如何在常見的基地台平台（Cisco、Aruba、Ubiquiti）上設定 WPA2-Enterprise

如何在常見的存取點平台（Cisco、Aruba 與 Ubiquiti）上設定 WPA2-Enterprise Purple WiFi 智慧簡報 [引言 - 大約 1 分鐘] 歡迎來到 Purple WiFi 智慧系列。我是您的主持人，今天我們將直奔主題，探討企業客戶最常諮詢的熱門話題之一：如何在部署最廣泛的三大存取點平台（Cisco、Aruba 與 Ubiquiti）上設定 WPA2-Enterprise。 無論您是擁有 500 間客房的酒店集團的 IT 總監、全國連鎖零售商的網路架構師，還是會議中心營運商的 CTO，這場簡報都是為您準備的。我們不會為了探討理論而探討理論。我們將逐步說明您在做出部署決策、正確執行以及避免讓經驗豐富的團隊也踩坑的陷阱時，所需了解的知識。 讓我們開始吧。 [技術深潛 - 大約 5 分鐘] 首先，快速釐清一下什麼是 WPA2-Enterprise，因為市場上對於 WPA2-Personal 與 WPA2-Enterprise 之間仍存在驚人的混淆 - 而這種區別對於合規性和風險態勢至關重要。 WPA2-Personal - 大多數人最熟悉的版本 - 使用單一的預先共用金鑰。網路上的每個人都使用相同的密碼。這對於家用網路來說沒問題。但對於需要每用戶驗證、稽核軌跡以及能立即撤銷存取權限的商業環境來說，這絕對是無法接受的。 WPA2-Enterprise 定義於 IEEE 802.1X 之下，它將該共用金鑰替換為個別的驗證交換。每個用戶或裝置都會提供自己的憑證 - 無論是使用者名稱與密碼、數位憑證還是權杖 - 並且這些憑證在授予網路存取權限之前會由 RADIUS 伺服器進行驗證。存取點本身永遠看不到憑證。它純粹充當驗證器，在用戶端與 RADIUS 伺服器之間傳遞 EAP（可延伸驗證協定）交換。這是一個從根本上更安全的架構，也是任何處理付款卡資料的環境中滿足 PCI-DSS 合規性的基準要求，同時也是 GDPR 下強烈推薦給透過無線網路處理個人資料的組織的做法。 現在，讓我們來談談這三個平台。 首先從 Cisco 開始。Cisco 的企業級 WiFi 產品組合（主要是 Catalyst 和 Meraki 系列）是大規模部署的主流選擇。Cisco DNA Center 提供集中式原則管理，而 Meraki 儀表板則為分散式資產提供雲端管理的便利性。要在 Cisco Catalyst 存取點上設定 WPA2-Enterprise，您需要透過 WLC（無線區域網路控制器）或 DNA Center 進行操作。關鍵步驟包括：在「安全性」下的「AAA」，然後是「RADIUS 驗證伺服器」中定義您的 RADIUS 伺服器；建立新的 WLAN 設定檔；將安全性原則設定為 WPA2，並將 802.1X 作為金鑰管理方法；然後將 RADIUS 伺服器與該 WLAN 綁定。關於 Cisco 的一個關鍵點是：請確保您設定了 RADIUS 計量以及驗證。計量可為您提供合規性框架所需的每個工作階段稽核軌跡。在 Meraki 上，此過程甚至更加簡單 - 導覽至「無線」，然後至「SSID」，選取您的目標 SSID，將安全性設定為搭配我的 RADIUS 伺服器的 WPA2-Enterprise，並輸入您的 RADIUS 伺服器 IP、連接埠（通常驗證為 1812，計量為 1813）以及共用秘密金鑰。Meraki 還支援直接從儀表板進行 RADIUS 測試，這在調試期間非常有用。 接下來是 Aruba。Aruba Networks（現為 HPE 旗下成員）是餐飲旅宿業和高等教育機構的主導選擇。Aruba Central 提供雲端管理，而 ArubaOS 是其底層平台。在 Aruba 上，WPA2-Enterprise 設定位於 SSID 設定檔中。您將定義一個引用您的 RADIUS 伺服器的 AAA 設定檔，然後將該 AAA 設定檔附加到您的虛擬 AP 設定檔。Aruba 的 ClearPass Policy Manager 在此處特別值得一提 - 它是 Aruba 自家的 RADIUS 和原則引擎，為裝置剖析、角色型存取控制和訪客上網引導增添了強大功能。如果您運行的是員工、承包商和訪客全都連接到相同基礎設施的混合環境，ClearPass 可為您提供適當進行區段劃分的原則精細度。對於在員工和後勤網路部署 WPA2-Enterprise，同時透過 Purple 等平台運行獨立訪客 WiFi 解決方案的飯店而言，Aruba 的 SSID 區段劃分結合用於員工驗證的 ClearPass 是一個非常乾淨的架構。 現在來談談 Ubiquiti。Ubiquiti 的 UniFi 平台憑藉其極具競爭力的價格和真正強大的管理介面，在中小企業和中端市場（以及越來越多的精緻旅宿業和零售業）中獲得了巨大的青睞。UniFi Network Controller 是您進行繁重設定工作的地方。要在 UniFi 上設定 WPA2-Enterprise，請導航至 Settings，然後點選 WiFi，建立或編輯您的 SSID，將安全性設定為 WPA2 Enterprise，並設定您的 RADIUS 設定檔 - 同樣地，輸入 IP 地址、驗證連接埠 1812、計費連接埠 1813 以及共用金鑰。使用 Ubiquiti 時需要注意一個重要事項：它並不像某些企業級平台那樣內建 RADIUS 伺服器。您會需要一個外部 RADIUS 伺服器 - 無論是 Windows Server NPS、FreeRADIUS 還是雲端 RADIUS 服務。這本身並不是一個限制，但它是一個需要提前規劃的相依性。對於較小規模的部署，UniFi Network Application 確實包含一個基本的 RADIUS 伺服器，但對於生產環境，我始終建議使用專用的 RADIUS 執行個體。 在這三個平台上，EAP 方法的選擇都值得關注。採用 MSCHAPv2 的 PEAP 是部署最廣泛的方法，因為它可以使用 Active Directory 認證，而不需要用戶端憑證。EAP-TLS 安全性更高 - 它使用雙向憑證驗證 - 但它需要 PKI 架構並將憑證部署到每個用戶端裝置，這增加了營運開銷。對於大多數企業部署而言，採用 PEAP-MSCHAPv2 並搭配設定正確的 RADIUS 伺服器以及用戶端憑證驗證，是安全性和營運管理便利性之間的最佳平衡。 [實施建議與陷阱 - 約 2 分鐘] 現在讓我為您介紹我在 WPA2-Enterprise 部署中常遇到的三種最常見的故障模式，以及如何避免它們。 第一：RADIUS 伺服器可用性。您的 RADIUS 伺服器現在處於每次無線驗證的關鍵路徑上。如果它斷線，就沒有人能夠連線。這意味著您需要 RADIUS 備援 - 至少在每個基地台（access point）上設定一部主要和一部次要的 RADIUS 伺服器。大多數平台都原生支援此功能。在 Cisco 上，您可以設定具有容錯移轉功能的 RADIUS 伺服器群組。在 Aruba 上，AAA 設定檔支援多個 RADIUS 伺服器，並可設定重試和逾時值。在 Ubiquiti 上，您可以在 RADIUS 設定檔中指定次要 RADIUS 伺服器。請千萬不要跳過此步驟。 第二：憑證驗證。在我審查的部署中，有驚人高比例的用戶端裝置被設定為接受任何 RADIUS 伺服器憑證。這完全破壞了安全模型 - 它會讓您面臨邪惡雙生仔攻擊（evil twin attacks），即惡意存取點冒充您的網路並收集憑證。請從受信任的 CA 配置您的 RADIUS 伺服器憑證，並配置您的用戶端要求端（supplicant）以驗證該憑證。在 Windows 上，這是透過群組原則完成的。在 iOS 和 Android 上，則是透過 MDM 設定檔處理。對於任何處理敏感資料的環境，這都是不可妥協的。 第三：VLAN 分配。WPA2-Enterprise 支援動態 VLAN 分配 - RADIUS 伺服器可以在 Access-Accept 訊息中傳回 VLAN 屬性，根據每個已驗證使用者的身分或角色將其置於適當的網路區段中。這是 802.1X 架構中最強大的功能之一，但經常被忽略而未配置。如果您的場域中同時有員工、管理層和 IoT 裝置在同一個實體基礎設施上運行，動態 VLAN 分配就是您在不管理多個 SSID 的情況下強制執行網路分割的方式。 在 Purple 整合方面：如果您正在為您的員工和營運網路部署 WPA2-Enterprise，並運行 Purple 的訪客 WiFi 平台以提供訪客連線，這兩個系統可以乾淨地共存。Purple 處理訪客驗證、資料收集和分析層 - 包括場域營運商用於營運決策的 WiFi 分析和人流量智慧資訊 - 而您的 WPA2-Enterprise 基礎設施則負責保護企業網路的安全。關鍵在於存取點層級上乾淨的 SSID 和 VLAN 隔離，這三種平台都支援這一點。 [快速問答 - 約 1 分鐘] 讓我快速解答一些經常出現的問題。 我可以在相同的存取點上運行 WPA2-Enterprise 和訪客網路嗎？是的，絕對可以。所有這三個平台都支援每個無線電頻段有多個 SSID，且每個 SSID 都具有獨立的安全策略。您的企業 SSID 運行 WPA2-Enterprise；您的訪客 SSID 則可以透過具有適當隔離功能的 Purple Captive Portal 運行。 我需要更換現有的存取點才能部署 WPA2-Enterprise 嗎？幾乎肯定不需要。企業級存取點支援 WPA2-Enterprise 已經超過十年了。如果您的硬體使用時間少於八年且運行目前的韌體，它就會支援 802.1X。 WPA2-Enterprise 和 WPA3-Enterprise 有什麼區別？WPA3-Enterprise 使用 Suite B 加密演算法增加了 192 位元安全模式，這與政府和國防環境相關。對於大多數商業部署，採用強大 EAP 方法的 WPA2-Enterprise 仍是標準。WPA3 轉移值得為新部署進行規劃，但對大多數組織而言，這並不是緊急的遷移。雲端 RADIUS 是一個可行的選擇嗎？是的，而且正變得越來越流行。例如雲端中的 Cisco ISE、以服務形式提供的 Aruba ClearPass，或是 JumpCloud 和 Foxpass 等第三方選項，都將 RADIUS 作為託管服務提供，這消除了基礎設施的開銷。對於分佈式資產 - 想像一個擁有 200 個據點的零售連鎖店 - 雲端 RADIUS 可以顯著降低營運複雜性。 [總結與後續步驟 - 大約 1 分鐘] 總結來說：WPA2-Enterprise 是任何企業無線部署不可妥協的基準。在 Cisco、Aruba 和 Ubiquiti 上的設定程序都遵循相同的基本模式 - 定義您的 RADIUS 伺服器、使用 802.1X 金鑰管理建立您的 SSID、選擇您的 EAP 方法，並在啟用前進行測試。其差異在於管理介面以及各個平台周邊的生態系統工具。 需要做對的三件事：RADIUS 備援、用戶端憑證驗證，以及動態 VLAN 分配。做好這三件事，您就擁有了穩固、合規且可稽核的無線安全架構。 對於您的下一步：如果您正在評估平台，請使用隨附指南中的廠商比較框架。如果您已準備好進行部署，各平台的逐步設定教學已在實作章節中提供。如果您正在思考訪客 WiFi 如何與您的企業網路並存，Purple 平台文件詳細介紹了整合架構。 感謝您的聆聽。我們下一次簡報再見。