如何設定 802.1X WiFi 驗證：逐步指南

如何設定 802.1X WiFi 驗證：逐步指南 Purple 企業級 WiFi 智慧播客 [INTRODUCTION — 預估 1 分鐘] 歡迎回來。今天我將以資深解決方案架構師的身分發言。如果您正在收聽本期節目，您可能正準備著手一個涉及 802.1X 驗證的網路安全專案——這可能是因為您的合規團隊提出了要求、您的保險公司詢問過相關事宜，或者您剛剛接管了一個運行在共用 PSK 上的網路，而您深知這已不再安全。 那麼，讓我們直接進入正題。802.1X 是用於基於連接埠之網路存取控制的 IEEE 標準。它是企業級 WiFi 安全的骨幹——這種機制可確保在連接到您網路的每個裝置傳輸任何位元組的流量之前，都已獲得明確的身分識別與授權。對於根據 PCI DSS 處理付款卡資料的組織、根據 GDPR 和 NHS 資料安全標準運作的醫療保健環境，坦白說，對於任何運行多個無線基地台的組織而言，這都是正確的架構。 在接下來的十分鐘內，我將帶您了解技術架構、RADIUS 設定、憑證部署，以及在實際應用中可能變得複雜的真實場景。我們開始吧。 [TECHNICAL DEEP-DIVE — 預估 5 分鐘] 好的，802.1X 架構包含三個元件。首先是要求者（Supplicant）——也就是用戶端裝置，例如筆記型電腦、手機、IoT 感測器。接著是驗證者（Authenticator）——也就是您的無線基地台或網路交換器，有時也被稱為 NAS（網路存取伺服器）。最後是驗證伺服器（Authentication Server）——在企業部署中幾乎無一例外地是 RADIUS 伺服器。 以下是握手運作的方式。當裝置嘗試連線到受 802.1X 保護的 SSID 時，無線基地台不會直接放行。相反地，它會開啟一個稱為受控連接埠（Controlled Port）的通道——這是一個僅傳輸 EAP（擴充驗證協定）流量的受限通道。AP 向裝置發送 EAP-Request Identity。裝置回應其身分。接著，AP 將該回應封裝在 RADIUS Access-Request 封包中，轉發給 RADIUS 伺服器。RADIUS 伺服器執行驗證——根據 Active Directory、憑證存放區或您設定的任何身分識別後端檢查憑證——並傳回 Access-Accept 或 Access-Reject。只有在收到 Accept 時，AP 才會開啟完整的資料連接埠，並將裝置分配到適當的 VLAN。 現在，您在此處選擇的 EAP 方法至關重要。在企業部署中，您會遇到以下五種方法。 EAP-TLS 是黃金標準。用戶端和伺服器雙方都需要出示 X.509 憑證。這不涉及任何密碼。這是最安全的選項，也是最高級別 PCI DSS 合規性所要求的選項。缺點是您需要一個完整的 PKI（公開金鑰基礎架構）來核發和管理用戶端憑證。這意味著需要憑證授權單位（CA）、憑證生命週期管理，以及將憑證推送到每個裝置的機制。對於擁有 Microsoft Active Directory 和 Active Directory 憑證服務的組織而言，這非常容易實現。但對於沒有該基礎架構的組織，這是一筆重大的投資。 PEAP-MSCHAPv2 是實際應用中部署最廣泛的方法。它僅使用伺服器端憑證建立 TLS 通道，然後在該通道內傳輸使用者名稱和密碼憑證。它幾乎與開箱即用的所有裝置相容，透過 Windows Server 上的 NPS 直接與 Active Directory 整合，且不需要用戶端憑證。權衡之處在於，如果使用者被誘騙連線到惡意 AP，它很容易受到憑證竊取攻擊——因為用戶端預設不會驗證伺服器憑證。您必須在要求者設定檔中強制執行伺服器憑證驗證。 EAP-TTLS 與 PEAP 類似，但在內部驗證方法上更具彈性。這在 Linux 環境以及需要支援舊版驗證後端的場景中很常見。 EAP-FAST 是 Cisco 針對 LEAP 的弱點而開發的。它使用受保護的存取憑證（PAC）而非憑證。如果您處於高度依賴 Cisco 的環境中，或者需要處理無法支援其他方法的舊版裝置，這才比較相關。 EAP-SIM 和 EAP-AKA 用於電信級部署——例如 OpenRoaming 或 Passpoint——其中驗證與 SIM 卡或 USIM 綁定。這些對於公共場所 WiFi 越來越重要，因為您希望在沒有 Captive Portal 的情況下實現無縫、安全的配置。 現在我們來談談 RADIUS 設定。無論您部署的是 Microsoft NPS、FreeRADIUS、Cisco ISE 還是 Aruba ClearPass，核心設定步驟都是相同的。 第一步，定義您的 RADIUS 用戶端——這些是您的無線基地台或無線區域網路控制器。每個用戶端都使用其 IP 地址和共用金鑰進行註冊。該共用金鑰用於驗證 AP 與伺服器之間的 RADIUS 訊息。請使用至少 22 個字元、隨機產生且每個 NAS 裝置唯一的金鑰。 第二步，設定您的網路原則。您在此處定義誰可以存取什麼。以 NPS 的術語來說，您正在建立一個符合條件（Active Directory 中的群組成員資格、裝置類型、當天時間）並分配屬性（VLAN ID、工作階段逾時、頻寬限制）的網路原則。您最常使用的 RADIUS 屬性是 VLAN 分配，具體而言是將 Tunnel-Type 設定為 VLAN，將 Tunnel-Medium-Type 設定為 802，並將 Tunnel-Private-Group-ID 設定為您的 VLAN 編號。 第三步，設定您的連線要求原則。這會告訴 NPS 如何處理傳入的 RADIUS 請求——是在本機進行驗證，還是轉發到另一台 RADIUS 伺服器。在分散式部署中，您可能在每個站點都設有 NPS 代理伺服器的中央 RADIUS 伺服器。 在憑證方面，對於 PEAP 和 EAP-TLS，您的 RADIUS 伺服器需要一個受您用戶端信任的伺服器憑證。最簡單的方法是使用來自公用 CA（DigiCert、Sectigo、Let's Encrypt）的憑證——因為這些根憑證已被所有主要作業系統信任。如果您使用的是內部 CA，則需要透過群組原則或您的 MDM 平台將根憑證推送到所有用戶端裝置。 特別是對於 EAP-TLS，您還需要用戶端憑證。在 Active Directory 環境中，您可以使用 ADCS 透過群組原則自動註冊，將憑證推送到已加入網域的裝置。對於 BYOD 裝置，您可以使用您的 MDM（Intune、Jamf、VMware Workspace ONE）來推送憑證和 WiFi 設定檔。 在無線基地台方面，設定非常簡單。您建立一個新的 SSID，將安全性設定為 WPA2-Enterprise 或 WPA3-Enterprise，將 RADIUS 驗證伺服器指向 UDP 連接埠 1812 上的 NPS IP，在 UDP 連接埠 1813 上設定 RADIUS 計費伺服器，輸入共用金鑰，並啟用動態 VLAN 分配（如果您正在使用它）。大多數企業級 AP 平台（Cisco Meraki、Aruba、Ruckus、Extreme）都有一個圖形化介面，一旦您的 RADIUS 伺服器準備就緒，設定大約需要十分鐘。 [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — 預估 2 分鐘] 好的，我們來談談部署最容易出錯的地方，因為這正是展現我顧問價值的地方。 最常見的失敗點是憑證驗證。我見過許多組織在伺服器端正確部署了 PEAP-MSCHAPv2，但卻將用戶端要求者設定檔設定為接受任何憑證。這完全破壞了安全模型。每個要求者設定檔——無論是透過群組原則還是 MDM 推送——都必須指定信任的根 CA 和預期的伺服器名稱。否則，您將容易受到邪惡雙生攻擊。 第二個常見問題是 RADIUS 共用金鑰管理。我見過有些生產網路在運行時，共用金鑰仍設定為「radius」或廠商預設值。這些金鑰是您驗證基礎架構的關鍵。請隨機產生它們，將其儲存在金鑰管理器中，並定期輪換。 第三：VLAN 設定錯誤。動態 VLAN 分配功能強大——它允許您將員工裝置放在企業 VLAN 上，將承包商放在受限 VLAN 上，並將 IoT 裝置放在隔離的 VLAN 上，而這一切都來自同一個 SSID。但是，如果 RADIUS 屬性設定不正確，或者交換器 Trunk 連接埠沒有承載正確的 VLAN，裝置將無法連線或進入錯誤的區段。在投入生產環境之前，請在實驗室中對此進行徹底測試。 第四：備援。您的 RADIUS 伺服器現在是關鍵的基礎架構。如果它關機，就沒有人能連線。您在每個 AP 上至少需要設定一個主要和次要 RADIUS 伺服器。在大型部署中，請考慮使用具有健康監測功能的 RADIUS 代理叢集。 第五，這是針對旅宿和零售環境的特定建議：訪客與企業網路的隔離。您的 802.1X 企業 SSID 和您的訪客 WiFi SSID 應該完全隔離——不同的 VLAN、不同的防火牆原則、不同的 DNS。像 Purple 這樣的平台透過其專屬的 Captive Portal 和分析層來處理訪客端，而您的 802.1X 基礎架構則處理企業端。這些是互補而非競爭的系統。 [RAPID-FIRE Q&A — 預估 1 分鐘] 讓我快速解答一些我最常被問到的問題。 我可以在雲端管理的 AP 平台上運行 802.1X 嗎？可以——Meraki、Aruba Central 和 Ruckus Cloud 都支援。您在雲端控制面板中設定 RADIUS 伺服器詳細資訊，AP 會處理 EAP 代理。 我需要 Active Directory 嗎？不需要。FreeRADIUS 可以針對 LDAP、SQL 資料庫、純文字檔案甚至 REST API 進行驗證。但透過 NPS 進行 AD 整合是目前最常見的企業途徑。 不支援 802.1X 的 IoT 裝置該怎麼辦？使用 MAC 驗證略過（MAB）作為備用方案。裝置的 MAC 地址會作為使用者名稱和密碼發送到 RADIUS。它不如 EAP 安全，但它允許您在將 IoT 裝置保持在受限 VLAN 的同時對其進行配置。 802.1X 可以與 WPA3 搭配使用嗎？可以。WPA3-Enterprise 本質上就是具有 802.1X 驗證的 WPA3。它增加了更強的加密功能——在高度安全模式下為 192 位元——是新部署的推薦標準。 [SUMMARY AND NEXT STEPS — 預估 1 分鐘] 總結來說：802.1X 不是可有可無的。對於任何處理敏感資料、處理付款或在受監管環境中營運的組織而言，它是企業級 WiFi 安全的基準。其架構已非常成熟，工具也已完善，部署路徑非常清晰。 從選擇您的 EAP 方法開始——如果您需要快速見效和廣泛的相容性，請選擇 PEAP-MSCHAPv2；如果您擁有 PKI 基礎架構並需要最強的安全防護，請選擇 EAP-TLS。在動用任何 AP 之前，先設定好您的 RADIUS 伺服器並做好備援。在正式上線前，透過群組原則或 MDM 推送您的要求者設定檔。並保持您的訪客 WiFi 完全獨立——為該層級使用專門建置的平台。 如果您營運的是多場所環境——酒店、零售連鎖店、體育場館——複雜性會隨著站點數量而增加，但架構不會改變。關鍵在於具有站點本地備援的集中式 RADIUS，以及在您的裝置群中保持一致的、透過 MDM 推送的要求者設定檔。 感謝您的收聽。完整的書面指南、架構圖和設定檢查清單可在 purple.ai 取得。如果您正在規劃 802.1X 部署並希望討論您環境的具體細節，請直接與 Purple 團隊聯絡。