如何使用 EAP-TLS 在 Android 裝置上設定企業級 WiFi

如何在 Android 裝置上使用 EAP-TLS 設定企業級 WiFi Purple 技術簡報 - 約 10 分鐘 --- 簡介與背景資訊 - 約 1 分鐘 歡迎來到 Purple 技術簡報系列。我是你們的主持人，今天我們將深入探討在 Android 裝置上部署 802.1X EAP-TLS 驗證的具體細節 - 無論您是管理酒店物業、零售連鎖店、體育場館還是公共部門校區。 如果您負責管理的網路需要對企業或 BYOD Android 裝置進行驗證，而又不希望依賴共享密碼，那麼本期內容正適合您。EAP-TLS 是企業級 WiFi 安全的黃金標準 - 它使用基於憑證的雙向驗證，這意味著沒有可被網路釣魚的憑證、無需定期更換密碼，且其合規性表現能滿足 PCI-DSS、ISO 27001 以及大多數公共部門的安全框架要求。 在本簡報結束時，您將完全了解 EAP-TLS 在 Android 上的運作方式、您的部署選擇有哪些，以及導致部署失敗的三個最常見錯誤。讓我們開始吧。 --- 技術深度解析 - 約 5 分鐘 讓我們從架構開始。802.1X 是管理基於連接埠之網路存取控制的 IEEE 標準。當 Android 裝置連線到企業級 WiFi 網路（配置為 WPA2-Enterprise 或 WPA3-Enterprise 的網路）時，無線基地台（AP）會扮演所謂的驗證者（authenticator）。它本身不做出驗證決策，而是將裝置與 RADIUS 伺服器（即實際的驗證伺服器）之間的對話進行傳遞。 EAP-TLS（即傳輸層安全可延伸驗證通訊協定）是在該 802.1X 框架內執行的驗證方法。它與在 TLS 通道內使用使用者名稱和密碼的 EAP-PEAP 或 EAP-TTLS 不同，其核心在於 EAP-TLS 在雙邊都使用 X.509 憑證。RADIUS 伺服器會向裝置出示伺服器憑證，而裝置也會向 RADIUS 伺服器回傳用戶端憑證。雙方互相驗證。這就是雙向驗證，也是 EAP-TLS 成為目前最安全選擇的原因。 現在，特別針對 Android，有幾件事您需要了解。Android 11 及更高版本引入了更嚴格的憑證驗證要求。如果您在 Android 11 或以上版本（目前這佔了您絕大多數的設備）上進行部署，除非 RADIUS 伺服器憑證被明確信任，否則裝置將拒絕連線。您不能單純依賴系統信任憑證清單，您必須將根 CA 憑證推送到裝置上，或者設定 WiFi 設定檔以明確參照該憑證。讓我們來談談憑證鏈。在單一 Android 裝置可以透過 EAP-TLS 進行驗證之前，您需要準備好三個元件。首先是憑證授權單位（Certificate Authority） - 無論是您的內部 PKI、Microsoft Active Directory 憑證服務，還是像透過 Intune 的 SCEP 這種雲端 PKI。其次是發行給您的 RADIUS 伺服器並由該 CA 簽署的伺服器憑證。第三是發行給每個裝置或使用者的唯一用戶端憑證，同樣由同一個 CA 簽署。裝置在 TLS 交握期間出示其用戶端憑證，而 RADIUS 伺服器會根據 CA 的憑證撤銷清單（CRL）或透過 OCSP（線上憑證狀態協定）來驗證該憑證。 對於 Android 而言，用戶端憑證和私鑰通常會封裝為 PKCS12 檔案 - 即 .p12 或 .pfx 檔案 - 其中包含憑證和加密的私鑰。在手動配置的裝置上，使用者需透過「設定」、「安全性」、「安裝憑證」來匯入此檔案。而在 MDM 管理的裝置上，憑證會以靜默方式推送到裝置的託管金鑰庫中 - 無需任何使用者互動。 現在讓我們來談談 WiFi 設定檔本身。在 Android 上配置企業級 WiFi 連線時，您需要指定：SSID、安全性類型（WPA2-Enterprise 或 WPA3-Enterprise）、EAP 方法（即 TLS）、用於伺服器驗證的 CA 憑證、用於裝置驗證的用戶端憑證，以及識別字串（通常是裝置的通用名稱（CN）或使用者的 UPN）。在 Android 11 及以上版本中，您還需要指定網域尾碼比對或伺服器憑證主旨，以防止中間人攻擊。 對於 MDM 部署 - 這也是真正實現規模化的地方 - 您會將所有這些內容作為結構化的組態設定檔進行推送。在 Microsoft Intune 中，您建立一個 SCEP 憑證設定檔，該設定檔會自動在每台已註冊的 Android 裝置上要求並安裝唯一的用戶端憑證。接著，您建立一個參照該憑證設定檔的 WiFi 組態設定檔。當裝置簽入時，它會同時收到憑證和 WiFi 設定檔，並自動連線到您的 802.1X 網路。無需使用者互動，也不會產生支援通話。如果您正在使用 Intune 進行此操作，我們關於如何使用 Microsoft Intune 將 WiFi 憑證推送到裝置的指南將引導您完成確切的配置步驟 - 建議您在閱讀本簡報時一併閱讀該指南。 對於 VMware Workspace ONE 和 Jamf Connect，其程序在架構上是完全相同的 - 先是 SCEP 或 PKCS 憑證設定檔，接著是參照該設定檔的 WiFi 設定檔。特定的 UI 有所不同，但憑證鏈和 RADIUS 配置要求是相同的。 在 RADIUS 方面，有一點非常值得注意：如果您正在運行 FreeRADIUS、Microsoft NPS 或 Cisco ISE，請確保您的伺服器憑證包含正確的擴充金鑰用途屬性 - 特別是伺服器驗證（OID 1.3.6.1.5.5.7.3.1）。Android 對此要求非常嚴格。如果遺失或設定錯誤 EKU，在 Windows 用戶端上運作正常的憑證可能會在 Android 上發生失敗。 --- 導入建議與常見陷阱 - 約 2 分鐘 好，我們來談談在實際部署中到底會出現什麼問題，因為這正是大多數部署遇到麻煩的地方。 第一個也是最常見的失敗是憑證信任。如果無法驗證 RADIUS 伺服器的憑證鏈，Android 11 及以上版本將無法連接。解決方法很簡單：透過 MDM 將您的根 CA 憑證推送到裝置的使用者憑證儲存區，並在 WiFi 設定檔的 CA 憑證欄位中明確引用它。不要將其保留為「不驗證」 - 這是一個安全漏洞，且在某些 Android 版本上無論如何都會失敗。 第二個陷阱是憑證過期。用戶端憑證通常有一到兩年的有效期。如果您沒有透過 SCEP 或 NDES 建立自動更新機制，您將在某天早上醒來時發現，您有一半的裝置同時失去了 WiFi 存取權限。從第一天起就將憑證更新自動化建置到您的 MDM 工作流程中，而不是事後才想辦法補救。 第三個問題是 RADIUS 伺服器容量。由於需要進行完整的雙向憑證交換，EAP-TLS 交握在運算上比 PEAP 交握更耗費資源。在有數千個同時驗證的體育場或會議中心，規格不足的 RADIUS 伺服器將會成為瓶頸。請針對尖峰同時驗證量來規劃您的 RADIUS 基礎架構規模，而不是針對平均負載。 最後，在 Android 方面，請注意不同的製造商（例如 Samsung、Google、Xiaomi）對 WiFi 設定 API 的實作略有不同。在大規模部署之前，請先在您資產中各製造商的代表性裝置上測試您透過 MDM 推送的設定檔。特別是 Samsung 裝置，在歷史上一直需要明確設定識別身分欄位，即使該欄位可以從憑證中推導出來也是如此。 --- 快速問答 - 約 1 分鐘 以下是我經常被問到的幾個快速問題。 我可以將 EAP-TLS 用於 BYOD 裝置嗎？可以，但這需要使用者在其個人裝置上安裝用戶端憑證。對於大規模的 BYOD，請考慮採用 PAP 的 EAP-TTLS 或 PEAP-MSCHAPv2 是否是更實際的折衷方案，而將 EAP-TLS 保留給企業擁有的裝置。 EAP-TLS 可以與 WPA3-Enterprise 搭配使用嗎？可以，而且支援 192 位元模式的 WPA3-Enterprise 實際上強制要求使用 EAP-TLS。如果您在高安全性環境中部署 WPA3-Enterprise，EAP-TLS 是您唯一合規的選擇。 我應該以哪個最低的 Android 版本為目標？Android 8 及以上版本原生支援 EAP-TLS。針對 Android 11 及以上版本，請強制執行明確的 CA 憑證驗證。針對 Android 13 及以上版本，您可以利用改進的憑證管理 API 進行更精細的控制。 Purple 的平台能否與 EAP-TLS 網路整合？Purple 的顧客 WiFi 與分析平台與您的 802.1X 企業網路在不同的 SSID 上運作。您的企業裝置透過安全 SSID 上的 EAP-TLS 進行驗證，而顧客裝置則在顧客 SSID 上使用 Purple 的 captive portal。兩者在相同的存取點基礎架構上並存，並透過 VLAN 隔離提供安全性邊界。 - 摘要與後續步驟 - 大約 1 分鐘 總結來說：在 Android 上執行 EAP-TLS 是目前最安全的企业 WiFi 驗證方法，而且搭配現代的 MDM 工具，完全可以在大規模部署中實行。需要做對的三件事是：正確配置且具有自動憑證更新功能的 PKI、在 Android 11 及以上版本上明確信任 CA 憑證，以及針對尖峰負載進行配置的 RADIUS 基礎架構。 如果您是在混合企業和顧客流量的場域進行部署，Purple 的平台可在顧客網路上提供您分析和互動層，同時由您的 EAP-TLS 基礎架構保護企業端。兩者相輔相成。 關於您的後續步驟：請檢視我們完整指南中的架構圖，完成 Intune 部署演練，並在推廣到整個環境之前，先在一部分裝置上進行試行。從五十台裝置的受控群組開始，驗證憑證傳遞和 WiFi 連線能力，然後信心十足地進行規模擴展。 感謝收聽 Purple 技術簡報。您可以在 purple.ai 找到完整的書面指南、圖表和配置參考資料。我們下次再見。