如何設定用於 WiFi 驗證的 RADIUS 伺服器

執行摘要

對於企業環境而言（無論是龐大的大學校園、高密度的體育場，還是分散式的零售連鎖店），依賴預共用金鑰 (PSK) 進行 WiFi 存取都是一項重大的安全隱患。單一憑證遭到破解就會使整個網路暴露在風險之中，而要撤銷存取權限則需要變更該區域內每台裝置的密碼。透過 RADIUS (遠端用戶撥入驗證服務) 伺服器實施 802.1X 驗證可完全解決此問題：每位使用者皆進行獨立驗證、可立即撤銷存取權限，並能動態執行網路分段。

本指南為 IT 經理和網路架構師部署 RADIUS 驗證提供了明確的路線圖。我們涵蓋了地端與雲端託管部署之間的架構權衡、可延伸驗證協定 (EAP) 方法的設定，以及與 Active Directory 等目錄服務的整合。我們還展示了強大的驗證層如何與 Guest WiFi 解決方案整合，為訪客提供無縫存取，同時擷取能將您的網路轉化為商業智慧資產的 WiFi Analytics 。

技術深度剖析

802.1X 架構

IEEE 802.1X 標準定義了基於連接埠的網路存取控制 (PNAC)。在無線網路環境中，它涉及協同運作的三個主要角色：

當用戶端與無線基地台關聯時，AP 會阻擋除 EAP (可延伸驗證協定) 訊息之外的所有資料流量。AP 將這些 EAP 訊息封裝在 RADIUS 封包中，並將其轉發給 RADIUS 伺服器。伺服器會比對後端資料庫（通常是 LDAP 或 Active Directory）來驗證憑證，並傳回 Access-Accept 或 Access-Reject 訊息。如果接受，AP 將解除連接埠阻擋，用戶端的流量即可自由流動。

選擇 EAP 方法

RADIUS 部署的安全性在很大程度上取決於所選的 EAP 方法。企業部署中最常見的兩種方法是：

EAP-TLS (Transport Layer Security) 是最頂級的安全標準。它要求在 RADIUS 伺服器和每台用戶端裝置上都安裝數位憑證，從而完全免除密碼。即使攻擊者擷取了完整的驗證交換過程，也沒有任何憑證可供提取。其代價是管理開銷：部署和管理用戶端憑證需要運作良好的公開金鑰基礎建設 (PKI) 以及 MDM 解決方案（例如 Microsoft Intune、Jamf）來將憑證發行至端點。

PEAP-MSCHAPv2 (Protected EAP) 是實務上部署最廣泛的方法。它使用伺服器端憑證來建立加密的 TLS 通道，用戶端在通道內使用使用者名稱和密碼進行驗證。這比 EAP-TLS 容易部署得多，因為只需要管理一個憑證（即伺服器的憑證）。然而，這帶有一個關鍵的警示：如果用戶端裝置未明確設定為驗證 RADIUS 伺服器的憑證，它們就容易受到透過惡意存取點進行的中間人 (MitM) 攻擊。

> 關鍵安全注意事項：若未能對用戶端裝置強制執行嚴格的憑證驗證，實際上會抵消 PEAP-MSCHAPv2 的安全優勢。攻擊者可以部署惡意 AP，呈現偽造的憑證，並以純文字形式擷取使用者憑證。這不是理論上的風險，而是在真實環境中已被利用且記錄詳實的攻擊媒介。

實作指南

步驟 1：架構決策 — 本地部署 vs. 雲端 RADIUS

第一個決策是將 RADIUS 基礎建設託管在何處。這主要是一個營運和成本問題，而非安全問題 — 這兩種模式都可以安全地部署。

本地部署 RADIUS（例如 Microsoft NPS、FreeRADIUS、Cisco ISE）適合擁有專職 IT 人員、現有本地目錄基礎建設以及嚴格的數據主權或合規性要求的組織。它不依賴網際網路連線進行驗證，這對於無法保證網際網路正常運行時間的環境來說是一個顯著的優勢。

雲端 RADIUS 正日益成為分散式環境的首選模式 — 例如 零售 連鎖店、 旅宿 集團和 交通 樞紐，在這些環境中，在每個地點部署伺服器在營運上是不切實際的。雲端 RADIUS 與雲端身分識別提供者（Azure AD、Google Workspace、Okta）原生整合，並提供內建的高可用性和全球擴充性。

步驟 2：安裝與設定 RADIUS 伺服器

對於使用 Microsoft NPS（Windows 為中心之環境中最常見的選擇）的本地部署：

1. 透過伺服器管理員安裝網路原則伺服器角色。
2. 在 Active Directory 中註冊 NPS 伺服器，以允許其讀取使用者撥入屬性。
3. 為每個無線基地台或無線控制器建立一個 RADIUS Client 項目，並指定該 AP 的 IP 位址和一組強大且唯一的共用金鑰 (Shared Secret)。
4. 設定 Network Policy（網路原則），定義存取的條件（例如：使用者群組成員資格）和限制（例如：EAP 方法、工作階段逾時）。
5. 設定 Connection Request Policy（連線要求原則）以在本地處理要求。

若在 Linux 上使用 FreeRADIUS：

1. 透過套件管理員安裝：sudo apt-get install freeradius freeradius-ldap。
2. 設定 /etc/freeradius/3.0/clients.conf 以定義 RADIUS 用戶端 (AP) 及其共用金鑰。
3. 設定 /etc/freeradius/3.0/mods-available/ldap 中的 LDAP 模組，將其指向您的 Active Directory 或 LDAP 伺服器。
4. 啟用 LDAP 模組：sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/。
5. 在 /etc/freeradius/3.0/mods-available/eap 中定義 EAP 方法。

步驟 3：設定無線基地台

在您的無線控制器或個別無線基地台上：

1. 定義 RADIUS 伺服器 IP 位址和驗證連接埠（預設值：UDP 1812）。
2. 設定 Shared Secret（共用金鑰）— 請使用至少 22 個字元，並混合英數字與特殊字元。每個位置或 AP 群組請使用唯一的金鑰。
3. 將 SSID 設定為使用 WPA2-Enterprise 或 WPA3-Enterprise 安全模式，並搭配 802.1X 金鑰管理。
4. 設定次要 RADIUS 伺服器以進行容錯移轉。

步驟 4：目錄整合

若要進行地端 AD 整合，RADIUS 伺服器必須加入網域或具有 LDAP 讀取權限。請確保用於 LDAP 綁定的服務帳戶擁有最低所需的權限。若為雲端 RADIUS，請設定與您的 IdP 進行基於 API 的同步或 SAML/OIDC 整合。

在您的目錄中定義明確的使用者群組，因為這些群組將驅動授權原則。建議的群組結構：

步驟 5：用戶端設定與憑證驗證

這是營運上最關鍵的步驟。請針對 Windows 使用群組原則 (GPO)，並針對 macOS/iOS/Android 使用 MDM 設定檔，將 WiFi 設定背景推送到受管理的裝置。該設定檔必須指定：

• 簽發 RADIUS 伺服器憑證的 Root CA。
• 預期的伺服器名稱（伺服器憑證的 CN 或 SAN）。
• EAP 方法和內部驗證協定。

對於不受管理的 BYOD 裝置，請提供明確的自助式上網引導說明，最理想的方式是透過網路存取控制 (NAC) 入口網站。

步驟 6：實作動態 VLAN 指派

設定 RADIUS 伺服器以在 Access-Accept 回應中傳回 VLAN 指派屬性：

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = IEEE-802 (6)
• Tunnel-Private-Group-Id = ``

無線基地台會讀取這些屬性，並將已驗證的用戶端分配到指定的 VLAN — 當使用者變更角色或位置時，無需進行手動重新設定。

最佳實踐

備援機制不容妥協。 部署至少兩台 RADIUS 伺服器（主要和次要），並將所有無線基地台設定為自動容錯移轉。對於地端部署，請考慮將次要伺服器放置在不同的實體位置或可用區域。RADIUS 服務中斷意味著沒有人可以進行驗證，這對於受 802.1X 保護的 SSID 而言，等同於整個網路完全中斷。

主動監控憑證過期。 RADIUS 伺服器憑證過期是導致突然且大規模驗證失敗的最常見原因之一。請實施監控，在過期前至少 30 天向管理員發出警報。這適用於伺服器憑證以及鏈結中的任何中繼 CA 憑證。

將共用金鑰（Shared Secret）視為關鍵憑證。 無線基地台與 RADIUS 伺服器之間的共用金鑰用於加密 RADIUS 封包。請針對每個位置或無線基地台群組使用唯一的金鑰，將其儲存在憑證管理器中，並定期進行輪替。請參閱我們的 透過強大的 DNS 與安全性保護您的網路 指南，以獲取更廣泛的網路安全維護建議。

符合合規性框架。 對於受 PCI DSS 規範的環境（例如零售支付網路），802.1X 驗證直接支援網路存取控制和稽核記錄的要求。為了符合 GDPR 規範，RADIUS 記帳記錄（連接埠 1813）提供了誰在何時何地存取網路的詳細稽核追蹤，這對於事件回應非常有用。對於 醫療保健 環境，透過動態 VLAN 分配進行網路區隔，可支援保護電子受保護健康資訊 (ePHI) 的 HIPAA 要求。

疑難排解與風險緩釋

若要深入瞭解 802.1X 設定流程本身， 如何設定 802.1X WiFi 驗證：逐步指南 提供了針對特定廠商的詳細設定逐步說明。

投資報酬率與企業影響

從 PSK 轉換至以 RADIUS 為基礎的 802.1X 需要在設定上進行初始投資，且可能需要雲端解決方案的授權或地端部署的硬體。其投資報酬率（ROI）非常明確：

降低風險：在英國，資料外洩的平均成本超過 300 萬英鎊（根據 IBM 資料外洩成本報告）。一個遭到破解的 PSK 可能會暴露整個網路。802.1X 將受害範圍限制在單一遭破解的使用者帳戶，而該帳戶可在數秒內透過目錄服務直接停用。

營運效率：動態 VLAN 分配消除了因員工職務變更而需要手動重新設定網路的麻煩。入職新員工只需將其加入正確的 AD 群組，網路存取權限便會自動隨之調整。

合規態勢：對於適用 PCI DSS、ISO 27001 或 Cyber Essentials Plus 的組織而言，802.1X 是稽核人員期望看到的直接控制措施。部署 802.1X 可強化您的合規態勢，並降低稽核改善成本。

訪客體驗與分析：對於場域營運商而言，將用於員工驗證的 RADIUS 與 Purple 的 Guest WiFi 訪客存取平台整合，可建立一個統一且分層的存取模式。員工透過 802.1X 進行無感驗證；訪客則透過品牌專屬的 Captive Portal 進行連線。接著，Purple 的 WiFi Analytics 平台可即時呈現訪客停留時間、重複造訪率及互動指標，這些數據能直接為行銷支出與場域營運決策提供依據。

如需進一步閱讀，請參閱 Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo 以取得葡萄牙語的實作指南，以及 什麼是專線？企業專用網際網路 以取得確保底層連線符合企業需求的指引。