2-Enterprise SSID，而不是降低主 SSID 的安全性。

Mist 上的 802.1X 是否需要额外的 Juniper 许可证？

WLAN 本身不需要额外许可证。将 Mist WLAN 指向外部 RADIUS 服务器属于标准配置。故障排除工具会有所不同：Marvis 需要订阅 Marvis，服务级别期望取决于您的 Mist 订阅层级。Juniper 自有的 Mist Access Assurance 是一个独立产品。在依赖 Marvis 进行排查之前，请与您的 Juniper 合作伙伴确认您的订阅层级。

802.1X 如何影响 GDPR 合规性？

RADIUS 和计费日志包含个人数据：身份、设备 MAC 地址和会话时间。根据 GDPR，您需要合法依据、明确的保留期限以及与 RADIUS 提供商签订的数据处理协议。RadSec 有助于传输途中的身份加密。Purple 符合 GDPR 并通过了 ISO 27001 认证，会在数据处理协议下处理身份验证数据。

在 Mist 上部署 802.1X 需要多长时间？

Mist 的配置耗时最少；证书分发决定了整体进度。创建 WLAN、添加 RADIUS 服务器和启用 RadSec 只需在单个模板中进行一次更改。通过 MDM 为每个托管设备颁发证书并迁移旧设备需要更长时间。建议先在一个站点试点，测试每个角色，然后再将模板分配给其余站点。