什么是 PEAP 身份验证？PEAP 如何保障您的 WiFi 安全
您将能够评估 PEAP-MSCHAPv2 是否仍然适合您的员工 WiFi，对其进行配置以使设备拒绝不受信任的 RADIUS 服务器，并规划升级到 EAP-TLS 或 iPSK 的路线。您还将了解为什么访客应当使用独立的强制门户网络，以及 Windows 11 Credential Guard 和云身份识别如何改变这一决策。
Video overview
收听本指南
查看播客转录
核心系列的一部分：企业 WiFi 安全指南 →
EAP-TLS vs PEAP authentication decision tool
Evaluate your directory infrastructure, device ownership mix, and security compliance to determine the optimal 802.1X wireless protocol for your organisation.
Determines credential protocols supported at directory level.
Governs certificate provisioning capability without user intervention.
Sets threshold for password elimination and hardware TPM isolation.
EAP-TLS (Mutual Certificate-Based 802.1X)
Eliminate password-based attacks with cryptographic device certificates.
Evil Twin & MITM resistance
Immune to Evil Twin rogue APs: client and server each prove possession of a private key, so there is no reusable password for a rogue AP to capture.
Helpdesk & credential friction
0% password-related WiFi lockouts. Certificates renew silently in the background via MDM.
Microsoft Entra ID does not support legacy password hashing (NTLM/MSCHAPv2) natively. EAP-TLS with Microsoft Intune Cloud PKI / SCEP and Cloud RADIUS provides the direct native integration path.
Migrate your enterprise WiFi to certificate-based 802.1X
Connect with Purple technical architects to design your zero-trust wireless authentication, integrate Cloud RADIUS with Microsoft Entra ID, and eliminate credential exposure.
PEAP (受保护的可扩展身份验证协议) 是一种 802.1X 方法，用于将密码登录包在加密的 TLS 隧道中。RADIUS 服务器通过证书证明其身份，随后设备发送用户名和密码（通常通过 MSCHAPv2）。PEAP 不需要客户端证书，但其安全性完全取决于每个设备的证书校验能力。
什么是 PEAP？
PEAP 是一种用于 IEEE 802.1X（基于端口的网络访问控制标准）的身份验证方法。802.1X 定义了三种角色：
- 申请者 (Supplicant)： 请求加入网络的笔记本电脑、手机或手持设备。
- 认证者 (Authenticator)： 无线接入点 (AP) 或交换机。
- 身份验证服务器 (Authentication server)： 通常是用于核对凭据的 RADIUS（远程用户拨号认证服务，RFC 2865）服务器。
Cisco、Microsoft 和 RSA Security 共同开发了 PEAP。它从未成为完整的 IETF 标准。Microsoft 将其实现作为 MS-PEAP 协议规范发布。
它有两个版本：
- PEAPv0 承载 EAP-MSCHAPv2，即 Microsoft 挑战握手身份验证协议版本 2 (RFC 2759)。
- PEAPv1 承载 EAP-GTC，这是 Cisco 的一种方法。
当 Windows、macOS、iOS 或 Android 提供“PEAP”选项时，通常特指 PEAP-MSCHAPv2。本指南涵盖的是 PEAP-MSCHAPv2。
为什么 PEAP 对企业 WiFi 至关重要？
PEAP 是从共享密码升级的标准选择。使用 WPA2-Personal 或 WPA3-Personal 时，所有设备都使用同一个预共享密钥 (PSK)。离职人员会一直保留该密钥，直到你在每个接入点和每台设备上对其进行更改。
PEAP 用实名目录账户取代了共享密钥。禁用该账户后，下一次身份验证即可终止其访问权限。RADIUS 记账还会针对具体人员记录每个会话。这构成了满足 PCI-DSS v4.0 要求 10（日志记录）和 GDPR 问责义务所需的人员级审计追踪。
另一个吸引人的地方在于 PEAP 不需要客户端软件，也不需要客户端证书。Windows、macOS、iOS、iPadOS、Android 和 ChromeOS 都内置了申请者组件。这种便利性解释了为什么如此多的员工网络仍在使用 PEAP。但这也是其安全弱点的根源所在。
PEAP 身份验证如何工作？
在身份验证成功之前，认证者会阻止除局域网扩展认证协议 (EAPOL) 帧之外的所有流量。它将这些帧中继到 RADIUS 服务器。随后 PEAP 分两个阶段运行。
阶段 1：服务器证明其身份
RADIUS 服务器出示其证书。设备会根据其信任的根证书颁发机构 (CA) 以及预期的服务器名称来核对该证书。如果两项检查均通过，双方就会建立一个 TLS 隧道。
在此阶段，设备可以发送一个匿名的外部身份，例如 "anonymous@yourdomain"。这可以防止真实的用户名通过无线电波泄露。
阶段 2：隧道内的密码检查
在隧道内部，设备使用真实的用户名和密码运行 MSCHAPv2。RADIUS 服务器根据身份存储库（通常是 Active Directory）对其进行核对。
成功时，服务器会向接入点发送 Access-Accept。Access-Accept 包含生成每会话 WPA2 或 WPA3 加密密钥的密钥材料。服务器还可以返回 VLAN（虚拟局域网，一种逻辑隔离的网络片段）分配，从而将设备放置在正确的网络片段上。
整个安全前提在于安全隧道。MSCHAPv2 本身较为脆弱，因此 PEAP 仅在设备拒绝与不受信任的服务器通信时对其提供保护。
如何安全地配置 PEAP-MSCHAPv2？
您的厂商 RADIUS 和请求方文档涵盖了具体步骤。以下是至关重要的决策：
- 强制执行服务器证书验证。 固定颁发 RADIUS 证书的根 CA。指定预期的服务器名称（CN 或 SAN）。从 Android 11 开始，Google 为新的企业级 WiFi 配置文件删除了“不验证”选项，因此 Android 设备现在必须提供 CA 和域名。
- 通过 MDM 推送配置文件，切勿手动配置。 使用移动设备管理（MDM）工具（如 Microsoft Intune 或 Jamf）或组策略部署锁定的配置文件。自行配置设备的员工往往会接受任何证书警告。
- 将 TLS 1.2 设为最低标准。 RFC 8996 已于 2021 年正式废弃 TLS 1.0 和 1.1。请在 RADIUS 服务器端拒绝这两者。
- 管理证书更新。 当 RADIUS 证书过期时，所有验证该证书的设备都会同时认证失败。请至少提前 30 天更新。保持相同的颁发 CA 和服务器名称，否则固定了证书的设备将拒绝新证书。
- 按 RADIUS 属性划分片段。 根据角色返回 VLAN 分配，使门店手持终端和总公司笔记本电脑永远不会共享同一个片段。
PEAP 与您现有运行的技术相比处于什么位置？
大多数网络会同时运行多种认证方法。下表对比了 PEAP-MSCHAPv2 与您最有可能权衡的其他选项。
| WPA2/WPA3-Personal (PSK) | iPSK | PEAP-MSCHAPv2 | EAP-TLS | |
|---|---|---|---|---|
| 凭据 | 一个共享密钥 | 每人或每台设备拥有唯一密钥 | 目录用户名和密码 | 客户端证书 |
| 是否需要客户端证书 | 否 | 否 | 否 | 是 |
| 是否需要 PKI | 否 | 否 | 仅需服务器证书 | 客户端和服务器均需完整的 PKI |
| 撤销单个用户 | 所有设备重新设码 | 删除单个密钥 | 禁用单个账户 | 撤销单个证书 |
| 伪造接入点风险 | 拥有密钥的任何人都会暴露密钥 | 仅对密钥持有者暴露密钥 | 如果关闭验证，凭据会被捕获 | 无可捕获的可复用信息 |
| 适用于纯云端 Microsoft Entra ID | 不适用 | 是，配合云端 RADIUS | 否 | 是 |
| WPA3-Enterprise 192 位模式 | 否 | 否 | 否 | 是 |
| 适用对象 | 独立小型站点 | 无头设备、居民、BYOD | Active Directory 上的托管设备 | 配合 MDM 的托管设备 |
iPSK（身份预共享密钥）为同一网络名称上的每个人或每台设备提供独立的密钥。部分厂商称之为 PPSK（私有预共享密钥）。
让访客远离 802.1X
PEAP 专为对企业目录进行身份验证的受管设备而设计。它并不是适合访客的工具。在 Active Directory 中创建访客账户会增加管理负担，并让外部人员进入您的身份库。
相反，请通过 Captive Portal 在单独的网络名称和 VLAN 上运行访客网络。Captive Portal 是设备在获取互联网访问权限之前显示的网页。Purple 的 Guest WiFi 作为独立于硬件的云叠加层，运行在您现有的接入点上。这些接入点包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。
Purple 在 90 个国家/地区的 80,000 多个实时场所运行，并拥有 ISO 27001 认证。访客、购物者和 列车 上的乘客均通过自主选择同意加入。WiFi Analytics 随后将这些连接转化为第一方数据，同时保持您的 PEAP 员工网络不受影响。
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。
您应该了解的 PEAP 限制有哪些？
MSCHAPv2 一旦被捕获就会失效
在 2012 年的 DEF CON 20 上，Moxie Marlinspike 和 David Hulton 展示了 MSCHAPv2 交换可以简化为单个 DES 密钥搜索。无论密码强度如何，他们都能破解捕获的交换。随后的 Microsoft 安全建议 2743314 告知各组织，应通过服务器证书验证将 MSCHAPv2 封装在 PEAP 中。
这一实际要点纠正了一个常见的误区。密码复杂度并不能保护被捕获的交换。在每台设备上进行证书验证是您唯一的真正防御手段。
伪造接入点（Rogue AP）
如果设备信任任何证书，攻击者就可以广播您的网络名称并出示假证书。诸如 hostapd-wpe 等免费工具可使这种攻击自动化并捕获 MSCHAPv2 交换。
Windows 11 Credential Guard
从 Windows 11 版本 22H2 开始，Credential Guard 在符合条件的设备上默认启用。Microsoft 的文档指出，它会阻止使用 PEAP-MSCHAPv2 保存的凭据进行单点登录。结果可能导致笔记本电脑停止自动连接。Microsoft 的建议是将 WiFi 迁移到基于证书的方法，例如 EAP-TLS。
云端身份
RADIUS 服务器需要账户的密码哈希来响应 MSCHAPv2 质询。仅限云端的 Microsoft Entra ID、Okta 和 Google Workspace 账户无法提供该哈希。因此，PEAP-MSCHAPv2 会将您绑定到本地 Active Directory。
更强大的加密模式
WPA3-Enterprise 192 位模式强制要求使用 EAP-TLS。PEAP 无法达到该标准。
什么时候 PEAP 仍然是正确的选择？
当满足以下三个条件时，PEAP 仍具备合理性：
- 您的设备处于托管状态。
- 设备的配置文件强制执行证书验证。
- 您的身份依然托管在 Active Directory 中。
两个实际应用场景展示了它的适用之处，第三个场景则展示了它的局限之处。
实际应用场景：拥有 150 家门店的连锁零售企业
情况： 员工手持设备和后勤办公 PC 在 150 家门店中共享一个 PSK。每当有员工离职，就意味着需要对整个资产进行重新设钥。
所做工作： 该连锁企业将员工设备迁移至 PEAP-MSCHAPv2。它通过 MDM 配置文件固定了 RADIUS 根证书颁发机构 (CA)。RADIUS 将门店设备分配至支付隔离的 VLAN。
结果： 吊销离职员工权限的操作，从需要对 150 家门店重新配置密钥简化为只需更新一次目录。现在的每个会话都关联具体命名账户，可向 PCI DSS 评估人员提供按人出具的证据。阅读更多关于 零售 网络的信息。
实际案例：拥有 200 间客房的酒店
情况： 员工和宾客共享同一个网络，且前台工作人员需要手动创建宾客登录信息。
所做工作： 酒店将员工迁移至专用 VLAN 上的 PEAP。宾客则迁移至运行在相同接入点上、具有独立网络名称的 Purple 宾客WiFi。
结果： 目录现在仅保留员工账户。前台工作人员无需再发放宾客登录信息，且宾客数据收集均获得了知情同意。了解此方案在 酒店 场景的应用。
实际案例：公共卫生信托机构
情况： 在推广部署 Windows 11 后，Credential Guard 导致临床笔记本电脑在没有提示的情况下无法重新连接到 PEAP 网络。
所做工作： 该机构通过 Microsoft Intune 颁发客户端证书，并将受管笔记本电脑迁移至 EAP-TLS。PEAP 则继续保留，供数量不断减少的旧设备使用。
结果： 受管笔记本电脑无需提示即可自动重新连接。PEAP 网络现在仅服务于剩余的旧设备。更多关于 医疗卫生 的信息。
接下来您应该做什么？
- 审计验证。 检查每个 PEAP 配置文件是否都固定了根 CA 和服务器名称。在执行其他任何操作之前，先修复所有未固定的配置文件。
- 记录证书过期日期。 至少提前 30 天设置续订提醒。
- 统计您的 Windows 11 设备数量。 Credential Guard 将首先对这些设备产生影响。
- 梳理您的身份源。 如果您正在迁移至 Microsoft Entra ID、Okta 或 Google Workspace，请规划停止使用 MSCHAPv2 的路线。这意味着受管设备应采用 EAP-TLS，无头设备应采用 iPSK。
- 隔离宾客。 将访客迁移至强制门户网络。
Purple 的基于身份的网络将云端 RADIUS 与您的身份提供商相结合，因此入职、调岗和离职员工的网络访问权限会自动同步更新。
常见问题
PEAP 的安全性是否足以满足 PCI DSS 的要求？
是的，配置得当时，PEAP 可以满足 PCI DSS 的要求。PCI DSS v4.0 的要求 4.2.1.2 期望对连接到持卡人数据环境的无线网络上的身份验证使用强加密。仅当每台设备都验证 RADIUS 证书且您强制实施 TLS 1.2 或更高版本时，PEAP 才符合此要求。许多评估人员更倾向于使用 EAP-TLS，因为捕获的 MSCHAPv2 交互可能会被破解。无论采用哪种方式，请始终将支付设备保留在隔离的 VLAN 上。
PEAP 是否兼容 Microsoft Entra ID？
不包含，纯云端 Microsoft Entra ID 账户不支持。MSCHAPv2 需要 Entra ID 不会向 RADIUS 服务器公开的密码哈希，因此 PEAP-MSCHAPv2 依赖于本地 Active Directory。如果您正将身份验证迁移到云端，请使用通过 Microsoft Intune 颁发证书的 EAP-TLS，或将 iPSK 与云 RADIUS 配合使用。Purple 的 Identity-Based Networks 可直接与 Microsoft Entra ID、Okta 和 Google Workspace 集成。
从 PEAP 迁移到 EAP-TLS 需要更换新的无线接入点（AP）吗？
不需要，您现有的无线接入点即可正常工作。EAP 方法运行于设备与 RADIUS 服务器之间，接入点仅起中继帧的作用。任何支持 802.1X 的企业级无线接入点都同时支持这两种方法。这包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。主要工作在于您的 PKI、MDM 配置文件和 RADIUS 策略，而非您的硬件。
运行 PEAP 需要支付费用吗？
该协议本身不收取任何许可费。Windows、macOS、iOS、Android 和 ChromeOS 都免费内置了 PEAP 请求者（supplicant）。您的成本体现在其他方面：RADIUS 服务器、来自公共或内部 CA 的服务器证书，以及用于推送锁定配置文件的 MDM 工具。此外还包括证书续订的运维成本。如果续订过程出错，所有进行验证的设备将同时断开连接。
访客或住户是否应该使用 PEAP 进行连接？
不应该，请勿让访客进入您的 802.1X 目录。向 Active Directory 添加访客账户会增加管理负担，并将外部人员置于您的身份存储库中。酒店客人、顾客和乘客应通过 Captive Portal 连接到单独的网络。多租户大楼的住户则适合使用 iPSK，这能为每个家庭分配专属的密钥。Purple 的 Guest WiFi 可以与您的员工 PEAP 网络在相同的无线接入点上并行运行。
Windows 11 会导致我的 PEAP 网络无法工作吗？
它可能会阻止凭据保存登录。从 Windows 11 版本 22H2 开始，符合条件的设备上会默认开启 Credential Guard。Microsoft 官方文档指出，该功能会阻止 PEAP-MSCHAPv2 使用已保存的凭据进行单点登录。受影响的笔记本电脑可能会提示输入凭据或无法自动连接。Microsoft 建议迁移到基于证书的方法，例如 EAP-TLS。禁用 Credential Guard 则会失去防止凭据窃取的保护。
Purple 能与我现有的 RADIUS 和 PEAP 架构并行运行吗？
可以，Purple 可以作为云端叠加层与您现有的员工网络并行运行。您的 PEAP 网络名称、RADIUS 服务器和 Active Directory 均保持不变。Purple Guest WiFi 会在相同的无线接入点上添加一个独立的访客网络，并提供 Captive Portal 入网引导和 WiFi Analytics。当您准备好让员工淘汰 MSCHAPv2 时，Purple 的云 RADIUS 和 Identity-Based Networks 可直接对接 Microsoft Entra ID、Okta 或 Google Workspace。
关键定义
PEAP
受保护的扩展身份验证协议 (PEAP)，由 Cisco、Microsoft 和 RSA Security 开发的一种 802.1X EAP 方法。它创建一个由服务器证书进行身份验证的 TLS 隧道，然后在内部运行内部方法。它从未成为完整的 IETF 标准；Microsoft 将其实现公布为 MS-PEAP 规范。
大多数员工 WiFi 网络仍运行 PEAP，因为请求方已内置于 Windows、macOS、iOS、Android 和 ChromeOS 中，且无需客户端证书。
IEEE 802.1X
基于端口的网络访问控制的 IEEE 标准。它定义了三种角色：请求方（设备）、身份验证方（接入点或交换机）和身份验证服务器，并在身份验证成功之前阻止除 EAPOL 帧之外的所有流量。
本指南中的每种企业身份验证选择（PEAP 或 EAP-TLS）都在 802.1X 上运行，因此您现有的接入点可以透传任一方法而无需更改。
RADIUS
远程身份验证拨入用户服务 (RADIUS)，定义于 RFC 2865。服务器负责检查凭据，返回带有用于每个会话的 WPA2 或 WPA3 密钥的密钥材料的 Access-Accept，并可以返回诸如 VLAN 分配等属性。
您的 RADIUS 服务器保留有设备必须验证的证书，强制执行 TLS 底线，并记录将每个会话绑定到具体个人的计费数据。
MSCHAPv2
Microsoft 质询握手身份验证协议版本 2，在 RFC 2759 中指定，并在 PEAPv0 内部作为 EAP-MSCHAPv2 传输。在 2012 年的 DEF CON 20 上，捕获的交互被证明可以归结为单个 DES 密钥搜索，无论密码强度如何。
密码复杂度无法保护被抓取的交互数据，因此在每台设备上进行证书验证才是您唯一的真正防御手段。
EAP-TLS
一种通过证书对双方进行身份验证的 EAP 方法，因此不会在空中传输可重复使用的密码。WPA3-Enterprise 192 位模式强制要求使用该方法，并且需要为客户端和服务器建立完整的 PKI。
它是 Microsoft 推荐的 Credential Guard 后的替代方案，也是身份迁移到 Microsoft Entra ID 后受管设备的必经之路。
iPSK
身份预共享密钥，部分厂商也称为 PPSK（私有预共享密钥）。每个人或设备在同一个网络名称上都会获得自己的密钥，因此撤销一个持有者只需删除一个密钥。
它适用于无头设备、多租户建筑中的居民以及 BYOD，并可通过云 RADIUS 与仅限云的 Microsoft Entra ID 配合使用。
匿名外层身份
PEAP 申请者在 TLS 隧道建立之前的阶段 1 中发送的身份，例如 anonymous@yourdomain。真实的用户名仅在阶段 2 的隧道内部发送。
请在您的 MDM 配置文件中进行配置，以防止真实的用户名在空中泄露。
RFC 8996
IETF 于 2021 年正式废弃 TLS 1.0 和 TLS 1.1 的文档。
它是您的 RADIUS 服务器拒绝这两个版本并将 TLS 1.2 设置为 PEAP 隧道最低标准的依据，这也支持 PCI DSS 评估。
Windows 凭据护卫 (Credential Guard)
一项 Windows 安全功能，在 Windows 11 版本 22H2 起的合格设备上默认启用。Microsoft 文档说明它会阻断带有保存凭据的 PEAP-MSCHAPv2 单点登录。
受影响的笔记本电脑可能会提示输入凭据或停止自动连接，从而强制迁移到基于证书的方法。
VLAN
虚拟局域网，即逻辑上隔离的网络片段。RADIUS 服务器可以在其 Access-Accept 中返回 VLAN 分配，以便每个设备都能进入与其角色相符的网段。
使用按角色划分的 VLAN，将支付设备隔离以符合 PCI DSS 要求，并将访客与员工隔离开来。
强制门户
设备在获得互联网访问权限之前显示的网页，用于在独立于 802.1X 的网络上接入访客。
这是连接访客、顾客和乘客的正确方式，既能让他们远离 Active Directory，又能通过自主选择的选择性同意收集第一方数据。
PCI DSS v4.0 标准
支付卡行业数据安全标准。要求 10 涵盖日志记录，要求 4.2.1.2 预期对连接到持卡人数据环境的无线网络上的身份验证使用强加密。
PEAP 只有在每台设备上进行证书验证并使用 TLS 1.2 或更高版本时才能满足该标准，并且许多评估人员更倾向于 EAP-TLS。
应用实例
一家拥有 150 家门店的零售连锁企业在同一个共享 PSK 上运行员工手持设备和后勤 PC。每次有员工离职都意味着需要对整个网络进行重新密钥配置。它应该如何更改员工身份验证？
该连锁企业将其员工设备迁移到了结合其目录服务的 PEAP-MSCHAPv2。它通过固定 RADIUS 根 CA 分发了 MDM 配置文件，因此设备会拒绝任何不受信任的服务器，并且抓取的 MSCHAPv2 交互也不会暴露给伪造的接入点。RADIUS 返回了一个 VLAN 分配，将门店设备放置在支付隔离的分段上。吊销离职员工权限的工作量从对 150 家门店重新配置密钥减少到了仅需修改一次目录。现在，每个会话都通过 RADIUS 计费关联具名账户，从而为 PCI DSS 评估人员提供针对具体个人的审计证据。
一家拥有 200 间客房的酒店将员工和访客置于同一个网络中，且前台工作人员需要手动创建访客登录信息。它应该如何分离这两者？
该酒店将员工迁移到了专用 VLAN 上的 PEAP，以便仅对受管理的员工设备针对目录进行身份验证。访客则迁移到了独立网络名称上的 Purple Guest WiFi，作为运行在相同接入点上的云重叠网络，因此无需添加新硬件。目录现在仅包含员工账户，从而将外部人员从身份存储库中排除。前台工作人员不再需要分发访客登录信息，并且访客数据是通过基于自主选择的同意来收集的。
部署 Windows 11 后，Credential Guard 会阻止公共卫生机构的临床笔记本电脑在无需提示的情况下重新连接到 PEAP 网络。该机构应该怎么做？
从 Windows 11 版本 22H2 开始，Credential Guard 会阻止对 PEAP-MSCHAPv2 使用已保存凭据的单点登录，而禁用它则会消除防止凭据窃取的防护机制。该机构遵循了 Microsoft 的建议。它通过 Microsoft Intune 分发了客户端证书，并将受管理的笔记本电脑迁移到了无需可复用密码的 EAP-TLS。PEAP 仅保留给数量不断减少的旧设备使用。受管理的笔记本电脑现在可以在无需提示的情况下重新连接，并且 PEAP 网络仅服务于剩余的旧设备。
练习题
Q1. 您正在审计一家医院的 WiFi 网络。他们针对员工设备使用 PEAP-MSCHAPv2。在审查过程中，您注意到推送到 iPad 的 MDM 配置文件未勾选“验证服务器证书”。直接风险是什么？
提示：考虑如果攻击者设置了一个广播医院 SSID 的设备会发生什么。
查看标准答案
直接风险是流氓接入点（恶魔双胞胎）攻击。由于 iPad 没有验证服务器证书，它们将尝试与广播正确 SSID 的任何 AP 进行身份验证。攻击者可以拦截 MSCHAPv2 握手并尝试离线破解员工密码，导致凭据泄露。
Q2. 某大学 IT 部门计划将其学生网络从预共享密钥 (PSK) 迁移到 802.1X。他们希望使用 EAP-TLS 以实现最高安全性，但面临来自服务台团队的阻力。在此场景中，为什么 PEAP-MSCHAPv2 可能是更切合实际的选择？
提示：考虑大学环境中的设备所有权模式。
查看标准答案
在大学环境中，设备都是不受管理的（BYOD）。部署 EAP-TLS 需要在每位学生的个人电脑、手机和平板电脑上颁发并安装唯一的客户端证书。这会给帮助台带来巨大的支持负担。而 PEAP-MSCHAPv2 只需要学生输入其现有的大学用户名和密码，使入网配置变得极其简单，同时相比 PSK 仍能提供重大的安全升级。
Q3. 贵组织的 RADIUS 服务器证书将在 14 天后到期。该证书由公共 CA 颁发。您必须采取哪些步骤来确保 PEAP-MSCHAPv2 无线网络不会中断？
提示：思考一下申请者（supplicant）目前被配置为信任什么。
查看标准答案
您必须从公共 CA 获取新证书并将其安装在 RADIUS 服务器上。至关重要的是，您必须审查 MDM 无线配置文件。如果配置文件固定到了具体的旧证书，则必须在旧证书到期前将其更新为信任新证书。如果配置文件仅固定了根 CA，且新证书由相同的根 CA 颁发，则过渡过程应该是无缝的，但仍必须进行测试。
常见问题
PEAP 的安全性足以满足 PCI DSS 的要求吗？
是的，正确配置后，PEAP 可以满足 PCI DSS 要求。PCI DSS v4.0 的要求 4.2.1.2 希望对连接到持卡人数据环境的无线网络上的身份验证使用强加密。PEAP 只有在每台设备都验证 RADIUS 证书且强制使用 TLS 1.2 或更高版本时才满足此要求。许多评估人员更倾向于使用 EAP-TLS，因为捕获到的 MSCHAPv2 交换可能会被破解。无论哪种方式，请保持支付设备处于隔离的 VLAN 中。
PEAP 是否适用于 Microsoft Entra ID？
不，对于仅限云端的 Microsoft Entra ID 账户不行。MSCHAPv2 需要 Entra ID 不会公开给 RADIUS 服务器的密码哈希，因此 PEAP-MSCHAPv2 依赖于本地 Active Directory。如果您正在将身份迁移到云端，请使用带有通过 Microsoft Intune 颁发的证书的 EAP-TLS，或者使用带有云 RADIUS 的 iPSK。Purple 的基于身份的网络可以直接与 Microsoft Entra ID、Okta 和 Google Workspace 集成。
从 PEAP 迁移到 EAP-TLS 需要更换新的接入点吗？
不需要，您现有的无线接入点即可正常工作。EAP 方法在设备与 RADIUS 服务器之间运行，接入点仅负责转发数据帧。任何支持 802.1X 的企业级接入点均能处理这两种方法。这包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 以及 Fortinet。相关配置工作主要集中在您的 PKI、MDM 配置文件和 RADIUS 策略中，而非硬件本身。
运行 PEAP 需要支付费用吗？
该协议本身不收取许可费用。Windows、macOS、iOS、Android 和 ChromeOS 均免费内置 PEAP 客户端。您的成本体现在其他方面：RADIUS 服务器、来自公共或内部 CA 的服务器证书，以及用于推送锁定配置文件的 MDM 工具。此外还包含证书更新的运维成本。如果证书更新出现问题，所有需验证的设备将同时断开连接。
访客或住户是否应该使用 PEAP 进行连接？
不需要，应避免将访客接入您的 802.1X 目录。向 Active Directory 中添加访客账号会增加管理负担，并将外部人员置于您的身份库中。酒店住客、购物者和旅客应通过 Captive Portal 加入独立的网络。多租户大楼的住户则适合使用 iPSK，它能为每个家庭提供独立的密钥。Purple 的 Guest WiFi 可以与员工 PEAP 网络共同运行在同一批接入点上。
Windows 11 会导致我的 PEAP 网络无法工作吗？
可能会导致无法使用保存的凭据进行登录。从 Windows 11 版本 22H2 开始，符合条件的设备默认开启 Credential Guard。Microsoft 官方文档指出，该功能会阻止 PEAP-MSCHAPv2 使用保存的凭据进行单点登录。受影响的笔记本电脑可能会提示输入凭据或无法自动连接。Microsoft 建议迁移至基于证书的方法，例如 EAP-TLS。禁用 Credential Guard 则会削弱防御凭据盗窃的安全防护。
Purple 能与我现有的 RADIUS 和 PEAP 架构并行运行吗？
可以，Purple 能够作为云端叠加层与您现有的员工网络并行运行。您的 PEAP 网络名称、RADIUS 服务器和 Active Directory 均可保持现状。Purple Guest WiFi 会在同一接入点上添加一个独立的访客网络，提供 Captive Portal 接入引导和 WiFi Analytics 功能。当您准备好将员工网络从 MSCHAPv2 迁移时，Purple 的云端 RADIUS 和基于身份的网络可直接无缝对接 Microsoft Entra ID、Okta 或 Google Workspace。
来源
- RFC 2865: Remote Authentication Dial In User Service (RADIUS)
- RFC 2759: Microsoft PPP CHAP Extensions, Version 2
- RFC 8996: Deprecating TLS 1.0 and TLS 1.1
- Microsoft [MS-PEAP]: Protected Extensible Authentication Protocol
- Microsoft Security Advisory 2743314
- Microsoft Learn: Credential Guard overview
- PCI Security Standards Council document library (PCI DSS v4.0)
继续阅读本系列
用于 WiFi 的 Microsoft Cloud PKI：结合 Intune 和 Entra ID 的 EAP-TLS 证书部署
您将能够评估并决定 Microsoft Cloud PKI、Cloud PKI 根或自带 CA (BYOCA) 是否适合您的环境。随后，您可以向 Intune 管理的设备部署 EAP-TLS WiFi 证书，无需使用 NDES。本指南还涵盖了让 RADIUS 信任证书链、通过 CRL 吊销证书以及解决 8 种最常见故障的方法。
在 Juniper Mist 上配置结合云 RADIUS 的 802.1X
您将学会在 Juniper Mist 上配置采用云 RADIUS 进行身份验证的 WPA2 或 WPA3-Enterprise WLAN，在 UDP RADIUS、RadSec 和 Mist Edge 代理之间做出合适选择，并将 RADIUS 属性映射到动态 VLAN。您还将了解 Mist 的客户端分析时间线和 Marvis 如何准确定位身份验证失败的环节。
iOS 和 macOS 802.1X 故障排查：Intune、Jamf 和 Microsoft Entra ID 部署清单
使用此清单诊断 iPhone、iPad 和 Mac 在 Intune 或 Jamf Pro 上无法通过 802.1X 验证的原因。每次失败都可归结为以下四个原因之一：服务器信任、身份证书、macOS 模式或 Microsoft Entra ID 组范围。您将通过 eapolclient 和 RADIUS 日志确认原因，应用修复程序并安排未来的证书轮换。
对您的具体配置有疑问吗？
我们的团队与 80,000 多个场所的运营方、IT 经理和网络工程师保持合作。预约 20 分钟的通话，我们将为您展示同行是如何解决类似问题的。