Eduroam 與 802.1X：高等教育的安全 WiFi 驗證 | Purple

播客腳本：eduroam 與 802.1X - 高等教育安全 WiFi 驗證 播放時長：約 10 分鐘 配音：英式英語，男聲，資深顧問語氣 - 自信、口語化、具權威性 --- [片頭 - 1 分鐘] 歡迎回來。在接下來的十分鐘裡，我將帶您深入了解 eduroam 與 802.1X - 它們是什麼、實際的底層運作原理，以及您的團隊在部署或進行兩者整合前需要了解哪些資訊。 如果您是大學、大專院校或研究機構的 IT 經理、網路架構師或 CTO - 又或者您是場地營運商，需要了解學術訪客對您的無線基礎架構有何期待 - 這場簡報正是為您準備的。 我們先從大局看起。eduroam 代表的是 "education roaming"（教育漫遊）。這是一項全球性的 WiFi 漫遊服務，讓來自成員機構的學生、研究人員和教職員能夠在任何參與該計劃的場地連上網路 - 自動、安全，且使用他們原屬機構的憑證。不需要訪客入口網站。不需要憑證代碼。不需要向櫃檯詢問密碼。 這項服務自 2003 年開始運行，目前已覆蓋超過 100 個國家的 10,000 多個機構，是全球高等教育校園無線網路的業界標準。如果您的組織與大學有所交集 - 無論您是校園附近的飯店、舉辦學術活動的會議中心，還是大學城裡的公共圖書館 - 了解 eduroam 都與您的網路策略直接相關。 --- [技術深挖 - 5 分鐘] 好。我們來進入技術機理。 eduroam 是建立在 IEEE 802.1X（基於連接埠的網路存取控制標準）之上的。802.1X 定義了一個在裝置獲准存取網路之前進行驗證的框架。它最初是為有線乙太網路設計的，但可以完美對接到無線網路上，並且是我們所稱的 WPA2-Enterprise 或 WPA3-Enterprise 安全性的基礎。 802.1X 模型由三個部分組成。第一，用戶端（Supplicant） - 也就是嘗試連線的裝置。學生的筆記型電腦，或是研究人員的手機。第二，驗證器（Authenticator） - 也就是您的網路無線基地台或網管交換器。它介於用戶端與網路其他部分之間，扮演看門人的角色。第三，驗證伺服器（Authentication Server） - 幾乎都是 RADIUS 伺服器。RADIUS 代表 Remote Authentication Dial-In User Service。這是實際驗證憑證的組件。 握手程式的運作方式如下。學生的裝置會與無線存取點進行關聯。存取點此時還不會授予完整的網路存取權限，而是會開啟一個稱為受控連接埠的埠口，但僅限 EAP 流量通行。EAP 代表可延伸驗證協定。存取點會在裝置與 RADIUS 伺服器之間代理 EAP 對話。RADIUS 伺服器會對裝置發出挑戰，裝置則回應憑證（通常是使用者名稱和密碼或憑證），若 RADIUS 伺服器驗證無誤，就會傳回 Access-Accept 訊息。接著存取點會開啟完整的網路連接埠。在配置完善的部署中，整個交換過程不超過兩秒。 那麼，eduroam 是如何層疊其上的？eduroam 使用階層式的 RADIUS 代理架構。每個參與的機構都會運作自己的 RADIUS 伺服器，稱為身分識別提供者（IdP）。當來自曼徹斯特大學（University of Manchester）的學生造訪倫敦帝國學院（Imperial College London）並連線至 eduroam SSID 時，他們的裝置會以 username@manchester.ac.uk 的格式傳送憑證。倫敦帝國學院的 RADIUS 伺服器會辨識領域（即 @ 符號之後的部分），並將驗證請求向上代理至國家級 RADIUS 伺服器（在英國是由國家學術網路 Jisc 所營運）。接著 Jisc 會將請求路由至曼徹斯特大學的 RADIUS 伺服器，由該伺服器驗證憑證並傳回 Accept 或 Reject。整個鏈條會在毫秒內完成解析。 正是這種代理鏈，讓 eduroam 能夠跨越機構邊界運作，且機構之間不需要任何預先共用的金鑰。鏈條中的每個躍點僅與其直接相鄰的節點共用 RADIUS 金鑰。學生的實際密碼絕不會離開母校的 RADIUS 伺服器，並由 EAP 通道提供端到端的保護。 提到 EAP 方法，這正是許多部署出錯的地方，因此請特別注意。eduroam 中最常見的 EAP 方法是 PEAP（受保護的 EAP）和 EAP-TLS。PEAP 將內部的驗證方法（通常是 MSCHAPv2）封裝在 TLS 通道中。它需要在 RADIUS 伺服器上安裝伺服器端憑證，但用戶端僅需要使用者名稱和密碼。EAP-TLS 是更安全的選擇，它使用雙向憑證驗證，意即伺服器和用戶端雙方都需要出示憑證。由於需要 PKI 來核發用戶端憑證，因此在大規模部署上較為困難，但它基本上能免疫憑證網路釣魚。許多機構出錯的關鍵安全性要求是用戶端證書驗證。當裝置使用 PEAP 連線到 eduroam 時，該裝置必須在提交認證資訊之前驗證 RADIUS 伺服器的證書。如果裝置設定錯誤以致接受任何證書，攻擊者就可以架設一個廣播 eduroam SSID 的惡意存取點，提供自我簽署的證書並收集認證資訊。這是一個已知的攻擊媒介。解決方法是設定您的 supplicant 設定檔 - 對於受管理裝置透過 MDM 進行，對於個人裝置則透過名為 CAT 的 eduroam 設定助理工具進行 - 以綁定預期的憑證授權單位和伺服器名稱。 從標準角度來看，eduroam 部署預期要符合 eduroam Policy Service Definition，該定義強制要求所有 RADIUS over TLS 連線使用 TLS 1.2 或更高版本，禁止使用弱 EAP 方法 (例如 EAP-MD5 或 LEAP)，並要求所有 RADIUS 代理連線在可能的情況下使用 RadSec - RADIUS over TLS - 而不是純 UDP RADIUS。這符合英國 NCSC 指引和美國 NIST SP 800-120 的規定。 還有一個值得注意的技術點：VLAN 分配。在架構良好的 eduroam 部署中，RADIUS Access-Accept 回應包含 VLAN 屬性，這些屬性會告訴存取點要將連線裝置分配到哪個 VLAN。這讓您可以分割流量 - 將訪問的學生放在僅限網際網路存取的限制 VLAN，同時將您自己的教職員路由到內部網路。這對於合規性至關重要，特別是如果您受到 PCI-DSS 的約束，或者需要保持研究數據網路與一般網際網路流量之間的隔離。 - [實施建議和陷阱 - 2 分鐘] 讓我給您實用的指引。 如果您是首次部署 eduroam，您的首要聯繫對象應該是您國家的 NREN - 在英國是 Jisc，在愛爾蘭是 HEAnet，在美國是 Internet2。他們處理聯盟成員身份，並會為您分配一個 RADIUS 領域。如果不是國家聯盟的成員，您就無法參與 eduroam。 您的基礎架構清單：您需要支援 802.1X 的存取點 - 任何來自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企業級設備都可以做到。您需要一台 RADIUS 伺服器 - FreeRADIUS 是開源標準，或者您可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要為您的 RADIUS 伺服器取得一張有效的 TLS 證書，該證書需來自受 eduroam 社群信任的憑證授權單位 (CA) - 通常是來自您機構的 PKI 或 eduroam 批准清單上的商業 CA。 我見過最常見的三個部署失敗原因為：第一，憑證設定錯誤 - 可能是 RADIUS 憑證已過期，或是用戶端 supplicant 設定檔未正確釘選。第二，RADIUS 代理逾時 - 如果您的上游 NREN 連線有延遲問題，驗證將會逾時，使用者會看到看似憑證錯誤的連線失敗。第三，VLAN 設定錯誤 - 來訪使用者最終進入錯誤的網路區段，導致無法存取網際網路，或者更糟的是，獲得了存取不該看到的內部資源的權限。 在用戶端方面，請透過您的 MDM 平台將 eduroam CAT 設定檔部署到所有受管理裝置。對於個人裝置，請在醒目位置發佈 CAT 安裝程式連結。僅此一個步驟即可消除大部分的支援工單。 對於非高等教育機構但希望提供 eduroam 存取的場所 - 會議中心、飯店等 - 此流程稱為 eduroam 訪客存取（eVA）。它允許非會員組織託管 eduroam SSID 並將驗證代理傳送到同盟，而無需成為正式會員。如果您經常舉辦學術會議或大學活動，這非常值得深入研究。 --- [快速問答 - 1 分鐘] 我經常被問到的快速問題。 「eduroam 可以完全取代我們的訪客 WiFi 嗎？」不行。eduroam 僅適用於在會員機構擁有憑證的使用者。您仍然需要為其他所有人（訪客、承包商、一般大眾）提供獨立的訪客 WiFi 解決方案。 「eduroam 是否符合 GDPR？」是的，但有一些注意事項。同盟架構意味著您的機構會處理驗證資料，但您需要確保您的隱私權聲明涵蓋此內容，並且妥善處理您的 RADIUS 記錄。 「我們可以將 WPA3 與 eduroam 搭配使用嗎？」可以。WPA3-Enterprise 與 802.1X 完全相容，是新部署的推薦標準。它為高安全性環境增加了 192 位元模式加密。 「eduroam 和 OpenRoaming 有什麼區別？」OpenRoaming 是來自無線寬頻聯盟（Wireless Broadband Alliance）一項更廣泛的產業倡議，它使用相同的 802.1X 和 RADIUS 代理架構，但將漫遊從教育領域擴展到商業場所。包括 Purple 在內的一些平台都支援將 OpenRoaming 作為其訪客 WiFi 方案的一部分。 --- [總結與後續步驟 - 1 分鐘] 總結來說。eduroam 是一項成熟、管理完善且在全球部署的 WiFi 漫遊服務，建立在 802.1X 和分層 RADIUS 代理基礎架構之上。它提供單一使用者驗證、強大加密以及在 10,000 多個機構之間的無縫漫遊 - 無需共享密碼或 Captive Portal。 對於部署或升級校園無線網路的 IT 團隊：在您的 PKI 可以支援的情況下，優先選擇 EAP-TLS 而非 PEAP，在所有用戶端設定檔上強制執行憑證驗證，對所有 RADIUS 代理連線使用 RadSec，並將來訪使用者隔離到專用的 VLAN 中。 對於場地營運商：如果您經常接待學術訪客，請研究 eduroam Visitor Access。而且無論您是否部署 eduroam，您的訪客 WiFi 基礎架構都應建立在企業級的 802.1X 原則上 - 而非共享的 PSK。 如果您想更深入了解其中任何內容 - 像是 RADIUS 架構、適用於 EAP-TLS 的 PKI 設計，或是像 Purple 這樣的平台如何與 eduroam 和 OpenRoaming 進行整合 - 完整的書面指南已連結在節目資訊欄中。 感謝您的收聽。我們下次見。 --- 腳本結束