Intune WiFi 設定檔伺服器信任：Entra ID 憑證伺服器名稱與根 CA 檢查清單

若要透過 Microsoft Entra ID 整合建立 Intune WiFi 設定檔伺服器信任，請將您的憑證伺服器名稱與您的 RADIUS 伺服器憑證相匹配。在超過 80,000 個場域部署此 IEEE 802.1X 標準，需要將包含根 CA 的受信任憑證設定檔連結到同一個 Entra ID 群組，以防止驗證交握失敗。

Intune WiFi 設定檔中的伺服器驗證實際上是做什麼的？

Intune 中的企業級 WiFi 設定檔包含兩個部分。用戶端部分證明裝置的身分。伺服器部分則證明網路屬於您。大多數停滯的部署都在伺服器部分失敗，因此本指南僅針對該部分進行說明。

首先進行一些定義。IEEE 802.1X 是基於連接埠的存取控制標準。在 RADIUS (Remote Authentication Dial-In User Service) 伺服器核准之前，它會將裝置隔離在網路之外。EAP-TLS (具備傳輸層安全性的可延伸驗證協定，RFC 5216) 使用憑證對雙方進行驗證。PEAP (受保護的 EAP) 則將密碼交換封裝在 TLS 通道內。

在這兩種方法中，RADIUS 伺服器都會先出示其憑證。裝置在傳送憑證或密碼之前，會先決定是否信任該憑證。

檢查與決策

裝置會對 RADIUS 伺服器憑證進行兩項測試：

• 信任鏈。 憑證是否鏈結到設定檔所指定的根憑證授權單位 (CA)？在 Intune 中，該根憑證會以受信任憑證設定檔的形式傳送到裝置上。
• 身分。 憑證上的名稱是否與憑證伺服器名稱欄位匹配？在 Windows、iOS 和 macOS 上，該欄位即為該名稱。在 Android Enterprise 上，它則是 Radius 伺服器名稱欄位。

兩項測試都必須通過。來自受信任 CA 但名稱錯誤的憑證會失敗。來自未列出 CA 但名稱正確的憑證也會失敗。這種配對可以阻擋出示他人網域有效憑證的惡意存取點。該攻擊會從跳過驗證的裝置中竊取 PEAP 認證。

為什麼失敗會保持隱蔽

Intune 會回報設定檔是否已到達裝置。它不會回報裝置是否接受您的 RADIUS 伺服器。設定檔可能顯示為成功，但每次交握在存取點都失敗。您只有在員工回報網路無法連線時才會發現問題。

開始之前需要準備什麼？

在開啟 Intune 之前，請收集以下項目：

• 執行中的 RADIUS 伺服器憑證。 記錄主體通用名稱 (CN)、每個主體別名 (SAN) DNS 項目、到期日、核發的中繼 CA 以及根 CA。
• 每部 RADIUS 伺服器的憑證。 主要和次要伺服器通常使用不同的憑證。裝置必須對兩者都進行驗證。
• 根 CA 憑證檔案。 將其匯出為 .cer 檔案。您需要將其上傳到受信任憑證設定檔。- 適用於 EAP-TLS 的用戶端憑證基礎架構。 您需要 SCEP (Simple Certificate Enrollment Protocol) 或 PKCS 憑證設定檔以及簽發該憑證的 CA。Intune 還需要該 CA 的受信任憑證設定檔。
• Entra ID 群組設計。 決定每個平台要針對使用者群組還是裝置群組。請在每個連結的設定檔中保持該選擇完全一致。
• 已設定為 WPA2-Enterprise 或 WPA3-Enterprise 的無線基地台。 SSID 必須指向您的 RADIUS 伺服器。Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks 與 Fortinet 全都支援 802.1X。
• 試行群組。 包含至少一部 Windows, 一部 Apple 和一部 Android 裝置。

如果您的無線基地台是透過 RadSec (RADIUS over TLS, RFC 6614) 連接 RADIUS，兩者之間的分別就很重要。無線基地台在該環節會執行自己的憑證名稱檢查。Purple 針對 SecurePass 的 Juniper Mist 說明文件 設定了位於 Purple 網域下的萬用字元 RadSec 伺服器名稱。它也會在組織層級載入 RadSec 憑證。該檢查位於無線基地台和伺服器之間。Intune 絕不會干涉。在排除故障時，請將這兩個層級分開處理。

如何在 Intune 中設定伺服器憑證名稱和根 CA？

Microsoft 的 Intune 說明文件中有逐步的操作步驟。而以下的決定則是決定這些步驟能否順利運作的關鍵。

步驟 1：從伺服器呈現的憑證中讀取名稱

讀取您 RADIUS 伺服器目前呈現的憑證。不要依賴憑證要求或同事的筆記。負載平衡器、新節點或最近的更新都可能改變裝置所接收到的內容。

理想情況下，CN 和第一個 SAN DNS 項目是完全相同的，例如 radius.contoso.com。如果您執行兩台伺服器，請從以下模式中選擇：

• 為每台伺服器提供自己的名稱，並在設定檔中列出這兩個名稱。
• 為兩台伺服器提供同一個共享尾碼下的名稱，例如 radius1.contoso.com 和 radius2.contoso.com。

步驟 2：為伺服器的根憑證建立受信任憑證設定檔

為每個平台建立一個受信任憑證設定檔：Windows, iOS 和 iPadOS, macOS 以及 Android Enterprise。每個設定檔都包含簽發 RADIUS 伺服器憑證的根 CA。

此處常發生以下錯誤：

• 誤上傳了簽發用戶端的 CA。 如果您的 SCEP 憑證與 RADIUS 憑證來自不同的 CA，您需要獨立的受信任憑證設定檔。伺服器驗證欄位必須引用伺服器的根憑證。
• 上傳了中繼憑證而非根憑證。 請上傳根憑證。將 RADIUS 伺服器設定為在 TLS 交握期間傳送其中繼憑證，以便裝置可以建立完整的鏈結。

步驟 3：完成每個平台的伺服器驗證欄位

• Windows: 在憑證伺服器名稱下新增每個 RADIUS 伺服器名稱。在根憑證下選擇受信任的憑證設定檔，以進行伺服器驗證。Windows 接受多個根設定檔。
• iOS, iPadOS and macOS: 在憑證伺服器名稱下輸入名稱。Apple 的設定檔參考文件將此欄位記錄為已接受的伺服器憑證一般名稱清單，且接受萬用字元（例如 *.contoso.com）。選擇受信任的憑證設定檔作為伺服器驗證的根憑證。
• Android Enterprise: 在 Radius 伺服器名稱下輸入 DNS 名稱或後綴。Microsoft 的指南建議，當有多個伺服器共用同一個後綴時，只需輸入該共用後綴即可。選擇根憑證以進行伺服器驗證。

步驟 4：將所有連結的設定檔指派給同一個群組

將受信任的憑證設定檔、SCEP 或 PKCS 設定檔以及 WiFi 設定檔指派給同一個 Microsoft Entra ID 群組。請勿將其中一個設定檔傳送到使用者群組，而將另一個傳送到裝置群組。如果受信任的憑證設定檔未送達裝置，則相依的 WiFi 設定檔將會失敗或永遠無法安裝。

關於 Microsoft Entra ID 部署的識別身分部分，請參閱 如何啟用單一登入。

各平台如何套用此欄位

行為	Windows 10 and 11	iOS, iPadOS and macOS	Android Enterprise
Intune 欄位名稱	Certificate server names	Certificate server names	Radius server name
比對對象	伺服器憑證上的 DNS 名稱	伺服器憑證一般名稱	伺服器憑證上的 DNS 名稱或後綴
模式支援	輸入每個完整伺服器名稱	萬用字元，例如 *.contoso.com	後綴，例如 contoso.com
根設定	受信任的憑證設定檔	受信任的憑證設定檔	受信任的憑證設定檔
若名稱欄位留空	Windows 可能會要求員工信任該伺服器	裝置可能會要求員工信任該伺服器	Android 11 及更新版本會移除跳過驗證的選項
不相符時員工會看到什麼	連線失敗且無提示	「無法加入」訊息或信任提示	網路項目上顯示驗證問題
在哪裡讀取錯誤	WLAN-AutoConfig 運作記錄	macOS 主控台、eapolclient 程序	adb logcat、supplicant TLS 行

如何檢查伺服器驗證是否正常運作？

在擴大指派範圍之前，請在每個試用裝置上執行以下檢查：

1. 設定檔狀態。 在 Intune 中確認受信任的憑證、用戶端憑證和 WiFi 設定檔在裝置上皆回報成功。
2. 即時連線。 加入 SSID。在 Windows 上，netsh wlan show interfaces 可確認連線和驗證方法。
3. 伺服器端接受。 檢查 RADIUS 記錄中針對該裝置或帳戶的 Access-Accept。4. 負面測試。 將測試 SSID 指向證書名稱不同的 RADIUS 伺服器。裝置必須予以拒絕。這證明了驗證已強制執行，而非透過信任提示繞過。
4. 過期紀錄。 記下 RADIUS 證書的過期日期及其根憑證。將更新事宜提前排入行事曆。

負面測試是團隊最常跳過的步驟。沒有它，您就無法區分正確驗證的設定檔與信任任何證書的設定檔。

哪裡會出錯，又該如何修復？

常見的失敗模式

• 欄位中的名稱錯誤。 團隊輸入了 IP 位址、簡短主機名稱或負載平衡器的名稱。請輸入印在證書本身的名稱。
• 根憑證錯誤。 設定檔參照了用戶端發行 CA 或中間 CA。請參照簽署伺服器證書鏈的根憑證。
• 指派不匹配。 WiFi 設定檔針對使用者群組，而信任的證書設定檔則針對裝置群組。請將它們對齊。
• 遺失中間憑證。 RADIUS 伺服器僅傳送其分葉證書。裝置無法建立證書鏈，因此予以拒絕。請在伺服器上安裝中間憑證。
• CN 與 SAN 不同。 Apple 比對一般名稱（CN）。具有正確 SAN 但 CN 不同的證書可能會在 Android 上通過，但在 iPhone 上失敗。請保持兩者一致。

更新的 RADIUS 證書如何悄悄中斷連線

保留相同根憑證和相同名稱的更新，不會對裝置產生任何影響。連線將繼續運作。

當發生以下任何變更時，更新將會中斷連線：

• 根 CA。 您的提供商從不同的根憑證發行新證書。每個裝置仍指向舊的根憑證。
• 中間憑證鏈。 新的證書鏈需要伺服器未傳送的中間憑證。
• 名稱。 有人以新的主機名稱重新發行證書，或捨棄了舊的 SAN。
• 多伺服器設定中的其中一台伺服器。 僅次要伺服器發生變更，因此失敗看起來是隨機且斷斷續續的。

這種失敗是無聲無息的，因為 Intune 中沒有任何變更。設定檔仍顯示為成功，且裝置仍持有舊的根憑證。

更新將會變得更加頻繁。CA/Browser Forum 投票案 SC-081 縮減了公開信任 TLS 證書的最大存留期。在未來幾年中，此限制將大幅下降。使用公開 CA 證書的 RADIUS 伺服器每年將需要更新數次。

修復方法可消除大部分風險：

• 從您控制的私有 CA 發行 RADIUS 證書。 其根憑證的壽命可以比許多伺服器證書更長。在相同根憑證下的更新對裝置而言是隱形的。
• 在更新前預先部署任何根憑證變更。 先將新的根憑證部署為額外的信任證書設定檔。Windows 設定檔可以在重疊期間同時參照這兩個根憑證。僅在裝置回報新設定檔後，才更換伺服器證書。

讀取各平台上的錯誤

• Windows: 在事件檢視器中打開 Microsoft-Windows-WLAN-AutoConfig 執行記錄。連線失敗會顯示在此處並附帶原因。netsh wlan show wlanreport 可建立最近工作階段的 HTML 報告。
• macOS: 在主控台中篩選 eapolclient 程序。TLS 信任失敗會列出被拒絕的憑證。
• iOS 和 iPadOS: 裝置會顯示「無法加入」訊息或信任提示。在 Intune 中確認設定檔內容，然後在具有相同設定檔的 Mac 上重現以讀取記錄。
• Android: 網路項目會顯示驗證問題。在測試裝置上，adb logcat 會顯示命名憑證驗證失敗的 supplicant 行。
• RADIUS 伺服器: 啟動後在沒有用戶端回應的情況下停止的 EAP 交換，通常意味著裝置拒絕了您的憑證。

實際案例

案例 1：零售連鎖店在新的根憑證上進行更新。 一家零售連鎖店為員工手持裝置和 Windows 收銀機執行 PEAP。其公共 CA 從較新的根憑證更新了 RADIUS 憑證。每台裝置仍然指向舊的根憑證，隔天早上所有門市都無法連線。該團隊向同一個裝置群組部署了新根憑證的受信任憑證設定檔。然後，它強制從 Intune 進行同步。門市在一個 Intune 核入週期內重新連線，隨後該團隊將 RADIUS 憑證移至私有 CA。此後的更新均未產生連線失敗。擁有手持裝置和收銀機的 零售 資產都面臨這種風險。

案例 2：飯店與 Apple 通用名稱。 一家飯店在一個 EAP-TLS SSID 上為房務 iPad 和 Android 平板電腦發布了認證。重新發布的 RADIUS 憑證保留了正確的 SAN，但其 CN 恢復為伺服器的簡短主機名稱。Android 平板電腦比對 DNS 字尾成功並連線。iPad 則拒絕連線。重新發布具有相同 CN 和 SAN 的憑證，可在不接觸 Intune 的情況下恢復每台 iPad。執行混合裝置機隊的 飯店 應將保持 CN 和 SAN 一致作為標準。

案例 3：具有分開指派的會議中心。 一家公共部門會議中心向活動工作人員的 Windows 筆記型電腦部署了 EAP-TLS。WiFi 設定檔針對使用者群組，而受信任憑證和 SCEP 設定檔則針對裝置群組。部分筆記型電腦從未收到 WiFi 設定檔。將設定檔重新針對單一裝置群組解決了傳遞問題。筆記型電腦在下一次核入時連線。

一旦驗證通過，剩餘的斷線通常是無線電或漫遊問題。請參閱 解決企業 WLAN 中的漫遊問題。有關繁忙場所的頻道變更，請參閱 Cisco Meraki, HPE Aruba 和 Ruckus 上的 DFS 雷達事件：頻道變更的診斷清單。

Microsoft Entra ID 已加入機隊的檢查清單

1. 讀取每個 RADIUS 伺服器所呈現憑證的 CN 和每個 SAN DNS 項目。
2. 使 CN 與主要 SAN DNS 名稱相同。
3. 確認每個 RADIUS 伺服器在 TLS 握手期間發送其中間憑證。
4. 匯出簽發伺服器憑證的根 CA，而不是中間 CA。
5. 在您管理的每個平台上為該根 CA 建立受信任憑證設定檔。
6. 將用戶端簽發 CA 保留在其專屬、獨立的受信任憑證設定檔中。
7. 在 Windows 上輸入確切的伺服器名稱，在 Apple 上輸入通配符，在 Android 上輸入 DNS 後綴。
8. 將受信任憑證、SCEP 或 PKCS 以及 WiFi 設定檔分配給同一個 Entra ID 群組。
9. 針對平台上每個連結的設定檔，使用相同的群組類型（使用者或裝置）。
10. 在每個平台上使用不相符的伺服器憑證執行否定測試。
11. 記錄每個 RADIUS 憑證的到期日和根，並提前進行審查。
12. 在更換伺服器憑證之前，先將任何新的根 CA 暫存為額外的受信任憑證設定檔。

它的成本是多少，又能獲得什麼回報？

Intune 已包含在 Microsoft 365 E3、E5 和 Business Premium 中。大多數加入 Entra ID 的裝置群已擁有該授權。私有 CA 可以執行在 Windows Server 的 Active Directory Certificate Services 上。Microsoft Cloud PKI 則可作為單獨授權的 Intune 附加元件使用。

主要成本是員工的時間。每一次更新失敗都會在所有站點同時引發大量的支援工單。上述清單在每個平台上只需花費幾個小時，卻能消除那種週期性出現的混亂。

回報是一個沒有共享金鑰可洩漏的網路。您可以透過停用帳戶或撤銷憑證來撤銷存取權。EAP-TLS 還支援 PCI DSS v4.0 的要求 4.2.1.2，該要求規定連接到持卡人資料環境的無線網路上必須使用強式密碼學。醫療保健 場所和營運員工裝置的 鐵路 營運商都能從相同的控制中受益。

Purple Staff WiFi 將「基於身分的網路」和雲端 RADIUS 引入了此模式。它與 Microsoft Entra ID、Okta 和 Google Workspace 協同工作，因此入職、異動和離職員工會自動更新網路存取權限。它在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之間均不限硬體。Purple 在 80,000 多個真實場所中運作，並持有 ISO 27001 和 Cyber Essentials 認證。

常見問題解答

Intune WiFi 憑證驗證是否適用於我們已擁有的存取點？

是的。伺服器驗證是在裝置和 RADIUS 伺服器之間進行，因此存取點只需要支援 WPA2-Enterprise 或 WPA3-Enterprise。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 全都支援 802.1X。Purple Staff WiFi 與硬體無關，可作為現有設備上的雲端重疊網路運作。您不需要更換硬體即可將員工轉移到基於憑證的驗證。

部署 Intune WiFi 設定檔是否需要額外的 Microsoft 授權？

不需要，如果您已擁有 Microsoft 365 E3、E5 或 Business Premium。這些套件已包含 Intune，其中涵蓋 WiFi、受信任的憑證以及 SCEP 或 PKCS 設定檔。您可能需要另外支付憑證授權單位的費用。Active Directory 憑證服務執行於 Windows Server。Microsoft Cloud PKI 是單獨授權的 Intune 附加元件。您的 RADIUS 伺服器是獨立費用，無論您執行的是網路原則伺服器還是雲端 RADIUS 服務。

RADIUS 伺服器憑證應該來自公用 CA 還是私有 CA？

對大多數裝置群而言，私有 CA 是更安全的選擇。您控制其根目錄，因此該根目錄下的更新永遠不會破壞裝置信任。根據 CA/Browser Forum 投票案 SC-081，公用 CA 憑證的有效期正在縮短。每一次的公用更新都面臨根目錄或中介變更的風險，裝置將會拒絕連接，直到您重新部署信任設定檔為止。

我們可以在不干擾員工的情況下，從 PEAP 密碼遷移到 EAP-TLS 嗎？

可以。將 SCEP 或 PKCS 憑證設定檔以及新的 EAP-TLS WiFi 設定檔與現有的 PEAP 設定檔一起部署。在每個平台上試行一個群組，並在您的 RADIUS 記錄中確認連線。在每個群組都能穩定連線後，移除 PEAP 設定檔。這兩種方法中的伺服器驗證設定、名稱和根目錄都可以保持不變。這消除了移轉中風險最高的變數。

當 RADIUS 憑證更新時，Intune WiFi 設定檔會發生什麼事？

什麼都不會發生，前提是更新的憑證保持相同的根 CA 和相同的名稱。裝置會保持連線。如果根目錄、中介鏈、CN 或 SAN 發生變更，即使 Intune 仍然回報設定檔為成功，裝置也會拒絕該伺服器。請先將任何新的根目錄部署為額外的受信任憑證設定檔。確認裝置已收到該設定檔後，再將更新的憑證安裝到 RADIUS 伺服器上。

憑證型員工 WiFi 是否有助於符合 PCI-DSS 和 GDPR？

是的。PCI-DSS v4.0 要求 4.2.1.2 規定，對於連接至持卡人資料環境的無線網路，必須使用強式密碼編譯。具備伺服器驗證功能的 EAP-TLS 在無需共用金鑰的情況下即可達到此標準。對於 GDPR，憑證驗證將每個工作階段與已知身分綁定，這支援了存取記錄和立即撤銷。Purple 擁有 ISO 27001 和 Cyber Essentials 認證，且其平台符合 GDPR 規範。

設定檔變更需要多長時間才能到達裝置？

大多數已註冊的裝置會在下一次 Intune 簽入時收到變更。對於 Windows、iOS 和 Android 裝置，該簽入會在一整天中定期執行。您可以從 Intune 或裝置本身強制執行立即同步。請至少在 RADIUS 憑證更換前一個完整的簽入週期計劃根目錄變更。關機的裝置將在下一次簽入時取得更新。