从本地部署 RADIUS (NPS) 迁移至 RADIUS-as-a-Service

播客脚本：从本地 RADIUS (NPS) 迁移到 RADIUS-as-a-Service 时长：约 10 分钟 | 配音：英式英语，男性，资深顾问语气 --- 第 1 部分：引言与背景 欢迎收听 Purple WiFi 技术简报系列节目。今天我们将探讨一项目前正列在众多企业 IT 团队路线图上的迁移任务：从本地 RADIUS - 特别是 Microsoft 的网络策略服务器（NPS） - 迁移到云托管的 RADIUS-as-a-Service 模式。 如果您正在管理酒店集团、零售物业、体育场馆或公共部门园区的 WiFi 身份验证，这与您息息相关。本地 NPS 模式在过去近二十年里一直运行良好，但其运维开销、单点故障风险以及扩展限制正变得越来越难以接受 - 特别是现在的云原生替代方案能够以极低的总拥有成本提供企业级的可靠性。 在接下来的十分钟里，我们将介绍这两种方案的技术架构，详细讲解结构化的迁移方法，分析两个真实的实施案例，最后提供能帮助您自信做出决策的关键决策框架。 让我们正式开始。 --- 第 2 部分：技术深度剖析 首先，让我们确保对 RADIUS 在网络栈中的实际作用达成共识。RADIUS - 远程用户拨号认证系统 - 是 RFC 2865 中定义的协议，用于处理网络接入的身份验证、授权和计费。在 WiFi 环境中，它是 IEEE 802.1X 基于端口的接入控制的基础骨干。当设备连接到 WPA2-Enterprise 或 WPA3-Enterprise SSID 时，接入点充当 RADIUS 客户端（即我们所说的网络接入服务器），并将身份验证请求转发给 RADIUS 服务器。服务器对凭据进行验证（通常是对比 Active Directory 或 LDAP 目录），然后返回 Access-Accept（允许接入）或 Access-Reject（拒绝接入）响应。这就是基本的工作流程。 现在，在本地 NPS 模式中 - 网络策略服务器是 Windows Server 自带的 Microsoft RADIUS 实现 - 您是在自己拥有、维护的数据中心或机房的硬件上运行该身份验证逻辑。NPS 服务器保存着您的网络策略、用于 EAP-TLS 或 PEAP-MSCHAPv2 的证书基础设施以及连接请求策略。它行之有效，技术成熟。但它也带来了一系列随着时间推移而不断累积的运维现实问题。 首先是硬件依赖性。您的 NPS 服务器是一台物理机或虚拟机，需要进行补丁升级、容量规划以及最终的硬件更新。在多站点部署中 - 例如在英国各地拥有物业的酒店集团 - 您要么运行依赖广域网（WAN）的集中式 NPS，要么在每个站点部署 NPS 实例并进行单独管理。这两种方式都算不上优雅。 第二个是可用性。单个 NPS 实例对于您的整个身份验证基础设施来说是一个单点故障。是的，您可以将 NPS 部署为故障转移双机，但这会使您的硬件和许可开销增加一倍，并且它仍然无法为您提供云服务原生提供的地理冗余。 第三个是可扩展性。NPS 是为企业局域网（LAN）环境设计的。当您在体育馆活动或会议中心高峰期间处理数千个并发身份验证请求时，单个 NPS 实例的吞吐量限制会变得非常明显。身份验证延迟激增，用户在您最无法承受的时刻遇到连接失败。 RADIUS-as-a-Service 从架构上解决了所有这三个限制。云 RADIUS 提供商运行着一个分布式、地理冗余的 RADIUS 服务器集群。您的接入点指向云端托管的 RADIUS 端点，而不是本地服务器。身份验证请求在集群中进行负载均衡，并且故障转移是自动且透明的。提供商负责处理补丁、容量扩展和证书管理。从您作为网络运营商的角度来看，RADIUS 变成了一项消费服务，而不是一个需要管理的组件。 身份验证协议本身并没有改变。您仍然根据客户端设备的组合运行支持 EAP-TLS、PEAP-MSCHAPv2 或 EAP-TTLS 的 802.1X。不同之处在于 RADIUS 服务器所在的位置以及谁负责其业务连续性。 这里有一个重要的安全考虑，我想直接说明一下，因为在几乎每一次客户交流中都会提到这个问题。将 RADIUS 迁移到云端意味着您的身份验证流量要通过公共互联网才能到达云端 RADIUS 端点。这可以通过两种机制来缓解。首先，网络接入服务器（NAS）和 RADIUS 服务器之间的 RADIUS 流量使用共享密钥和基于 MD5 的消息身份验证进行保护。其次，也是对现代部署更重要的一点，您应该运行 RadSec - 即基于 TLS 的 RADIUS（在 RFC 6614 中定义） - 它将整个 RADIUS 对话包装在 TLS 隧道中。这为您提供了相当于 HTTPS 的传输层加密，消除了 MD5 漏洞，并提供了 NAS 和 RADIUS 服务器之间的双向身份验证。任何值得考虑的云 RADIUS 提供商都应将支持 RadSec 作为标准配置。 在身份集成方面，云 RADIUS 服务通常支持 LDAP 和 LDAPS 连接回到您的本地 Active Directory，或者通过 SAML 或 SCIM 与 Azure Active Directory 和 Microsoft Entra ID 进行原生集成。这意味着您不需要迁移用户目录 - 云 RADIUS 服务会查询您现有的身份存储库，从而维护您现有的用户生命周期管理流程。 对于注重合规性的组织（包括根据 PCI-DSS 处理付款卡数据的任何组织，或根据 GDPR 处理个人数据的任何组织），获得 SOC 2 Type II 认证和 ISO 27001 认可的云 RADIUS 提供商提供了比大多数组织通过自行管理的 NPS 基础架构所能达到的更强大的合规性态势。 --- 分段 3：实施建议和常见陷阱 好的，让我们来谈谈如何在不让身份验证基础架构脱机的情况下实际执行此迁移。 我推荐的方法是五阶段法。第一阶段是审计和盘点。记录每个 RADIUS 客户端 - 每个接入点、每个交换机、每个 VPN 集中器 - 以及它们当前的共享密钥、正在使用的 EAP 方法，以及 NPS 策略中任何特定于供应商的属性。这是项枯燥的工作，但跳过它是迁移失败的第一大原因。 第二阶段是试点部署。启动您的云 RADIUS 实例，并将非生产 SSID 或单个测试站点指向它。验证您的 EAP 方法是否端到端正常工作，身份集成是否正常运行，以及记账数据是否正确流转。 第三阶段是并行运行。这是关键的风险缓解步骤。将您的接入点配置为同时将本地 NPS 服务器和云 RADIUS 服务器作为身份验证目标，将云服务作为主服务器，将 NPS 作为备用服务器。在整个业务周期内以这种配置运行至少两周。监控身份验证成功率、延迟以及任何策略差异。 第四阶段是切换。删除 NPS 备用配置，并承诺将云 RADIUS 作为唯一的身份验证基础架构。在计划的维护窗口期间执行此操作，并准备好经过记录和测试的回滚程序。 第五阶段是退役。在切换后验证稳定运行三十天后，停用 NPS 服务器并收回硬件或虚拟机资源。 我最常遇到的陷阱是：证书信任链问题 - 具体而言，由于 CA 不在客户端设备的受信任存储中，客户端设备不信任云 RADIUS 服务器的证书。在切换之前，通过您的 MDM 或组策略解决此问题。第二个常见陷阱是防火墙规则。云 RADIUS 需要从您的接入点到云端点的出站 UDP 1812 和 1813，或者用于 RadSec 的 TCP 2083。确保您的网络边界允许此流量。第三：共享密钥的复杂性。如果您现有的 NPS 共享密钥较弱，请利用迁移的机会轮换为加密强度高的密钥，或者更好的是，转向 RadSec 并完全消除共享密钥。 --- 分段 4：快速问答 让我来解答一下关于这个话题我最常遇到的问题。 我们能把 Active Directory 保留在本地吗？是的，完全可以。云 RADIUS 通过 LDAPS 连接到您的本地 AD。您的目录可以保留在原处。 如果我们的互联网连接中断会怎样？这是关键的依赖性转变。采用云 RADIUS，互联网连接将成为身份验证的依赖项。可以通过冗余 WAN 链路或本地 RADIUS 代理（在断网期间缓存已知设备的身份验证）来减轻这一影响。 这会影响我们的 PCI-DSS 合规性吗？转向获得认证的云 RADIUS 提供商通常会改善您的合规状况。确保您的提供商能够提供 SOC 2 Type II 报告，并将其纳入您的年度 QSA 评估范围。 完整的迁移需要多长时间？对于单个站点，需要两到四周。对于拥有 50 个或更多分支机构的多站点资产，请计划通过分阶段部署进行三到六个月的迁移。 - - 第 5 部分：总结和后续步骤 总结一下：在运营、财务和合规性方面，从本地 NPS 迁移到 RADIUS-as-a-Service 的理由是非常充分的。如果通过结构化的并行运行阶段来执行，迁移本身是低风险的。关键的技术决策包括您的 EAP 方法选择、您的身份集成方法，以及是否实施 RadSec 以实现传输安全 - 对于任何新部署，我都强烈建议实施该安全措施。 您眼前的后续步骤：对您当前的 RADIUS 客户端和策略进行审核，与您的云 RADIUS 提供商联系以获取试点环境，并在开始之前审查您的防火墙规则和证书信任链。 对于运行 Purple WiFi 访客接入平台的组织，RADIUS-as-a-Service 功能可直接与访客 WiFi 身份验证流程集成，为您提供用于企业 802.1X 身份验证和访客网络访问管理的单一控制平面 - 且内置分析和合规性报告。 感谢您的收听。完整的技术参考指南可在 Purple 网站上找到，如果您准备好继续前进，我们的解决方案团队可随时进行范围界定对话。 - - 脚本结束