什么是 802.1X 客户端（Supplicant）？设备类型与设备配置

用英国英语发言，语气自信、权威且具有对话感 - 就像一位资深网络安全顾问在向客户汇报。节奏沉稳，吐字清晰，专业而不生硬。偶尔自然停顿以示强调： 欢迎收听 Purple 技术简报系列。今天我们将探讨企业 WiFi 安全的核心内容 - 802.1X 客户端软件（supplicant）。如果您曾感到好奇，为什么某些设备连接您的企业网络时不需要输入密码，而另一些设备却弹出证书错误并生成服务台工单，那么本期内容就是为您量身定制的。 [中等停顿] 让我们从基础知识开始。802.1X 客户端软件是客户端设备（如笔记本电脑、智能手机、平板电脑）上的软件组件，当该设备尝试加入受 IEEE 802.1X 保护的网络时，它负责处理身份验证握手。可以把它看作是设备的身份卡出示器。网络不会让任何人随意进入。它需要凭证。而客户端软件就是那个走上前并说“这就是我，这是我的证书，请让我进去”的角色。 该标准本身 - IEEE 802.1X - 定义了基于端口的网络访问控制。在身份验证成功之前，接入点或交换机只允许极少数特定类型的数据流通过：EAPOL 帧（即局域网上的可扩展身份验证协议）。其他所有内容均被阻断。一旦客户端软件通过认证器向 RADIUS 服务器证明了其身份，端口就会打开，正常流量便可通行。 [中等停顿] 在这个场景中存在三个角色。首先是客户端软件（supplicant） - 即客户端设备。其次是认证器（authenticator） - 您的接入点或交换机，例如 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 等硬件。第三是身份验证服务器 - 几乎总是 RADIUS 服务器，它会对照 Microsoft Entra ID 或 Okta 等目录来验证凭证。 客户端软件通过发送 EAPOL-Start 消息来启动该过程。认证器响应一个 EAP-Request 身份请求。客户端软件回复其身份。该身份随后被转发到 RADIUS 服务器，然后 RADIUS 服务器使用商定的 EAP 方法向客户端软件发起挑战。如果一切验证无误，RADIUS 服务器会发送 Access-Accept，端口打开，设备被分配到正确的 VLAN。 [中等停顿] 让我们来谈谈 EAP 方法，因为这是做出大多数部署决策的地方。 EAP-TLS - 即带有传输层安全性的可扩展身份验证协议 - 是黄金标准。它要求客户端和服务器都提供证书。双向身份验证。无密码。客户端证书证明设备的身份；服务器证书证明网络是合法的，这可以防止流氓接入点试图窃取凭据的邪恶双胞胎攻击。EAP-TLS 通过十二个步骤完成，并在整个过程中使用公钥-私钥密码术。它是 WPA3-Enterprise 在其最高安全模式下所需的方法，并且符合 NIST SP 800-171 对设备身份验证的要求。 PEAP - 受保护的 EAP - 对于尚未部署完整 PKI 的组织来说是更常见的起点。PEAP 将基于密码的内部方法（通常是 MSCHAPv2）封装在 TLS 隧道内。服务器提供证书；客户端则不提供。这意味着部署更简单 - 您无需配置客户端证书 - 但安全性较低。MSCHAPv2 使用 MD4 哈希，该哈希自 1995 年以来已被认为存在安全漏洞。如果用户连接到呈现看似可信证书的流氓接入点，其凭据可能会被截获。因此，在运行 PEAP 时，客户端的服务器证书验证是不可逾越的底线。 [medium pause] 现在让我们进入客户端（supplicant）本身 - 特别是原生操作系统客户端与第三方客户端软件之间的选择。 每个主流操作系统都内置了 802.1X 客户端。Windows 自 XP 以来就通过 Wireless AutoConfig 和 Wired AutoConfig 服务原生支持它。macOS 和 iOS 通过其网络配置描述文件处理 802.1X。Android 通过 WiFi 设置面板支持它。这些原生客户端在所有当前平台上都支持 EAP-TLS 和 PEAP-MSCHAPv2。 原生客户端的优势显而易见：无需部署额外软件、无许可成本、自动操作系统安全更新，以及与操作系统证书存储的紧密集成。对于托管设备群 - 注册到 Microsoft Entra ID 统一管理的 Microsoft Intune 的 Windows 设备，通过 Jamf 管理的 Mac - 您可以通过 MDM 静默推送 802.1X 配置描述文件，用户永远不会看到提示。设备每次进入范围时都会自动进行身份验证。 在特定场景下，需要使用第三方客户端（Supplicants）。如果您运行的是 Cisco 基础设施，并希望使用 EAP-FAST（Cisco 专有的 EAP 方法），您需要 Cisco 的客户端软件，过去通常是 Secure Services Client 或 AnyConnect Network Access Manager。如果您需要在混合操作系统环境中进行统一的配置管理，并且希望锁定客户端设置以防止用户误操作，第三方客户端可以为您提供这种控制。像 SecureW2 的 JoinNow 套件这样的工具还可以充当引导代理 - 它们负责配置原生客户端而非替换它，引导用户完成证书注册和配置文件安装。 [medium pause] 下面我通过两个实际场景来具体说明。 第一个场景：一家拥有 400 间客房的酒店。该物业目前使用基于 PEAP-MSCHAPv2 的 WPA2 企业级（WPA2-Enterprise）运行员工网络。IT 团队希望迁移到 EAP-TLS，以消除基于密码的身份验证并降低凭据窃取的风险。挑战在于：员工设备很杂，包括通过 Intune 管理的 Windows 笔记本电脑、用于物业管理软件的个人 Android 手机，以及后台的少量老旧 Windows 7 机器。 这里采用的方法是分阶段进行。首先从托管的 Windows 设备群开始。推送一个 Intune 配置参数文件，用于安装 RADIUS 服务器的根 CA 证书，配置适用于 EAP-TLS 的 WiFi 配置文件，并触发基于 SCEP 的内部 PKI 证书注册。这些设备从第一天起就能自动进行身份验证。对于 Android 自携设备（BYOD），部署一个自助引导门户 - 用户访问特定 URL 下载配置文件，系统就会自动为他们配置好客户端。老旧的 Windows 7 机器则继续使用启用了严格服务器证书验证的 PEAP，并隔离到访问受限的独立 VLAN 中，直至其退役。 [medium pause] 第二个场景：拥有 200 家门店的大型零售连锁企业。每家门店都配有收银终端（POS）、员工平板电脑和宾客 WiFi 网络。PCI-DSS 要求将持卡人数据环境与其他网络段进行隔离。该零售商在员工和 POS 网络上使用 802.1X，并通过证书属性来驱动 VLAN 分配。POS 终端出示组织单位为 "POS" 的设备证书 - RADIUS 策略将其分配到 PCI VLAN。员工平板电脑出示包含 "Staff" 的证书 - 则进入员工 VLAN。宾客设备则连接到完全独立的 SSID，由 Captive Portal 方案进行处理。 POS 终端上的客户端配置通过 MDM 锁定。无需用户交互。终端在开机时静默进行身份验证。证书更新通过 SCEP 自动完成，因此在证书过期时无需人工干预。 [medium pause] 现在，我们来看看实施过程中的常见陷阱。我为您总结了最常见的四个。 第一点：在 PEAP 部署中缺失服务器证书验证。如果您未配置 supplicant 来验证 RADIUS 服务器的证书并检查服务器名称，用户将极易连接到流氓接入点。请始终在 supplicant 配置文件中指定受信任的根 CA 和服务器名称。 第二点：证书过期导致大规模认证失败。客户端证书具有有效期。如果您没有通过 SCEP 或 NDES 建立自动更新，您将面临数百台设备同时停止认证的突发性崩溃事件。请在正式上线前构建自动更新机制。 第三点：BYOD 设备的 supplicant 行为不一致。尤其是 Android 系统，在不同制造商之间的 802.1X 支持非常碎片化。某些版本要求用户在 WiFi 配置文件接受 CA 证书之前，手动安装该证书。一个能处理此步骤的引导式门户可以显著减少服务台的工作量。 第四点：Windows 11 功能更新破坏了 supplicant 配置。Microsoft 在数个 Windows 11 更新中更改了 802.1X 的行为。具体而言，24H2 更新引入了对原生 supplicant 如何处理 EAP-TLS 回退的更改。在推送到生产环境之前，请先针对新的系统版本测试您的 supplicant 配置文件。 [medium pause] 现在进入快速问答环节。 IoT 设备能支持 802.1X 吗？大多数都不支持。IoT 设备通常完全缺少 supplicant。此时的回退方案是 MAC 地址认证绕过 - MAB - 即 RADIUS 服务器根据设备的 MAC 地址进行认证。由于 MAC 地址可以被伪造，因此 MAB 设备应始终划分到具有严格防火墙规则的隔离 IoT VLAN 中。 运行 802.1X 需要 PKI 吗？对于 PEAP，不需要 - 您只需要在 RADIUS 服务器上准备一个服务器证书。对于 EAP-TLS，需要 - 您需要 PKI 来颁发客户端证书。基于云的 PKI 服务可以显著降低基础设施开销。 802.1X 如何与 Purple 的网络准入平台协同工作？Purple 作为云端叠加层运行在您现有的硬件（Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist 等）之上。在员工 WiFi 网络上，Purple 的 SecurePass 插件与您的身份提供商（Microsoft Entra ID, Okta 或 Google Workspace）集成，以实施 802.1X 认证并应用每用户 VLAN 策略，而无需本地 RADIUS 基础设施。 [medium pause] 总结一下：802.1X supplicant 是使基于端口的网络准入控制生效的设备端代理。您对 EAP 方法的选择 - 追求极高安全性的 EAP-TLS，或是作为过渡选项的 PEAP - 决定了您的 PKI 需求和 supplicant 配置方法。当通过 MDM 部署时，原生操作系统 supplicant 可以覆盖绝大多数托管设备场景。第三方客户端在特定情况下能够增值：专有 EAP 方法、需要一致配置的混合操作系统资产，或自助式 BYOD 引导注册。 需要记住的三点：在每个客户端软件配置文件中验证您的 RADIUS 服务器证书，在大规模部署 EAP-TLS 之前实现证书自动更新，以及将不支持 802.1X 的设备（物联网、传统硬件）隔离到具有 MAC 认证绕过作为备用方案的专用 VLAN 中。 有关 Purple 如何与您的网络访问架构集成的更多信息，请访问 purple dot ai。感谢收听。