如何為 WiFi 驗證設定 RADIUS 伺服器

執行摘要

對於企業環境而言 - 無論是廣闊的大學校園、高密度的體育場館，還是分散的連鎖零售店 - 依賴預共用金鑰 (PSK) 進行 WiFi 存取都是重大的安全隱患。單一憑證遭破解就會暴露整個網路，且撤銷存取權限需要更改該區域內每台裝置的密碼。透過 RADIUS (遠端用戶撥入驗證服務) 伺服器實施 802.1X 驗證可完全解決此問題：每個使用者進行獨立驗證、可立即撤銷存取權限，並動態執行網路分段。

本指南為 IT 經理和網路架構師部署 RADIUS 驗證提供了明確的藍圖。我們涵蓋了地端與雲端託管部署之間的架構權衡、可延伸驗證協定 (EAP) 方法的設定，以及與 Active Directory 等目錄服務的整合。我們還展示了強大的驗證層如何與 Guest WiFi 解決方案整合，為訪客提供無縫存取，同時擷取能將您的網路轉化為商業智慧資產的 WiFi Analytics 。

技術深入探討

802.1X 架構

IEEE 802.1X 標準定義了基於連接埠的網路存取控制 (PNAC)。在無線網路環境中，它涉及三個協同工作的核心角色：

當用戶端與存取點建立關聯時，AP 會阻擋除 EAP (可延伸驗證協定) 訊息之外的所有資料流量。AP 將這些 EAP 訊息封裝在 RADIUS 封包中，並將其轉發給 RADIUS 伺服器。伺服器根據後端資料庫 (通常是 LDAP 或 Active Directory) 驗證憑證，並傳回 Access-Accept 或 Access-Reject 訊息。如果接受，AP 將解除連接埠阻擋，用戶端的流量即可自由流動。

選擇 EAP 方法

RADIUS 部署的安全強度很大程度上取決於所選擇的 EAP 方法。企業部署中最常見的兩種方法是：

EAP-TLS (Transport Layer Security) 是黃金標準。它需要在 RADIUS 伺服器和每台用戶端裝置上安裝數位憑證，從而完全免除密碼。即使攻擊者擷取了完整的驗證互動，也沒有可以提取的認證資料。折衷之處在於管理開銷：部署與管理用戶端憑證需要運作正常的公開金鑰基礎建設 (PKI) 以及 MDM 解決方案（例如 Microsoft Intune、Jamf）來將憑證發布到端點。

PEAP-MSCHAPv2 (Protected EAP) 是實務中部署最廣泛的方法。它使用伺服器端憑證來建立加密的 TLS 通道，用戶端在該通道內使用使用者名稱和密碼進行驗證。這比 EAP-TLS 容易部署得多，因為只需要管理一個憑證（即伺服器的憑證）。然而，這帶來了一個關鍵的警告：如果用戶端裝置未被明確設定為驗證 RADIUS 伺服器的憑證，它們很容易受到透過惡意存取點進行的中間人 (MitM) 攻擊。

關鍵安全性說明：未能對用戶端裝置強制執行嚴格的憑證驗證，實際上會使 PEAP-MSCHAPv2 的安全性優勢蕩然無存。攻擊者可以部署惡意 AP、提供欺詐憑證，並以明文形式擷取使用者認證資料。這不是理論上的風險 - 這是一個在現實環境中已被利用、記錄完善的攻擊途徑。

實作指南

步驟 1：架構決策 - 本地部署 vs. 雲端 RADIUS

第一個決策是將 RADIUS 基礎建設託管在哪裡。這主要是營運和成本問題，而不是安全性問題 - 兩種模式都可以安全地部署。

本地部署 RADIUS（例如 Microsoft NPS、FreeRADIUS、Cisco ISE）適用於擁有專職 IT 人員、現有本地目錄基礎建設以及嚴格的資料主權或合規性要求的組織。它不依賴網路連線進行驗證，這對於無法保證網路正常運作時間的環境來說是一個顯著的優勢。

對於分佈式環境 - 像是 零售 連鎖店、 旅宿 集團和 交通 樞紐等在每個位置部署伺服器在營運上不切實際的環境，雲端 RADIUS 越來越成為首選模式。雲端 RADIUS 與雲端身分識別提供者（Azure AD、Google Workspace、Okta）原生整合，並提供內建的高可用性和全球擴充性。

步驟 2：安裝並設定 RADIUS 伺服器

對於使用 Microsoft NPS（以 Windows 為中心的環境中最常見的選擇）的本地部署：

1. 透過伺服器管理員安裝網路原則伺服器角色。
2. 在 Active Directory 中註冊 NPS 伺服器，以允許其讀取使用者撥入屬性。
3. 為每個無線基地台或無線控制器建立 RADIUS Client 項目，並指定 AP 的 IP 地址和強大且唯一的共用金鑰 (Shared Secret)。
4. 設定 網路原則 (Network Policy)，定義存取的條件 (例如，使用者群組成員身份) 和限制 (例如，EAP 方法、工作階段逾時)。
5. 設定 連線要求原則 (Connection Request Policy) 以在本機處理要求。

對於 Linux 上的 FreeRADIUS：

1. 透過套件管理員安裝：sudo apt-get install freeradius freeradius-ldap。
2. 設定 /etc/freeradius/3.0/clients.conf 以定義 RADIUS 用戶端 (AP) 及其共用金鑰。
3. 設定 /etc/freeradius/3.0/mods-available/ldap 中的 LDAP 模組，使其指向您的 Active Directory 或 LDAP 伺服器。
4. 啟用 LDAP 模組：sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/。
5. 在 /etc/freeradius/3.0/mods-available/eap 中定義 EAP 方法。

步驟 3：設定無線基地台

在您的無線控制器或個別無線基地台上：

1. 定義 RADIUS 伺服器 IP 地址和驗證連接埠 (預設：UDP 1812)。
2. 設定 共用金鑰 (Shared Secret) - 使用至少 22 個字元，混合字母、數字和特殊字元。每個位置或 AP 群組使用唯一的金鑰。
3. 將 SSID 設定為使用具有 802.1X 金鑰管理的 WPA2-Enterprise 或 WPA3-Enterprise 安全性模式。
4. 設定次要 RADIUS 伺服器以進行容錯移轉。

步驟 4：目錄整合

對於內部部署的 AD 整合，RADIUS 伺服器必須加入網域或具有 LDAP 讀取權限。確保用於 LDAP 繫結的服務帳戶具有所需的最低權限。對於雲端 RADIUS，請設定與您的 IdP 進行基於 API 的同步或 SAML/OIDC 整合。

在您的目錄中定義明確的使用者群組，因為這些群組將驅動授權原則。建議的群組結構：

步驟 5：用戶端設定與憑證驗證

這是營運上最關鍵的步驟。使用 Windows 的群組原則 (GPO) 以及 macOS/iOS/Android 的 MDM 設定檔，將 WiFi 設定自動推送到受管裝置。該設定檔必須指定：

• 發行 RADIUS 伺服器憑證的 Root CA。
• 預期的伺服器名稱 (伺服器憑證的 CN 或 SAN)。
• EAP 方法和內部驗證協定。

對於非受管的 BYOD 裝置，請提供明確的自助註冊說明，最好是透過網路存取控制 (NAC) 入口網站。

步驟 6：實作動態 VLAN 分配

設定 RADIUS 伺服器以在 Access-Accept 回應中傳回 VLAN 分配屬性：

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = IEEE-802 (6)
• Tunnel-Private-Group-Id = <VLAN ID>

無線基地台會讀取這些屬性，並將已通過驗證的用戶端置於指定的 VLAN 中 - 當使用者變更角色或位置時，無需手動重新設定。

最佳實踐

容錯移轉是不可妥協的。 部署至少兩台 RADIUS 伺服器（主要和次要），並將所有無線基地台設定為自動進行容錯移轉。對於本地部署，請考慮將次要伺服器放置在不同的實體位置或可用區。RADIUS 服務中斷意味著沒有人可以進行驗證，這對受 802.1X 保護的 SSID 來說是完全的網路中斷。

主動監控憑證過期。 RADIUS 伺服器憑證過期是導致突然、大規模驗證失敗最常見的原因之一。實施監控以在過期前至少 30 天提醒管理員。這適用於伺服器憑證以及鏈中的任何中繼 CA 憑證。

將共用金鑰視為關鍵認證憑據。 AP 與 RADIUS 伺服器之間的共用金鑰用於加密 RADIUS 封包。請為每個位置或 AP 群組使用唯一的共用金鑰，將其儲存在金鑰管理器中，並定期進行輪替。請參閱我們的 透過強大的 DNS 和安全性保護您的網路 指南，以獲取更廣泛的網路安全衛生建議。

符合合規架構。 對於受 PCI DSS 約束的環境（例如零售支付網路），802.1X 驗證直接支援網路存取控制和稽核記錄的要求。為了符合 GDPR，RADIUS 記帳記錄（連接埠 1813）提供了誰在何時何地存取網路的詳細稽核追蹤 - 這對於事件回應非常有用。對於 醫療保健 環境，透過動態 VLAN 分配進行網路分割支援 HIPAA 保護電子受保護健康資訊 (ePHI) 的要求。

疑難排解與風險緩釋

投資報酬率與企業影響

從 PSK 轉換至以 RADIUS 為基礎的 802.1X 需要在設定上進行初期投資，並可能涉及雲端解決方案的授權或地端部署的硬體費用。其投資報酬率分析非常直觀：

降低風險：英國資料外洩的平均成本超過 300 萬英鎊（根據 IBM 資料外洩成本報告）。一個遭到破解的 PSK 可能會使整個網路暴露在風險中。802.1X 將受波及範圍限制在單一被破解的使用者帳戶，且該帳戶可在數秒內透過目錄服務予以停用。

營運效率：動態 VLAN 分配消除了因員工職務變更而需要手動重新設定網路的麻煩。新員工入職只需將其加入正確的 AD 群組 - 網路存取權限便會自動跟隨套用。

合規態勢：對於須遵守 PCI-DSS、ISO 27001 或 Cyber Essentials Plus 的企業組織而言，802.1X 是稽核人員預期會看到的直接控制措施。部署此措施可強化您的合規態勢並降低稽核改善成本。

訪客體驗與數據分析：對於場域營運商而言，將用於員工驗證的 RADIUS 與用於訪客存取的 Purple Guest WiFi 平台整合，可建立一個統一的分層存取模型。員工透過 802.1X 進行無感驗證；訪客則透過品牌專屬的 Captive Portal 連線。接著，Purple 的 WiFi Analytics 平台便能即時呈現訪客停留時間、回訪率及互動指標等數據 - 這些數據將直接為行銷支出與場域營運決策提供依據。

延伸閱讀請參閱 Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo 取得葡萄牙語的實作指引，以及 什麼是專線？企業專用網際網路 取得關於確保基礎連線能力符合企業需求的指引。