eduroam 與 802.1X：高等教育的安全 WiFi 驗證

PODCAST SCRIPT: eduroam and 802.1X — Secure WiFi Authentication for Higher Education Runtime: approximately 10 minutes Voice: UK English, male, senior consultant tone — confident, conversational, authoritative --- [INTRO — 1 minute] 歡迎回來。在接下來的十分鐘內，我將帶您深入了解 eduroam 和 802.1X — 它們是什麼、在後台是如何運作的，以及您的團隊在部署或整合這兩者之前需要了解哪些資訊。 如果您是大學、大專院校或研究機構的 IT 經理、網路架構師或 CTO，又或者您是需要了解學術訪客對您的無線基礎設施有何期望的場域營運商，那麼這份簡報正是為您準備的。 讓我們從大局開始。eduroam 代表「教育漫遊（education roaming）」。它是一項全球 WiFi 漫遊服務，讓來自會員機構的學生、研究人員和教職員能夠在任何參與該計劃的場域自動、安全地連接到網際網路，且使用的是他們母校機構的憑證。無需 Captive Portal。無需憑證代碼。無需向櫃檯詢問密碼。 它自 2003 年開始運行，目前已覆蓋 100 多個國家的 10,000 多家機構，是全球高等教育校園無線網路的業界標準。如果您的組織與大學有交集 — 無論您是校園附近的飯店、舉辦學術活動的會議中心，還是大學城裡的公共圖書館 — 了解 eduroam 都與您的網路策略直接相關。 --- [TECHNICAL DEEP-DIVE — 5 minutes] 好的。讓我們進入技術細節。 eduroam 是建立在 IEEE 802.1X（基於連接埠的網路存取控制標準）之上的。802.1X 定義了一個在裝置獲准存取網路之前對其進行驗證的框架。它最初是為有線乙太網路設計的，但可以完美地對應到無線網路上，並且是我們所說的 WPA2-Enterprise 或 WPA3-Enterprise 安全性的基礎。 802.1X 模型有三個組成部分。第一，Supplicant（用戶端）— 也就是嘗試連線的裝置。例如學生的筆記型電腦、研究人員的手機。第二，Authenticator（驗證器）— 也就是您的網路存取點（AP）或網管型交換器。它介於用戶端和網路的其他部分之間，扮演守門人的角色。第三，Authentication Server（驗證伺服器）— 幾乎都是 RADIUS 伺服器。RADIUS 代表遠端使用者撥入驗證服務（Remote Authentication Dial-In User Service）。它是實際驗證憑證的組件。 以下是交握機制的運作方式。學生的裝置與無線存取點建立關聯。存取點此時尚未授予完整的網路存取權限，而是僅針對 EAP 流量開啟所謂的受控連接埠。EAP 即為可延伸驗證協定（Extensible Authentication Protocol）。存取點會在裝置與 RADIUS 伺服器之間代理 EAP 對話。RADIUS 伺服器向裝置發出挑戰，裝置則回應憑證（通常是使用者名稱與密碼，或是憑證）。若 RADIUS 伺服器驗證無誤，便會傳回 Access-Accept 訊息。接著，存取點才會開啟完整的網路連接埠。在配置完善的部署中，整個交換過程不超過兩秒。 那麼，eduroam 是如何疊加在此機制之上的？eduroam 採用階層式的 RADIUS 代理基礎架構。每個參與的機構都運行自己的 RADIUS 伺服器，稱為身分識別提供者（IdP）。當來自例如曼徹斯特大學（University of Manchester）的學生造訪倫敦帝國學院（Imperial College London）並連線至 eduroam SSID 時，其裝置會以 username@manchester.ac.uk 的格式傳送憑證。帝國學院的 RADIUS 伺服器會識別領域（即 @ 符號後面的部分），並將驗證請求向上代理至國家級 RADIUS 伺服器（在英國由國家研究與教育網路 Jisc 營運）。Jisc 接著將請求路由至曼徹斯特大學的 RADIUS 伺服器，由其驗證憑證並傳回 Accept 或 Reject。整個鏈結在毫秒內即可完成解析。 正是這種代理鏈結，讓 eduroam 能夠跨越機構邊界運作，而無需在機構之間預先共享任何金鑰。鏈結中的每個節點僅與其直接相鄰的節點共享 RADIUS 金鑰。學生的實際密碼絕不會離開其母校機構的 RADIUS 伺服器，因為它受到 EAP 通道的端到端保護。 談到 EAP 方法，這正是許多部署出錯的地方，請務必注意。eduroam 中最常用的 EAP 方法是 PEAP（受保護的 EAP）和 EAP-TLS。PEAP 在 TLS 通道內封裝了內部驗證方法（通常是 MSCHAPv2）。它需要在 RADIUS 伺服器端安裝伺服器端憑證，但用戶端只需要使用者名稱和密碼。EAP-TLS 是更安全的選擇，它採用雙向憑證驗證，意即伺服器和用戶端雙方都必須出示憑證。由於需要 PKI 來核發用戶端憑證，因此在大規模部署上較具挑戰性，但它基本上能完全免疫憑證網路釣魚。 許多機構容易出錯的關鍵安全性要求是用戶端憑證驗證。當裝置使用 PEAP 連線到 eduroam 時，該裝置必須在提交憑證之前驗證 RADIUS 伺服器的憑證。如果裝置設定錯誤而接受任何憑證，攻擊者就可以架設廣播 eduroam SSID 的惡意存取點、提供自我簽署憑證並竊取憑證。這是一個已知的攻擊媒介。解決方法是設定您的 supplicant 設定檔（針對受管理裝置透過 MDM，或針對個人裝置透過名為 CAT 的 eduroam 設定助理工具），以綁定預期的憑證授權單位和伺服器名稱。 從標準的角度來看，eduroam 部署預期要符合 eduroam 服務原則定義，該定義強制要求所有 RADIUS over TLS 連線使用 TLS 1.2 或更高版本、禁止使用 EAP-MD5 或 LEAP 等弱 EAP 方法，並要求所有 RADIUS 代理連線在可能的情況下使用 RadSec（RADIUS over TLS），而非純 UDP RADIUS。這符合英國 NCSC 指引和美國 NIST SP 800-120 的規範。 還有一個值得注意的技術點：VLAN 分配。在架構完善的 eduroam 部署中，RADIUS Access-Accept 回應包含 VLAN 屬性，這些屬性會告知存取點要將連線裝置分配到哪個 VLAN。這能讓您進行流量區隔——將來訪的學生放在僅限網際網路存取的受限 VLAN 中，而您自己的員工則被路由到內部網路。這對於合規性至關重要，特別是當您受到 PCI DSS 規範，或需要維持研究數據網路與一般網際網路流量之間的隔離時。 --- [實作建議與常見陷阱 — 2 分鐘] 讓我為您提供實用的指引。 如果您是首次部署 eduroam，您首先應該聯絡您的國家級 NREN——在英國是 Jisc，在愛爾蘭是 HEAnet，在美國是 Internet2。他們負責處理聯盟成員資格，並會為您分配一個 RADIUS 領域。若不成為您國家聯盟的成員，您就無法參與 eduroam。 您的基礎設施清單：您需要支援 802.1X 的存取點——任何來自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企業級設備都可以。您需要一台 RADIUS 伺服器——FreeRADIUS 是開源標準，或者您也可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要為您的 RADIUS 伺服器取得一張有效的 TLS 憑證，該憑證必須來自受 eduroam 社群信任的憑證授權單位（CA）——通常是來自您機構的 PKI 或 eduroam 認可清單上的商業 CA。 我最常遇到的三種部署失敗原因包括：第一，憑證設定錯誤——不是 RADIUS 憑證已過期，就是用戶端 supplicant 設定檔未正確釘選。第二，RADIUS 代理逾時——如果您的上游 NREN 連線有延遲問題，驗證將會逾時，使用者會看到看似憑證錯誤的連線失敗。第三，VLAN 設定錯誤——來訪使用者最終進入錯誤的網路區段，導致無法存取網際網路，或者更糟的是，存取了他們不應看到的內部資源。 在用戶端方面，請透過您的 MDM 平台將 eduroam CAT 設定檔部署到所有受管理裝置。對於個人裝置，請在顯眼處發佈 CAT 安裝程式連結。光是這一個步驟就能消除大部分的支援工單。 對於非高等教育機構但希望提供 eduroam 存取服務的場所（例如會議中心、飯店等），此流程稱為 eduroam Visitor Access（簡稱 eVA）。它允許非會員組織託管 eduroam SSID 並將驗證代理至聯盟，而無需成為正式會員。如果您經常舉辦學術會議或大學活動，這非常值得研究。 --- [快速問答 — 1 分鐘] 我經常被問到的常見問題。 「eduroam 可以完全取代我們的訪客 WiFi 嗎？」不行。eduroam 僅適用於在會員機構擁有憑證的使用者。您仍然需要為其他所有人（訪客、承包商、一般大眾）提供獨立的訪客 WiFi 解決方案。 「eduroam 符合 GDPR 規範嗎？」符合，但有注意事項。聯盟架構意味著您的機構會處理驗證資料，但您需要確保您的隱私權聲明涵蓋此內容，且您的 RADIUS 記錄已得到妥善處理。 「我們可以在 eduroam 中使用 WPA3 嗎？」可以。WPA3-Enterprise 與 802.1X 完全相容，是新部署的推薦標準。它為高安全性環境增加了 192 位元模式加密。 「eduroam 和 OpenRoaming 有什麼區別？」OpenRoaming 是來自無線寬頻聯盟（Wireless Broadband Alliance）更廣泛的產業倡議，它使用相同的 802.1X 和 RADIUS 代理架構，但將漫遊服務從教育領域擴展到商業場所。包括 Purple 在內的一些平台，皆支援將 OpenRoaming 作為其訪客 WiFi 方案的一部分。 --- [總結與後續步驟 — 1 分鐘] 總結來說，eduroam 是一個成熟、管理完善且在全球部署的 WiFi 漫遊服務，建立在 802.1X 和分層 RADIUS 代理基礎架構之上。它提供單一使用者驗證、強大加密以及在 10,000 多個機構之間的無縫漫遊——無需共用密碼或 Captive Portal。 對於部署或升級校園無線網路的 IT 團隊：在您的 PKI 可以支援的情況下，優先選擇 EAP-TLS 而非 PEAP；在所有用戶端設定檔上強制執行憑證驗證；對所有 RADIUS 代理連線使用 RadSec；並將來訪使用者隔離到專用的 VLAN 中。 對於場域營運商而言：如果您經常接待學術訪客，請研究 eduroam Visitor Access。無論您是否部署 eduroam，您的訪客 WiFi 基礎架構都應該建立在企業級的 802.1X 原則上，而非共享的 PSK。 如果您想深入了解其中的任何內容——包括 RADIUS 架構、適用於 EAP-TLS 的 PKI 設計，或是像 Purple 這樣的平台如何與 eduroam 和 OpenRoaming 整合——完整版的書面指南已連結在節目資訊欄中。 感謝您的收聽。我們下次見。 --- 腳本結束