如何設定 802.1X WiFi 驗證：逐步設定指南

如何配置 802.1X WiFi 驗證：逐步指南 Purple 企業級 WiFi 智慧播客 [引言 - 約 1 分鐘] 歡迎回來。今天我是以資深解決方案架構師的身分在此發言，如果您正在收聽本節目，您可能正面臨一個涉及 802.1X 驗證的網路安全專案 - 無論是因為您的合規小組已標記此專案、您的保險公司詢問過此專案，還是您剛接手了一個運行在共用 PSK 上的網路，而您知道這已經不合時宜了。 所以讓我們直接進入正題。802.1X 是用於基於連接埠的網路存取控制的 IEEE 標準。它是企業級 WiFi 安全的骨幹 - 這種機制可確保連接到您網路的每個設備在傳輸單個位元組的流量之前，都已獲得確切的識別與授權。對於根據 PCI-DSS 處理付款卡資料的組織而言，這不是可有可無的；對於 GDPR 和 NHS 資料安全標準下的醫療保健環境而言，這不是可有可無的；坦白說，對於任何運行超過少數幾個存取點的組織而言，這都是正確的架構。 在接下來的十分鐘內，我將帶您了解技術架構、RADIUS 配置、憑證部署以及這項工作變得複雜的實際情境。我們開始吧。 [技術深挖 - 約 5 分鐘] 好的，802.1X 架構有三個組成部分。您有 Supplicant（用戶端） - 那是用戶端設備，即筆記型電腦、手機、IoT 感測器。您有 Authenticator（驗證器） - 那是您的存取點或您的網路交換器，有時稱為 NAS（網路存取伺服器）。還有 Authentication Server（驗證伺服器） - 在企業部署中幾乎普遍是 RADIUS 伺服器。 以下是交握的工作原理。當設備嘗試連接到受 802.1X 保護的 SSID 時，存取點不會直接讓它加入。相反地，它會開啟一個所謂的受控連接埠 - 一個僅傳輸 EAP 流量（可延伸驗證通訊協定）的受限通道。AP 向設備發送 EAP-Request Identity。設備以其身分識別進行回應。然後 AP 將其轉發給 RADIUS 伺服器，包裝在 RADIUS Access-Request 封包中。RADIUS 伺服器執行驗證 - 比對 Active Directory、憑證存放區或您配置的任何身分識別後端來檢查認證資料 - 並傳回 Access-Accept 或 Access-Reject。只有在收到 Accept 時，AP 才會開啟完整的資料連接埠，並將設備分配到適當的 VLAN。 現在，您在此處選擇的 EAP 方法至關重要。您在企業部署中會遇到五種方法。 EAP-TLS 是黃金標準。用戶端與伺服器雙方都會出示 X.509 憑證。其中不涉及任何密碼。這是最安全的選項，也是最高 PCI-DSS 合規性級別所要求的選項。缺點是您需要完整的 PKI（公開金鑰基礎建設）來發行和管理用戶端憑證。這意味著需要憑證授權單位、憑證生命週期管理，以及將憑證推送到每部裝置的機制。對於擁有 Microsoft Active Directory 和 Active Directory Certificate Services 的組織而言，這是非常容易實現的。對於沒有該基礎建設的組織，這是一筆重大的投資。 PEAP-MSCHAPv2 是實務上部署最廣泛的方法。它僅使用伺服器端憑證建立 TLS 通道，然後在該通道內傳遞使用者名稱和密碼憑證。它幾乎與開箱即用的每部裝置相容，在 Windows Server 上可透過 NPS 與 Active Directory 直接整合，且不需要用戶端憑證。代價是，如果使用者被誘騙連接到惡意 AP，它很容易受到憑證收集攻擊 - 因為用戶端預設不會驗證伺服器憑證。您必須在您的 supplicant 設定檔中強制執行伺服器憑證驗證。 EAP-TTLS 與 PEAP 類似，但在內部驗證方法上更有彈性。這在 Linux 環境以及需要支援舊版驗證後端的環境中很常見。 EAP-FAST 是由 Cisco 開發的，以因應 LEAP 的弱點。它使用受保護的存取憑證（PAC）而非一般的憑證。如果您處於 Cisco 密集型環境或處理無法支援其他通訊協定的舊版裝置，則這項技術主要與您相關。 EAP-SIM 和 EAP-AKA 用於電信級部署 - 例如 OpenRoaming 或 Passpoint - 其中驗證與 SIM 卡或 USIM 綁定。這些技術對於希望在沒有 Captive Portal 的情況下實現無縫、安全上網的公共場地 WiFi 而言，正變得越來越重要。 現在我們來談談 RADIUS 設定。無論您是部署 Microsoft NPS、FreeRADIUS、Cisco ISE 還是 Aruba ClearPass，核心設定步驟都是相同的。 首先，您需要定義 RADIUS 用戶端 - 這些是您的存取點或無線 LAN 控制器。每個用戶端都使用其 IP 位址和共用金鑰進行註冊。該共用金鑰用於驗證 AP 與伺服器之間的 RADIUS 訊息。請使用至少 22 個字元、隨機產生，且每個 NAS 裝置皆不相同的專屬金鑰。 其次，您要設定網路原則。這是您定義誰能存取什麼內容的地方。以 NPS 的術語來說，您正在建立一個符合條件（Active Directory 中的群組成員資格、裝置類型、一天中的時間）並指派屬性（VLAN ID、工作階段逾時、頻寬限制）的網路原則。您最常使用的 RADIUS 屬性是 VLAN 指派，特別是 Tunnel-Type 設定為 VLAN、Tunnel-Medium-Type 設定為 802，以及 Tunnel-Private-Group-ID 設定為您的 VLAN 編號。 第三，您需要設定連線要求原則。這會告訴 NPS 如何處理傳入的 RADIUS 要求 - 是在本機進行驗證，還是轉發到另一個 RADIUS 伺服器。在分散式佈署中，您可能會在每個站點設有 NPS Proxy 的中央 RADIUS 伺服器。 在憑證方面，對於 PEAP 和 EAP-TLS，您的 RADIUS 伺服器需要一個受您用戶端信任的伺服器憑證。最簡單的方法是使用來自大眾 CA 的憑證 - DigiCert、Sectigo、Let's Encrypt - 因為這些根憑證已被所有主流作業系統所信任。如果您使用的是內部 CA，您需要透過群組原則或您的 MDM 平台將根憑證推送到所有用戶端裝置。 特別是針對 EAP-TLS，您還需要用戶端憑證。在 Active Directory 環境中，您會使用 ADCS，並透過群組原則自動註冊，將憑證推送到加入網域的裝置。對於 BYOD 裝置，您會使用您的 MDM - Intune、Jamf、VMware Workspace ONE - 來推送憑證和 WiFi 設定檔。 在存取點方面，設定非常簡單。您建立一個新的 SSID，將安全性設為 WPA2-Enterprise 或 WPA3-Enterprise，將 RADIUS 驗證伺服器指向 UDP 連接埠 1812 上的 NPS IP，在 UDP 連接埠 1813 上設定 RADIUS 帳務伺服器，輸入共用金鑰，如果您有使用的話，並啟用動態 VLAN 分配。大多數企業級 AP 平台 - Cisco Meraki、Aruba、Ruckus、Extreme - 都對此提供了 GUI，只要您的 RADIUS 伺服器準備就緒，大約花費十分鐘即可完成。 [實施建議與陷阱 - 約 2 分鐘] 好，我們來談談佈署容易出錯的地方，因為這正是展現我顧問價值的地方。 最常見的故障點是憑證驗證。我見過有些組織在伺服器端正確佈署了 PEAP-MSCHAPv2，卻讓用戶端求助程式設定檔設定為接受任何憑證。這完全破壞了安全模型。每個求助程式設定檔 - 無論是透過群組原則還是 MDM 推送 - 都必須指定信任的根 CA 和預期的伺服器名稱。如果沒有這樣做，您很容易受到邪惡雙生仔攻擊（Evil Twin Attacks）。 第二個常見問題是 RADIUS 共用金鑰管理。我見過有些生產網路在運作時，共用金鑰仍設為 "radius" 或廠商預設值。這些金鑰是您驗證基礎架構的核心。請隨機產生它們，儲存在金鑰管理器中，並定期進行輪替。 第三：VLAN 設定錯誤。動態 VLAN 分配功能強大 - 它能讓您將員工裝置置於公司 VLAN、承包商置於受限 VLAN，以及將 IoT 裝置置於隔離的 VLAN，而這一切都來自同一個 SSID。但如果 RADIUS 屬性設定不正確，或者交換器主幹連接埠（Trunk Ports）沒有承載正確的 VLAN，裝置要麼無法連線，要麼會進入錯誤的網路區段。在推廣到生產環境之前，請先在實驗室中進行徹底測試。 第四：備援。您的 RADIUS 伺服器現在是關鍵的基礎設施。如果它發生故障，所有人將無法連線。您需要在每台 AP 上至少配置主要與次要 RADIUS 伺服器。在大型部署中，請考慮具有健康監測功能的 RADIUS 代理伺服器叢集。 第五，這是針對旅宿與零售環境：訪客與企業網路隔離。您的 802.1X 企業 SSID 與您的訪客 WiFi SSID 應完全分開 - 不同的 VLAN、不同的防火牆策略、不同的 DNS。像 Purple 這樣的平台可以用自己的 captive portal 與分析層處理訪客端，而您的 802.1X 基礎設施則處理企業端。這兩者是互補而不是競爭的系統。 [快速問答 - 約 1 分鐘] 讓我快速解答我最常收到的問題。 我可以在雲端管理的 AP 平台上執行 802.1X 嗎？可以 - Meraki、Aruba Central 和 Ruckus Cloud 都支援。您在雲端儀表板中配置 RADIUS 伺服器詳細資訊，AP 會處理 EAP 代理。 我需要 Active Directory 嗎？不需要。FreeRADIUS 可以針對 LDAP、SQL 資料庫、純文字檔案甚至 REST API 進行驗證。但透過 NPS 進行 AD 整合是目前最常見的企業管道。 那不支援 802.1X 的 IoT 裝置呢？請使用 MAC Authentication Bypass - MAB - 作為備用方案。裝置的 MAC 位址會作為使用者名稱和密碼發送到 RADIUS。它不像 EAP 那麼安全，但它可以讓您在將 IoT 裝置保持在受限 VLAN 的同時，將其導入系統。 802.1X 可以與 WPA3 一起使用嗎？可以。WPA3-Enterprise 本質上就是具有 802.1X 驗證的 WPA3。它增加了更強的加密 - 在高安全模式下為 192 位元 - 並且是新部署的推薦標準。 [總結與後續步驟 - 約 1 分鐘] 因此，綜上所述：802.1X 並非可有可options。對於任何處理敏感資料、處理付款或在受監管環境中營運的組織來說，它是企業 WiFi 安全的基準。其架構非常成熟、工具非常完善，且部署路徑非常清晰。 從選擇您的 EAP 方法開始 - 如果您需要快速見效和廣泛的相容性，請選擇 PEAP-MSCHAPv2；如果您有 PKI 基礎設施並需要最強的安全姿態，請選擇 EAP-TLS。在動用任何一台 AP 之前，先配置好您的 RADIUS 伺服器並做好備援。在正式上線之前，透過群組原則或 MDM 推送您的用戶端設定檔。並保持您的訪客 WiFi 完全獨立 - 在該層級使用專門建立的平台。 如果您營運的是多場館環境 - 飯店、零售連鎖店、體育場 - 複雜度會隨著站點數量增加，但架構不會改變。關鍵在於具有站點本地備援的集中式 RADIUS，以及在您的裝置群中推行一致的 MDM 推送用戶端設定檔。 感謝您的收聽。完整的書面指南、架構圖和配置清單可在 purple.ai 取得。如果您正計劃進行 802.1X 部署並希望討論您環境的具體細節，請直接與 Purple 團隊聯絡。