从本地 RADIUS (NPS) 迁移到 RADIUS-as-a-Service

播客脚本：从本地 RADIUS (NPS) 迁移到 RADIUS-as-a-Service 时长：约 10 分钟 | 配音：英式英语，男声，资深顾问语气 --- 第一部分：引言与背景 欢迎收听 Purple WiFi 技术简报系列。今天我们要探讨的是一项正列入众多企业 IT 团队路线图的重要迁移任务：从本地 RADIUS - 特别是 Microsoft 的 Network Policy Server - 迁移到云端托管的 RADIUS-as-a-Service 模式。 如果您正在管理酒店集团、零售物业、体育场馆或公共部门园区的 WiFi 身份验证，那么这与您密切相关。本地 NPS 模式在过去近二十年中为我们提供了良好的服务，但其运维开销、单点故障风险以及扩展限制正变得越来越难以接受 - 特别是现在的云原生替代方案能够以极低的总拥有成本提供企业级的可靠性。 在接下来的十分钟里，我们将介绍这两种方法的架构，逐步说明结构化的迁移方法，分析两个真实的实施案例，最后提供能够帮您自信做出决策的关键评估框架。 让我们正式开始。 --- 第二部分：技术深度剖析 首先，让我们明确 RADIUS 在您的网络技术栈中究竟扮演什么角色。RADIUS - 远程用户拨号认证系统 - 是 RFC 2865 中定义的协议，用于处理网络准入的认证、授权和计费。在 WiFi 环境中，它是 IEEE 802.1X 基于端口访问控制的核心支柱。当设备连接到 WPA2 或 WPA3 企业级 SSID 时，接入点（AP）会作为 RADIUS 客户端（即我们所说的网络接入服务器）运行，并将身份验证请求转发给 RADIUS 服务器。服务器通常会对比 Microsoft Entra ID、Okta、Google Workspace 或 LDAP 目录来验证凭据，然后返回 Access-Accept（允许接入）或 Access-Reject（拒绝接入）响应。这就是最基本的流程。 而在本地 NPS 模式中（Network Policy Server 是 Microsoft 随 Windows 包含的 RADIUS 实现），您是在自己拥有、维护的数据中心或机房的硬件上运行该身份验证逻辑。NPS 服务器保存着您的网络策略、用于 EAP-TLS 或 PEAP-MSCHAPv2 的证书基础设施以及连接请求策略。它确实有效，也很成熟。但随着时间的推移，它也带来了一系列随之而来的运维现实问题。 首先是硬件依赖。您的 NPS 服务器是物理机或虚拟机，需要进行补丁升级、容量规划以及最终的硬件更新。在多站点部署中 - 比如在英国各地拥有物业的酒店集团 - 您要么运行具有广域网（WAN）依赖性的集中式 NPS，要么在每个站点部署 NPS 实例并分别进行管理。这两种方式都不够优雅。 第二个是可用性。单个 NPS 实例是您整个身份验证基础设施的单点故障。是的，您可以将 NPS 部署为故障转移对，但这会使您的硬件和许可开销增加一倍，并且它仍然无法为您提供云服务原生提供的地理冗余。 第三个是可扩展性。NPS 是为企业局域网环境设计的。当您在体育馆活动或会议中心高峰期间处理数千个并发身份验证请求时，单个 NPS 实例的吞吐量限制会变得非常明显。身份验证延迟激增，用户在您最无法承受的时刻遇到连接失败。 RADIUS-as-a-Service 从架构上解决了所有这三个限制。云 RADIUS 提供商运行一个分布式的、地理冗余的 RADIUS 服务器集群。您的接入点指向云端托管的 RADIUS 端点，而不是本地服务器。身份验证请求在集群中进行负载均衡，并且故障转移是自动且透明的。提供商负责处理补丁、容量扩展和证书管理。从您作为网络运营商的角度来看，RADIUS 成为了一项消费服务，而不是一个需要管理的组件。 身份验证协议本身并没有改变。您仍然根据您的客户端设备组合运行带有 EAP-TLS、PEAP-MSCHAPv2 或 EAP-TTLS 的 802.1X。不同之处在于 RADIUS 服务器所在的位置以及谁负责其业务连续性。 这里有一个我想直接讨论的重要安全考量，因为几乎在每一次与客户的交谈中都会提到它。将 RADIUS 移至云端意味着您的身份验证流量正在通过公共互联网传输以到达云端 RADIUS 端点。这可以通过两种机制来缓解。首先，网络接入服务器与 RADIUS 服务器之间的 RADIUS 流量使用共享密钥和基于 MD5 的消息身份验证进行保护。其次，对于现代部署更为重要的一点是，您应该运行 RadSec - 即基于 TLS 的 RADIUS，在 RFC 6614 中定义 - 它将整个 RADIUS 对话包裹在 TLS 隧道中。这为您提供了相当于 HTTPS 的传输层加密，消除了 MD5 漏洞，并提供了 NAS 与 RADIUS 服务器之间的相互身份验证。任何值得考虑的云 RADIUS 提供商都应将支持 RadSec 作为标准。 在身份集成方面，云 RADIUS 服务通常支持返回到您本地 Active Directory 的 LDAP 和 LDAPS 连接，或者通过 SAML 或 SCIM 与 Azure Active Directory 和 Microsoft Entra ID 进行原生集成。这意味着您无需迁移用户目录 - 云 RADIUS 服务会查询您现有的身份库，从而维护您现有的用户生命周期管理流程。 对于注重合规性的组织（包括在 PCI DSS 规范下处理付款卡数据，或在 GDPR 规范下处理个人数据的任何组织）而言，采用通过 SOC 2 Type II 认证和 ISO 27001 认可的云 RADIUS 提供商，比大多数组织通过自主管理 NPS 基础架构所能达到的合规态势要更为强大。 - 第 3 部分：实施建议与常见陷阱 好，下面我们来探讨如何在不让身份验证基础架构脱机的情况下，实际执行此次迁移。 我推荐的方法是分为五个阶段。第一阶段是审计与盘点。记录每一个 RADIUS 客户端（每一个接入点、每一台交换机、每一个 VPN 集中器）以及它们当前的共享密钥、正在使用的 EAP 方法以及 NPS 策略中任何特定于厂商的属性。这是一项枯燥的工作，但跳过它往往是导致迁移失败的首要原因。 第二阶段是试点部署。启动您的云 RADIUS 实例，并将一个非生产环境的 SSID 或单个测试站点指向它。验证您的 EAP 方法是否能够端到端正常工作、您的身份集成是否正常运行，以及您的计费数据是否流转正确。 第三阶段是并行运行。这是至关重要的风险缓解步骤。在您的接入点上同时配置本地 NPS 服务器和云 RADIUS 服务器作为身份验证目标，并将云服务设为主服务器，NPS 设为备用服务器。在完整的业务周期内以此配置运行至少两周。监控身份验证成功率、延迟以及任何策略差异。 第四阶段是割接。移除 NPS 备用配置，将云 RADIUS 作为您唯一的身份验证基础架构。在计划好的维护窗口内执行此操作，并确保已记录并测试了回滚程序。 第五阶段是退役。在割接后验证稳定运行三十天后，即可退役 NPS 服务器并回收硬件或虚拟机资源。 我最常遇到的陷阱包括：证书信任链问题 - 特别是客户端设备因为 CA 不在其受信任存储区中而不信任云 RADIUS 服务器的证书。在割接前，通过您的 MDM 或组策略解决此问题。第二个常见陷阱是防火墙规则。云 RADIUS 需要从您的接入点到云端点的出站 UDP 1812 和 1813 流量，或者用于 RadSec 的 TCP 2083 流量。确保您的网络边界允许这些流量通过。第三：共享密钥的复杂性。如果您现有的 NPS 共享密钥强度较弱，请利用这次迁移契机轮换为高密码强度的密钥，或者更佳的选择是迁移到 RadSec，彻底告别共享密钥。 - 第 4 部分：快速问答 让我快速解答一下关于这个主题我最常收到的问题。 我们可以保留本地 Active Directory 吗？是的，完全可以。云 RADIUS 通过 LDAPS 连接到您的本地 AD。您的目录可以保留在原处。 如果我们的互联网连接中断会怎么样？这是关键依赖关系的转变。使用云 RADIUS，互联网连接将成为身份验证的依赖项。您可以通过冗余 WAN 链路或本地 RADIUS 代理来缓解此问题，该代理可在中断期间缓存已知设备的身份验证。 这会影响我们的 PCI-DSS 合规性吗？迁移到获得认证的云 RADIUS 提供商通常会改善您的合规状况。请确保您的提供商能够提供 SOC 2 Type II 报告，并将其纳入您的年度 QSA 评估范围。 完整的迁移需要多长时间？对于单个站点，需要二到四周。对于拥有 50 个或更多站点的多站点资产，请计划进行三到六个月的分阶段部署。 - 第 5 部分：总结和后续步骤 总结一下：从本地 NPS 迁移到 RADIUS-as-a-Service 在运营、财务和合规性方面都具有极大的吸引力。在采用结构化并行运行阶段执行迁移时，迁移本身的风险极低。关键的技术决策包括您的 EAP 方法选择、您的身份集成方法，以及是否实施 RadSec 以实现传输安全 - 对于任何新部署，我都强烈推荐使用后者。 您的当务之急：对当前的 RADIUS 客户端和策略进行审计，联系您的云 RADIUS 提供商以获取试点环境，并在开始前检查您的防火墙规则和证书信任链。 对于运行 Purple WiFi 访客接入平台的组织，RADIUS-as-a-Service 功能可直接与访客 WiFi 身份验证流程集成，为您提供一个单一控制平面来同时管理企业 802.1X 身份验证和访客网络访问管理 - 并且内置了分析和合规性报告。 感谢您的收听。完整的技术参考指南已发布在 Purple 网站上，如果您准备推进项目，我们的解决方案团队可以进行范围界定对话。 - 脚本结束