將 RADIUS 伺服器遷移到雲端，本身並不等於完整的 WiFi 安全策略。普遍建議以代管端點取代 FreeRADIUS 或 Windows NPS，卻忽略了更棘手的核心問題：誰的身分掌控存取權限、離職員工如何失去存取權，以及當場域無法連線至服務時會發生什麼事。
RADIUS as a Service 最有價值之處在於作為身分治理控制機制，而不僅僅是更換伺服器。對英國的場域與企業而言，理想的架構設計通常會結合與目錄連動的員工驗證，以及為無法使用現代企業驗證的裝置提供專屬金鑰。僅採用憑證的切換策略未必是最好的選擇。
RADIUS as a Service 為 WiFi 帶來哪些改變
RADIUS as a Service 是一個代管式的驗證、授權與計帳 (AAA) 控制平面。您的無線基地台 (AP) 或 WLAN 控制器依然是執行點。代管服務負責決定是否允許使用者或裝置接入，並傳回要套用的網路原則。
在地部署、雲端與聯邦 RADIUS 比較
| 模式 | AAA 營運負責方 | 身分來源 | 容錯移轉與擴充性 | 最合適的應用場景 |
|---|---|---|---|---|
| 在地部署 FreeRADIUS 或 Windows NPS | 由您的團隊負責服務修補與監控 | 地區目錄或透過伺服器連接的身分提供者 (IdP) | 您需要維護修補、建立叢集並監控每個執行個體，隨後再設定新增場域 | 具備內部 RADIUS 技術能力的單一場域 |
| 雲端 RADIUS as a Service | 由服務供應商負責代管服務的修補與監控 | Entra ID、Okta、Google Workspace 或其他受支援的身分提供者 | 享有供應商的端點與 SLA 保障，無需新增驗證伺服器即可擴充新場域 | 沒有專屬 RADIUS 團隊的多場域企業 |
| 聯邦 RADIUS 代理 | 共享代理營運商以及原屬機構的身分提供者 | 原屬機構的身分憑證 | 國家級或共享代理基礎架構連結各參與場域 | 跨獨立營運場域的漫遊使用者 |
僅僅遷移伺服器並不能建立零信任 (Zero Trust)。安全性依然取決於唯一的識別身分、即時的權限撤銷機制，以及當驗證無法使用時存取權限應「故障開放 (fail-open)」還是「故障關閉 (fail-closed)」的書面規範。
共用的 WiFi 密碼無法可靠地辨識個人身分。您也無法在不更改其他人密碼的情況下，單獨撤銷離職員工的權限。此外，將訪客與員工系統隔離開來需要依靠網路原則，而非僅靠不同的密碼。
將營運模式與存取原則拆開
雲端代管改變了維護驗證基礎架構的人。在 Purple，我們營運雲端 RADIUS 來取代 FreeRADIUS 或 Windows NPS，讓您的團隊無需在地部署維護修補或容錯移轉的驗證伺服器。您的團隊依然掌握存取規則、目錄群組與區域網路架構設計。
聯邦機制解決的是另一個問題：允許使用者在獨立管理的場所進行驗證。根據 Jisc 的 eduroam 管理簡報，英國的服務於 2006 年 5 月 2 日推出，將訪客的驗證重定向至其原屬機構，而非要求被造訪場域建立區域訪客帳號。這是委派身分管理，而不僅僅是遠端伺服器代管。
實用原則：勾選目前符合身分所有權的模式，再決定是否需要變更該所有權。
驗證也無法解決無線電訊號覆蓋不良、網路壅塞或網速過慢的問題。Madeira Remote 關於 改善 WiFi 以實現更順暢視訊通話 的指南，是將「連線品質最佳化」與「存取控制」分開處理的有用參考。修復網路接入驗證並無法修復過載的無線頻道。
因此，這項決策既是技術層面，也是營運層面。您可以外包伺服器維護，同時保留精確控制「誰能進入哪個網路」的責任。
雲端 RADIUS 如何判定存取權限
託管的筆記型電腦連線至設定為 WPA2-Enterprise 或 WPA3-Enterprise 的 SSID。它不會要求輸入大樓共用的密碼，而是透過無線基地台 (AP) 展開可擴充驗證協定 (EAP) 數據交換。
無線基地台或控制器將該交換過程封裝為 RADIUS Access-Request (存取請求) 並傳送至代管服務。在服務收集到足夠資訊做出決定之前，EAP 可能需要進行多次互動。
測試獨立的 AAA 功能
英國政府的 FreeRADIUS 架構文件 將該服務描述為驗證 (Authentication)、授權 (Authorisation) 與計帳 (Accounting)。請將這些視為獨立的驗收測試項目，而非成功登入的同義詞。
- 驗證確立身分：服務根據設定的方法評估憑證或數位憑證。Access-Challenge 繼續交換程序，Access-Reject 拒絕接入，Access-Accept 則允許接入。
- 授權指派權限：回應中可包含 VLAN、角色、存取控制清單 (ACL) 或連線階段限制。控制器必須能解析並執行這些屬性。
- 計帳記錄連線階段：收集連線開始、中間更新與結束紀錄，並包含穩定的身分與裝置識別碼、時間戳記與連線階段識別碼。
收到 Access-Accept 並不代表網路隔離已成功運作。假設外包商成功通過驗證，卻因為控制器忽略了角色屬性而進入員工 VLAN。此時驗證雖然成功，但存取架構設計卻失敗了。
同樣地，服務商儀表板上的驗證結果並不能取代連線階段計帳。資安調查人員需要將身分與裝置、場域和連線階段進行關聯，包含存取開始與結束的時間點。
針對無法連線的端點進行設計
設定備援服務端點、健康狀態監控以及有限度的重試計時器 (bounded retry timers)。無止境的重試會導致用戶端卡住，同時增加診斷難度。我們的雲端 RADIUS 具備多區域容錯移轉機制，提供 99.9% 正常運作時間 SLA 保障，但場域本身的連線能力與控制器行為仍需要獨立測試。
在正式上線前制定好斷線應變規則。故障開放 (Fail-open) 行為可能會在未經預期檢查的情況下放行裝置，進而造成不受限的存取風險；故障關閉 (Fail-closed) 行為則會拒絕新接入，這能保護邊界安全，但可能會中斷刷卡機或其他營運設備的運作。
切勿假設現有的連線階段與新的連線在斷線期間會有相同的行為。請分別測試初始驗證、重新驗證與端點復原狀況，並取得書面的可用性承諾與容錯移轉架構設計。
以可觀察的證據完成概念驗證 (Pilot)：
- 已接受的連線階段：用戶端順利到達預期的 VLAN，且僅能存取獲允許的服務。
- 已停用的身分：新的驗證嘗試會收到 Reject (拒絕)。
- 可搜尋的計帳紀錄：管理者事後能搜尋到產生的連線階段紀錄。
代管服務必須證明的資安控制機制
根據 Consultancy.uk 關於零信任的討論，在 2024 年，50% 的英國企業在過去 12 個月中遭遇過網路安全入侵或攻擊，而在中大型企業中該比例更超過 70%。單靠代管登入服務本身並無法解決此類資安風險。
零信任意味著必須對每次存取進行驗證與授權，而非僅因裝置連接到了企業 SSID 就予以信任。如果雲端服務採用共用憑證、缺乏裝置檢查或給予過寬的權限，依然可能導致安全政策薄弱。
在每個邊界要求提供憑證與證據
從憑證開始，進而檢視傳輸、管理與執行層面。每一個環節都有不同的失效模式 (failure mode)。
- 具名身分：使用個人帳號或裝置身分，並透過目錄自動導向進行權限移除，而非手動維護存取清單。
- 強大的用戶端驗證：託管端點優先採用基於憑證的裝置驗證。在支援的環境下使用防釣魚方法，並在管理介面與適當的登錄流程中強制執行 MFA (多因素驗證)。
- 受保護的傳輸：使用適當的加密傳輸（如 RadSec 或安全隧道）保護控制器至服務之間的通訊路徑。單靠 RADIUS 共用密鑰 (shared secret) 並無法加密整個數據交換過程。
- 權限分離管理：將特權管理者身分與日常帳號分開，並保留原則變更的稽核軌跡。
- 最小權限角色：僅向員工、外包商、醫療設備與大樓管理系統授予其所需的存取權限。
請勿假設雲端目錄基於瀏覽器的 MFA 提示能出現在每次 EAP 交換過程中。所選的 EAP 方法、用戶端軟體與身分整合機制必須能支援預期的驗證流程。
同步檢視無線與營運層面的控制機制
設定企業級無線安全，包含伺服器憑證驗證、雙向驗證 (mutual authentication) 與加密資料封包。在支援且符合所選 WPA 模式的前提下，強制要求啟用受保護的管理封包 (Protected Management Frames, PMF)，而非僅憑「企業級」標籤就認定所有防護皆已開啟。
對於更廣泛的政策設計，我們的 企業 WiFi 安全指南 提供了極具參考價值的補充。我們的員工 WiFi 能提供企業級安全防護，且無需複雜的 NAC 系統，但管理者仍需明確定義存取邊界並監控其運作。
即使驗證已移至雲端代管，實體基礎架構依然重要。ABCO Security Services Australia 關於 強化資料中心安全 的指引，為保護支援網路服務的實體設施提供了補充參考。
有效的憑證不代表該裝置有權存取大樓內的所有網路資源。
為重複拒絕警報、異常權限變更與可疑的管理活動指定負責人。只有當有人能解讀記錄並採取行動時，日誌 (Logs) 才能發揮作用。
連接目錄庫，無需建置第二套使用者資料庫
權威身分目錄庫應始終是管理在職狀態與群組成員資格的核心。無論使用的是 Entra ID、Okta 還是 Google Workspace，代管 RADIUS 整合都應將身分轉換為網路權限，而非建立另一個脫節的密碼資料庫。
整合方式至關重要。連接器可以同步群組、透過受支援的機制驗證憑證，或是將數位憑證與目錄身分進行關聯。請勿假設每個雲端目錄都提供相同的密碼驗證介面。
追蹤入職、調職與離職 (JML) 流程
以一名加入設施管理團隊的新員工為例：當其目錄成員資格設定無誤且裝置已註冊後，服務應自動指派設施網路角色，無需管理者另外建立單獨的 WiFi 帳號。
當該員工調職至財務部門時，目錄的變更應在下一次套用政策時，更新為相應的 VLAN 或 ACL。成功的設計無需手動修改個別控制器，但必須明確指定何時重新整理快取的成員資格與現有連線階段。
對於離職員工，停用其目錄帳號應在約定的時間窗口內阻斷隨後的驗證嘗試。在控制器支援且整合機制觸發的前提下，授權變更 (Change of Authorisation, CoA) 可以中斷或變更即時連線階段。基於憑證的部署同樣需要明確的憑證撤銷或身分狀態檢查流程。
驗收條件：明確規定目錄變更同步至新驗證與活動中連線階段的時間要求。應進行實際測試，而非盲目接受廠商標榜的「自動」更新。
英國 NCSC 的身分與存取控制原則 強調在授予存取權限前，必須對使用者、裝置與系統進行驗證與授權。應用於 WiFi 時，這使得生命週期管理成為一項硬性的資安需求，而非僅是入職手續的便利功能。
確認整合邊界
CoA、動態角色與圍牆花園 (Walled-garden) 行為皆依賴場域控制器。在 Meraki、Aruba、Ruckus、Mist 與 UniFi 等設備環境中，請確認具體的型號、韌體版本與功能支援度，而非僅憑品牌名稱作判斷。
託管筆記型電腦可以使用 EAP-TLS 或其他受支援的免密碼企業級驗證方式。訪客則無需經歷相同的託管裝置憑證流程。SSO (單點登入) 適用於管理主控台與合適的員工開通流程，但無法取代無線傳輸鏈路上的 802.1X。
對於以 Entra 為主的部署，可參考我們的 Entra ID 整合總覽 以規劃身分需求。隨後進行小規模生命週期測試：
- 新進員工 (Joiner)：開通正確的新員工必須能順利連線。
- 調職員工 (Mover)：群組變更必須產生預期的網路角色。
- 離職員工 (Leaver)：在記錄測試時間點停用的帳號，必須在約定的撤銷視窗期內驗證失敗。
訪客、員工與多租戶存取模式
在一棟大樓中存在著具有不同信任邊界的使用者群體。飯店訪客、員工筆電與租戶的電視，不該只因為使用相同的無線基地台 (AP) 就套用相同的存取原則。
在選擇登錄畫面前，請先確定該群體對應的存取模式。驗證方法必須適用於該裝置，同時網路必須防止未授權使用者存取無關的系統。
使用者群體存取模式
| 使用者群體 | 驗證方式 | 隔離機制 | 存取終止方式 |
|---|---|---|---|
| 訪客 | 電子郵件或一次性身分驗證；在使用企業級或 Passpoint 時提供加密 | 訪客角色或 VLAN，無路由連至員工網路 | 連線階段到期或 Portal (入口網站) 原則 |
| 員工與託管裝置 | 透過 EAP 的目錄身分驗證，通常為憑證或免密碼企業驗證 | 依目錄群組指派的角色、VLAN 或 ACL | 目錄帳號停用，若控制器支援則加上 CoA |
| 外包商/承包商 | 具時間限制的目錄群組 | 受限角色，而非完整的員工 VLAN | 群組到期或工單結束 |
| 舊型與 IoT 裝置 | 專屬 PSK 或其他嚴格限制範圍的憑證 | 獨立網段，除了明文允許的服務外無橫向連線路徑 | 金鑰輪替或解除與擁有者的綁定 |
| 多租戶住戶 | 每人或每戶個人專屬 PSK | 與其他租戶隔離的私人網路 | 搬出時撤銷金鑰 |
將便捷的開通流程與寬鬆的存取權限分開
訪客需要低門檻的開通流程，通常透過電子郵件進行身分驗證。然而，驗證畫面 (Splash page) 本身並不會對無線連線進行加密。在支援的情況下請選擇加密存取方式，切勿將完成入口網站驗證視為存取內部系統的授權。
員工需要與身分目錄庫連動的企業級驗證。外包商則需要設置到期日與更為受限的角色，即使他們與員工同桌辦公亦然。應由營運專案負責人承擔延長外包商權限的責任，而非讓帳號無限期保持啟用。
住宅與商業租戶有另一項需求：其個人裝置必須能互相連線，且不會暴露給鄰居。我們的 多租戶 WiFi 指南 詳細探討了這種私人網路架構模式。
為受限裝置使用專屬金鑰
印表機、電視、遊戲機與掃描器可能無法支援要求的 EAP 方法。專屬預共享金鑰 (unique pre-shared key)（通常稱為 iPSK 或 xPSK）可讓您將存取權限與個人、住戶或裝置關聯，而無需恢復大樓共用密碼。
單靠金鑰本身並無法達成隔離。控制器與網路必須將其映射至預期的私人網段，並強制執行獲允許的連線路徑。應將憑證視為可轉讓的項目，記錄其擁有者，並在擁有權終止時進行撤銷。
我們在單一雲端平台上提供訪客 WiFi、員工 802.1X 安全驗證與 xPSK 私人區域網路 (PAN)。我們的 xPSK 和多租戶 WiFi 能為每位住戶、租戶或裝置提供具備租戶隔離功能的專屬金鑰，包括為不支援瀏覽器的遊戲機和電視提供私人連線能力。
對於住宅物業營運商而言，應將數位搬出流程與實體存取權限的撤銷同步進行。Nimbio 關於 多戶型社區大門存取控制 的說明，是思考住戶憑證所有權的良好類比。前住戶的大門通行權與網路金鑰在離去後均不應繼續維持啟用狀態。
如何在無共用密碼備援的情況下順利遷移
在廢除舊有架構前，遷移過程應證明每個裝置群體皆能安全連線。常見的營運失誤是將每一個例外狀況都當作保留全大樓緊急密碼的藉口。
審慎規劃的需求不僅限於 WiFi：《Cyber Magazine》對 Hiscox 調查的報導指出，三分之二受訪企業計劃在 2030 年前部署零信任架構。這項數據代表的是未來意向，而非現有網路已符合該模式的證明。
依受控順序執行切換
- 將用戶端分類：將支援 802.1X 的員工端點、無瀏覽器或舊型設備以及訪客予以分流。記錄裝置擁有權與營運關鍵程度。
- 驗證控制器功能：確認支援企業驗證、動態 VLAN 或角色、CoA 以及任何所需的圍牆花園。請檢查已安裝的韌體版本，而非僅看產品系列。
- 在選定場域測試限定的 SSID：將其連接至目錄庫並記錄故障關閉 (fail-closed) 的行為。測試應包含具代表性的營運設備，而非僅使用 IT 測試筆電。
- 開通託管員工裝置：使用數位憑證或受支援的免密碼企業驗證方式。我們的員工 WiFi 可直接運作於現有無線基地台，客戶無需自行建置 PKI。
- 為受限裝置提供特化憑證：適當地為印表機、醫療設備與 IoT 裝置核發專屬 PSK。僅允許存取其必要的目的地。
- 將訪客維持在獨立原則下：測試並驗證訪客裝置無法存取員工資源，即使開通與驗證共用同一管理平台亦然。
- 演練斷線復原路徑：分別中斷身分提供者 (IdP) 存取與場域網際網路連線。證明可在不發放公用密碼的情況下實現復原。
- 漸進式切換：審視每個場域的計帳紀錄、網路隔離與用戶端行為。在約定的驗驗通過後，廢除舊有的共用密碼。
明確掌握不宜遷移的情形
實體隔離 (Air-gapped) 的場域無法依賴雲端控制平面。若控制器無法處理所需的 RADIUS 屬性，即使基本驗證可行，也可能無法落實預期的架構設計。
若內部要求將驗證中繼資料保留於英國境內，必須透過有文件記載的處理地點與分包商合約安排來落實。僅憑服務提供者在英國設有辦公室並不符合規範。記錄保存、管理存取權限與復原機制安排亦應包含在採購核准流程中。
我們的服務以雲端覆蓋層 (Cloud overlay) 方式運作於現有無線基地台上，因此無需淘汰並替換既有設備。我們的 xPSK 和多租戶 WiFi 支援 Meraki、Aruba、Ruckus 與 UniFi 硬體（視架構設計所需的控制器功能而定）。
混合使用企業級驗證與專屬金鑰可解決用戶端相容性問題，但未必能解決對雲端斷線的依賴。當在地獨立運作至關重要時，請保留適當的在地驗證架構或維持在地部署。切勿將未解決的復原韌性需求包裝成例外密碼。
評估雲端 RADIUS 是否適合您的企業環境
當有多個場域需要一致的以身分為導向的存取控制，且您的團隊不想維護驗證伺服器時，請選擇雲端 RADIUS。最有力的理由在於營運面：目錄變更應能直接掌控網路存取，而無需產生額外的帳號管理工作負擔。
若您的團隊已能良好營運具高韌性的 RADIUS、代管服務與資料處理法規衝突，或控制器無法執行擬定的原則，請保持在地部署 (on-premises)。移除伺服器卻削弱在地可用性的遷移並非進步。
依據設備盤點結果做出決策
當託管的員工端點支援 802.1X，但大樓內同時包含電視、印表機、掃描器或醫療設備等需要特化金鑰的裝置時，請選擇混合存取模式。目標是為每個群體提供適當的防護保障，而非讓所有裝置使用相同的憑證。
建立包含以下項目的資產盤點清單：
- 無線設備：SSID、控制器廠商、型號與韌體版本。
- 身分所有權：權威身分目錄庫、群組擁有者與離職流程。
- 用戶端能力：哪些裝置可以使用數位憑證，哪些不行。
- 營運依賴性：連線中斷期間必須保持可用的系統。
比較書面承諾，而非僅看展示演示
向每一家候選服務商提出相同的問題：在多場域故障期間可用性承諾涵蓋哪些範圍？日誌保存多久？驗證中繼資料在哪裡處理？哪些分包商可以存取這些資料？以及復原機制如何避免回退至共用密碼模式？
當您的環境符合訪客、員工與多租戶模式時，請將 Purple 列入評選名單。自 2012 年以來，我們已為零售商、醫療機構、體育場館、交通樞紐與智慧城市中心提供服務。我們的員工 WiFi 定價未對外公開，歡迎聯繫我們取得基於您要遷移的設備規模所量身打造的報價。
您的下一步是制定以資產盤點為基礎的驗收計畫。精彩的展示演示永遠無法替代讓您的控制器、您的目錄庫以及您的棘手裝置通過實際驗收測試。
Purple 提供用於員工驗證的代管 RADIUS 服務，同時支援訪客 WiFi 與隔離的多租戶存取。歡迎攜帶您的控制器資產清單、身分提供者需求與舊型裝置清單造訪 Purple，與我們討論符合您環境需求的部署方案與定價。
