Android 802.1X and EAP-TLS 疑難排解：Intune 與 Microsoft Entra ID 的部署檢核清單

託管的 Android 手機通常會因為以下四個原因之一導致 EAP-TLS 失敗。WiFi 設定檔缺少 CA 憑證或網域，因此 Android 拒絕該 RADIUS 伺服器；用戶端憑證存在於不同的設定檔中；RADIUS 伺服器名稱欄位與伺服器憑證不相符；或者是受信任的根憑證設定檔從未傳送到該裝置。

Android 上的 EAP-TLS 失敗是什麼樣子？

EAP-TLS（可延伸驗證通訊協定傳輸層安全性）使用憑證而非密碼來驗證裝置。它在 IEEE 802.1X（基於連接埠的存取控制標準）內執行。802.1X 將驗證工作交給 RADIUS（遠端使用者撥入驗證服務）伺服器。

當 Android 上的驗證失敗時，您通常會看到以下症狀之一：

• 網路出現在清單中，但始終停留在「正在連線」，然後又降回「已儲存」。
• 裝置顯示一般的驗證錯誤。具體字眼因製造商而異。
• 網路在 Samsung 手機上運作正常，但在 Google Pixel 上卻不行，反之亦然。
• 網路在公司擁有的手機上運作正常，但在註冊有工作設定檔的個人擁有裝置上卻失敗。
• 您的 RADIUS 記錄中完全沒有出現任何內容。

最後一個症狀最為重要。如果裝置根本沒有到達 RADIUS，則是設定檔問題，而不是驗證問題。

通常是什麼原因導致 Android EAP-TLS 失敗？

近期 Android 版本中更嚴格的伺服器驗證

近期的 Android 版本移除了新企業網路的「不進行驗證」選項。Android 現在在傳送其憑證之前需要兩樣東西：一個可信任的 CA 憑證以及一個要比對的網域。

如果缺少這兩者，裝置就會拒絕完成 TLS 握手。在舊版本上運作多年的設定檔可能會在裝置進行作業系統更新後失效。

憑證在工作設定檔中，但從個人端加入網路

Android Enterprise 將工作設定檔與個人端隔離開來，且各自擁有獨立的憑證儲存庫。Intune 會將用戶端憑證和受信任的根憑證安裝在工作設定檔中。如果員工從個人設定中手動新增 SSID，將無法存取這些憑證，因而導致驗證失敗。

RADIUS 伺服器名稱欄位

Intune Android Enterprise WiFi 設定檔中包含一個 RADIUS 伺服器名稱欄位。Microsoft 的官方文件要求輸入您的 RADIUS 伺服器所出示憑證中的 DNS 名稱。Android 會將此值放入其網域欄位中，並將其與伺服器憑證進行比對。如果該欄位留空、拼錯或包含 IP 位址，驗證就會失敗。

受信任的根憑證設定檔

WiFi 設定檔會指向一個獨立的 Intune 受信任憑證設定檔。該設定檔必須包含核發 RADIUS 伺服器憑證的根 CA。常見的錯誤是在用戶端憑證背後部署根憑證，而實際上是由不同的 CA 簽署伺服器憑證。這兩個設定檔也必須針對相同的群組和相同的 Android Enterprise 註冊類型。### 製造商差異

Samsung、Google Pixel 和其他製造商版本標記與排列企業 WiFi 設定的方式各不相同。有些會顯示額外選項，例如線上憑證狀態檢查。請以您自己車隊的裝置為基準，而不是參考其他品牌的螢幕截圖。

您如何找出造成問題的原因？

從裝置開始，然後在 RADIUS 紀錄中進行確認。紀錄中的模式通常會指出原因。

症狀	RADIUS 顯示內容	可能原因	首要解決方法
沒有任何嘗試傳送到 RADIUS	裝置無請求	未套用 WiFi 設定檔，或 SSID 名稱不符	在 Intune 中檢查每台裝置的設定檔狀態
伺服器傳送憑證後交握停止	來自用戶端的 TLS 警示，例如 "unknown CA"	信任的根憑證錯誤或缺失，或網域不符	部署伺服器的根 CA 並修正 RADIUS 伺服器名稱
伺服器端完成交握，隨後失敗	未提供用戶端憑證	缺少 SCEP 或 PKCS 憑證，或位於錯誤的設定檔中	確認該裝置的憑證設定檔已成功套用
憑證被接受，隨後被拒絕	憑證驗證後顯示 Access-Reject	身分對應、撤銷或原則規則	對照身分識別提供者檢查憑證主旨或 SAN
僅在個人擁有的裝置上失敗	無請求，或無用戶端憑證	從個人端加入 SSID	將設定檔部署至工作設定檔並停止手動加入

在裝置上讀取失敗資訊

在 Microsoft Intune 系統管理中心，開啟裝置並檢查每個組態設定檔的狀態。顯示為「擱置中」或「錯誤」的 WiFi 設定檔從未傳送至裝置。憑證設定檔發生錯誤代表 SCEP (Simple Certificate Enrollment Protocol) 或 PKCS (Public Key Cryptography Standards) 核發失敗。在您調整網路之前，請先修正此問題。

在實驗室裝置上，來自 WiFi 請求者的 Android Debug Bridge 紀錄會顯示確切的 TLS 警示。這適用於測試手機，不適用於生產環境中的整批裝置。

讀取 RADIUS 紀錄

FreeRADIUS、Microsoft Network Policy Server 和雲端 RADIUS 平台都會記錄 EAP 交換停止的位置。請依裝置的 MAC 位址或憑證身分進行搜尋。用戶端傳送的 TLS 警示代表手機拒絕了您的伺服器。在憑證有效後收到 Access-Reject 代表您的伺服器拒絕了手機。

如果裝置已通過驗證，但在員工於樓層間走動時斷線，則原因有所不同。請閱讀 Resolving Roaming Issues in Corporate WLANs。與通道變更同時發生的中斷則指向雷達事件。請參閱 DFS radar events on Cisco Meraki, HPE Aruba and Ruckus: a diagnostics checklist for channel changes。

您如何在 Intune 和各個 Android 版本上修正此問題？

在 Intune 中

1. 開啟與註冊類型相符的 Android Enterprise WiFi 設定檔。完全託管、專用和公司所有的工作設定檔裝置使用一種設定檔類型。個人所有的工作設定檔裝置則使用另一種。
2. 將 EAP 類型設定為 EAP-TLS。
3. 在 RADIUS 伺服器名稱中輸入 RADIUS 伺服器憑證的 DNS 名稱。憑證中的確切名稱是最安全的值。切勿輸入 IP 地址。
4. 選取包含伺服器根 CA 的信任憑證設定檔。
5. 選取用於用戶端驗證的 SCEP 或 PKCS 設定檔。
6. 將這三個設定檔分配給同一個群組。

在 Samsung、Pixel 和其他版本上

切勿要求員工在任何品牌上手動編輯企業設定。手動變更會繞過 Intune 並在工作設定檔的錯誤一側生效。如果某個製造商的裝置失敗而另一個運作正常，請先比較設定檔狀態。然後在您的實驗室中針對該版本測試網域名稱值。

在 RADIUS 端

確認伺服器憑證包含您在 Intune 中輸入的 DNS 名稱。確認其鏈結指向您部署的根。如果您使用 Purple Staff WiFi，Purple 會提供雲端 RADIUS 服務，並透過 RadSec (即封裝在 TLS 內的 RADIUS) 連線到您的存取點。廠商設定步驟請參閱 Purple 的支援文章，例如 Staff WiFi - Ubiquiti UniFi。請在 Security and Hardware Compatibility 中確認存取點需求。

實作情境

Android 更新後的 200 間客房酒店

設想一家擁有 200 間客房的酒店，配備 60 支公司所有的手持裝置供房務和維護人員使用。在每月更新後，40 支手持裝置停止加入員工 SSID。RADIUS 記錄顯示了用戶端傳送的 TLS 警報。

該 WiFi 設定檔沒有 RADIUS 伺服器名稱值，而較舊的版本曾容許此情況。IT 團隊新增了伺服器憑證的 DNS 名稱並重新部署了設定檔。在下一次 Intune 簽入後，所有 60 支手持裝置均已連線，無需恢復原廠設定。酒店業者可以在我們的 Hotels 頁面上找到更多關於員工連線的資訊。

擁有個人裝置的 120 家門市連鎖零售商

設想一家擁有 120 家門市的 零售 連鎖店，門市經理使用註冊了工作設定檔的個人手機。技術支援工單顯示，許多門市的手機從未連線到 RADIUS。

經理們從個人設定中新增了門市 SSID，而該處並不存在憑證。團隊分配了個人所有的工作設定檔 WiFi 設定檔，並告知經理移除手動輸入的項目。在每部手機接收到託管設定檔後，連線失敗的情況便停止了。

鐵路營運商更新其伺服器憑證

考慮一家在車上和車廠運行員工 WiFi 的鐵路營運商（Trains）。該營運商向新的發行 CA 更新了其 RADIUS 伺服器憑證。所有 Android 裝置在一夜之間全數失敗，並出現「未知的 CA」警示。若在切換前將新的根憑證上傳到受信任的憑證設定檔，本可避免這次斷線事故。該營運商現在會提前兩週部署根憑證變更。

如何防止這種情況再次發生？

Intune 與 Entra ID 中的 Android 裝置群部署檢查清單

• 對應身分識別： 決定憑證要攜帶裝置 ID 還是員工的 UPN（即其 Entra ID 登入名稱）。設定 RADIUS 以符合該欄位。
• 按註冊類型區分： 為公司擁有的裝置建立一組設定檔，並為個人擁有的工作設定檔裝置建立另一組。
• 配對設定檔： 受信任的根憑證、用戶端憑證和 WiFi 設定檔必須共用同一個指派群組。
• 使用正確的根憑證： 部署簽署 RADIUS 伺服器憑證的 CA。
• 填寫 RADIUS 伺服器名稱： 使用伺服器憑證中的 DNS 名稱，絕不要使用 IP 地址。
• 跨製造商試辦： 測試至少一款 Samsung 和一款 Pixel 手機，以及您裝置群中的任何其他品牌。
• 禁止手動加入： 告知員工絕不要手動新增 SSID。
• 分階段進行憑證更新： 在伺服器憑證變更之前先推送新的根憑證。
• 監看雙邊狀態： 在部署期間，每週審查 Intune 設定檔狀態與 RADIUS 拒絕記錄。

關於身分識別提供者整合，請參閱 如何啟用單一登入。

常見問題

Purple 員工 WiFi 是否支援在 Intune 中管理的 Android 裝置？

是的。Purple 員工 WiFi 使用基於憑證的 802.1X 對管理的 Android 裝置進行驗證，以對接 Purple 的雲端 RADIUS。您可以使用 Intune 進行憑證與 WiFi 設定檔的派送。Purple 可連接至 Microsoft Entra ID、Okta 和 Google Workspace 進行身分識別。您的 Intune 設定檔會指向 Purple RADIUS 伺服器憑證，而不是內部部署伺服器。本指南中的 Android 端規則仍然適用：必須有受信任的根憑證與相符的網域。

我需要新的無線存取點才能在 Purple 運行 EAP-TLS 嗎？

不需要。Purple 支援各種硬體，可作為您已在運行的無線存取點上的雲端覆蓋層。支援的廠商包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。每個廠商都需要指向 Purple 的 RADIUS 設定。設定步驟可在 Purple 的支援文章中找到。在開始之前，請先閱讀《安全性與硬體相容性》文章以確認型號級別的要求。

我可以在不重新註冊 Android 裝置的情況下，從內部部署 NPS 轉移到雲端 RADIUS 嗎？

是的，在大多數情況下您都可以這樣做。如果新的 RADIUS 服務信任您的發行 CA，裝置就會保留其現有的用戶端憑證。您需要在 Intune 中更新信任的根設定檔和 RADIUS 伺服器名稱，以符合新的伺服器憑證。在切換 SSID 的 RADIUS 目標之前，請先預先部署這些設定檔變更。這樣可以防止本指南中提到的夜間「未知 CA」失敗。

對於員工裝置，EAP-TLS 是否優於 PEAP 或 iPSK？

是的，對於受控裝置群來說的確如此。EAP-TLS 為每個裝置或身分使用獨立憑證，因此沒有共享密碼洩漏的風險。PEAP (Protected EAP) 依賴 TLS 通道內的使用者名稱和密碼。iPSK (identity pre-shared key) 則為每個裝置或群組提供專屬金鑰。iPSK 適用於無法安裝憑證的非受控裝置。EAP-TLS 則適用於您透過 Intune 管理的電話。

Purple 在員工驗證資料方面符合哪些合規標準？

Purple 通過 ISO 27001 和 Cyber Essentials 認證，並符合 GDPR 與 CCPA。以憑證為基礎的 802.1X 支援 PCI DSS 對持卡人資料周邊網路所要求的高強度存取控制。Purple 同時也獲得了 B Corp 認證。如果您的採購流程需要副本，請向您的客戶團隊索取最新的憑證。

Android 的 EAP-TLS 部署需要多少時間？

大部分的精力預計會花在 PKI 和 Intune 上，而非無線基地台。將 SSID 指向 Purple 的 RADIUS 只需遵循支援中心內簡短的廠商檢查清單。為每種註冊類型建立 SCEP 或 PKCS 設定檔、信任的根設定檔以及 WiFi 設定檔則需要較多時間。在進行全面部署之前，請預留時間對您裝置群中的每個製造商進行試點測試。