eduroam 與 802.1X：高等教育的安全 WiFi 驗證

播客腳本：eduroam 與 802.1X - 高等教育的安全 WiFi 驗證 播放時間：約 10 分鐘 配音：英式英文、男性、資深顧問語氣 - 自信、口語、具權威性 --- [引言 - 1 分鐘] 歡迎回來。在接下來的十分鐘內，我將帶您深入了解 eduroam 與 802.1X - 它們是什麼、實際的運作原理，以及您的團隊在部署或整合這兩者之前需要了解的事情。 如果您是大學、大專院校或研究機構的 IT 經理、網路架構師或 CTO - 或者如果您是場地營運商，需要了解學術訪客對您的無線基礎設施有何期望 - 本簡報非常適合您。 讓我們從大局開始。eduroam 代表「教育漫遊」。它是一項全球性的 WiFi 漫遊服務，讓來自成員機構的學生、研究人員和教職員能夠在任何參與的場地連線到網際網路 - 自動且安全地使用其所屬機構的憑證。無需訪客入口網頁。無需憑證代碼。無需向櫃檯詢問密碼。 它自 2003 年起開始運作，目前已覆蓋 100 多個國家、超過 10,000 家機構，是全球高等教育校園無線網路的實質標準。如果您的組織與大學有交集 - 無論您是校園附近的飯店、舉辦學術活動的會議中心，還是大學城內的公共圖書館 - 了解 eduroam 都與您的網路策略直接相關。 --- [技術深入探討 - 5 分鐘] 好的。讓我們進入運作機制。 eduroam 是建立在 IEEE 802.1X 之上 - 這是一項基於連接埠的網路存取控制標準。802.1X 定義了一個在裝置獲准存取網路之前進行驗證的框架。它最初是為有線乙太網路設計的，但可以無縫對接到無線網路，並且是我們所稱的 WPA2-Enterprise 或 WPA3-Enterprise 安全性的基礎。 802.1X 模型有三個元件。第一是 Supplicant（用戶端） - 也就是嘗試連線的裝置。例如學生的筆記型電腦、研究人員的手機。第二是 Authenticator（驗證器） - 也就是您的網路存取點或託管交換器。它介於用戶端與網路的其他部分之間，充當守門人。第三是 Authentication Server（驗證伺服器） - 幾乎總是 RADIUS 伺服器。RADIUS 代表遠端驗證撥號使用者服務。它是實際驗證憑證的元件。 握手過程的運作方式如下：學生的裝置與無線存取點建立關聯。存取點此時尚未授予完整的網路存取權限 - 它會開啟一個所謂的受控埠，但僅允許 EAP 流量。EAP 代表可延伸驗證協定。存取點會在裝置與 RADIUS 伺服器之間代理 EAP 對話。RADIUS 伺服器會向裝置發送挑戰，裝置則回應憑證 - 通常是使用者名稱和密碼，或是一張憑證 - 如果 RADIUS 伺服器驗證通過，就會回傳 Access-Accept 訊息。接著，存取點會開啟完整的網路埠。在配置完善的部署中，整個交換過程不到兩秒鐘即可完成。 那麼，eduroam 是如何疊加在此之上的？eduroam 使用階層式的 RADIUS 代理架構。每個參與的機構都運行自己的 RADIUS 伺服器 - 稱為身分識別提供者（IdP）。例如，當來自曼徹斯特大學（University of Manchester）的學生造訪倫敦帝國學院（Imperial College London）並連接到 eduroam SSID 時，其裝置會以 username@manchester.ac.uk 的格式發送憑證。倫敦帝國學院的 RADIUS 伺服器會識別網域（即 @ 符號後面的部分），並將驗證請求向上代理至國家級 RADIUS 伺服器（在英國由國家科研教育網路 Jisc 營運）。Jisc 隨後將請求路由至曼徹斯特大學的 RADIUS 伺服器，由其驗證憑證並回傳 Accept 或 Reject。整個鏈結在毫秒內即可完成解析。 這種代理鏈使 eduroam 能夠跨越機構邊界運作，且機構之間無需任何預先共享金鑰。鏈結中的每個躍點僅與其直接鄰近的節點共享 RADIUS 金鑰。學生的實際密碼絕不會離開母機構的 RADIUS 伺服器 - 它受到 EAP 通道的端到端保護。 提到 EAP 方法 - 這是許多部署容易出錯的地方，請務必注意。eduroam 中最常用的 EAP 方法是 PEAP（受保護的 EAP）和 EAP-TLS。PEAP 將內部驗證方法（通常是 MSCHAPv2）封裝在 TLS 通道內。它需要在 RADIUS 伺服器端安裝伺服器憑證，但用戶端只需要使用者名稱和密碼。EAP-TLS 是更安全的選擇 - 它使用雙向憑證驗證，意味著伺服器和用戶端都需要出示憑證。由於需要 PKI 來核發用戶端憑證，因此大規模部署難度較高，但它基本上能免疫憑證釣魚攻擊。 許多機構容易出錯的關鍵安全性需求，在於用戶端裝置的憑證驗證。當裝置使用 PEAP 連線至 eduroam 時，必須先驗證 RADIUS 伺服器的憑證，然後才能提交登入憑證。如果裝置設定錯誤而接受任何憑證，攻擊者就可以架設廣播 eduroam SSID 的惡意無線存取點、提供自我簽署憑證，藉此竊取憑證。這是一個已知的攻擊媒介。解決方法是設定您的 supplicant 設定檔（針對受控裝置透過 MDM，針對個人裝置則透過名為 CAT 的 eduroam 設定助理工具），以綁定預期的憑證授權單位與伺服器名稱。 從標準的角度來看，eduroam 部署必須符合 eduroam 策略服務定義，該定義強制要求所有 RADIUS over TLS 連線必須使用 TLS 1.2 或更高版本，禁止使用弱 EAP 方法（如 EAP-MD5 或 LEAP），並要求所有 RADIUS 代理連線在可能的情況下，應使用 RadSec - 即 RADIUS over TLS - 而非明文 UDP RADIUS。這與英國的 NCSC 指南及美國的 NIST SP 800-120 一致。 還有一個值得注意的技術重點：VLAN 指派。在架構完善的 eduroam 部署中，RADIUS Access-Accept 回應會包含 VLAN 屬性，用以指示無線存取點將連線裝置指派到哪一個 VLAN。這讓您可以對流量進行區段劃分 - 將訪客學生置於僅具備網際網路存取權限的受限 VLAN 中，同時將您自己的員工路由到內部網路。這對於合規性至關重要，特別是當您適用於 PCI-DSS 或需要維持研究數據網路與一般網際網路流量之間的隔離時。 - [實作建議與常見陷阱 - 2 分鐘] 讓我為您提供實用的指導。 如果您是首次部署 eduroam，您的首要任務應該是聯絡您當地的國家學術研究網路（NREN） - 在英國為 Jisc，在愛爾蘭為 HEAnet，在美國為 Internet2。他們負責處理聯邦會員資格，並會為您指派一個 RADIUS 領域。若非您國家聯邦的成員，您將無法加入 eduroam。 您的基礎設施檢查清單：您需要支援 802.1X 的無線存取點 - 任何來自 Cisco、Aruba、Juniper、Ruckus 或 Ubiquiti UniFi 的企業級設備皆可滿足需求。您需要一台 RADIUS 伺服器 - FreeRADIUS 是開源標準，或者您也可以使用 Microsoft NPS、Cisco ISE 或 Aruba ClearPass。您需要為您的 RADIUS 伺服器申請一張由 eduroam 社群所信任的憑證授權單位發出的有效 TLS 憑證 - 通常是來自您機構 PKI 的憑證，或是在 eduroam 許可清單上的商業憑證授權單位所核發的憑證。 我最常看到的建置失敗原因有三個：第一，憑證設定錯誤 - 不是 RADIUS 憑證已過期，就是用戶端請求程式（supplicant）設定檔未正確固定。第二，RADIUS 代理逾時 - 如果您的上游 NREN 連線有延遲問題，驗證就會逾時，使用者會看到看似憑證錯誤的連線失敗。第三，VLAN 設定錯誤 - 來訪使用者最終進入錯誤的網路區段，導致無法存取網際網路，或者更糟的是，獲得了他們不該存取的內部資源權限。 在用戶端方面，請透過您的 MDM 平台向所有託管裝置部署 eduroam CAT 設定檔。對於個人裝置，請在醒目位置發布 CAT 安裝程式連結。這單一一個步驟就能消除大部分的支援工單。 對於非高等教育機構但希望提供 eduroam 存取的場所 - 如會議中心、飯店等 - 這個流程稱為 eduroam 訪客存取（eduroam Visitor Access，簡稱 eVA）。它允許非會員組織託管 eduroam SSID 並將驗證代理至聯盟，而無需成為正式會員。如果您經常舉辦學術會議或大學活動，這非常值得研究。 --- [快速問答 - 1 分鐘] 我經常被問到的快速問題。 「eduroam 可以完全取代我們的訪客 WiFi 嗎？」不行。eduroam 僅適用於在會員機構擁有憑證的使用者。您仍然需要為其他所有人（訪客、承包商、一般大眾）提供獨立的客製化訪客 WiFi 解決方案。 「eduroam 符合 GDPR 規範嗎？」符合，但有注意事項。聯盟架構意味著您的機構會處理驗證資料，但您需要確保您的隱私權聲明涵蓋此內容，並且妥善處理您的 RADIUS 記錄檔。 「我們可以在 eduroam 中使用 WPA3 嗎？」可以。WPA3-Enterprise 與 802.1X 完全相容，是新部署的推薦標準。它為高安全性環境增添了 192 位元模式加密。 「eduroam 和 OpenRoaming 有什麼區別？」OpenRoaming 是來自無線寬頻聯盟（Wireless Broadband Alliance）更廣泛的產業倡議，它使用相同的 802.1X 和 RADIUS 代理架構，但將漫遊從教育機構擴展到商業場所。包括 Purple 在內的一些平台，都支援將 OpenRoaming 作為其客製化訪客 WiFi 產品的一部分。 --- [總結與後續步驟 - 1 分鐘] 總結來說。eduroam 是一個成熟、管理完善、全球部署的 WiFi 漫遊服務，建立在 802.1X 和分層 RADIUS 代理基礎架構之上。它提供單一使用者驗證、強大的加密功能，並在超過 10,000 家機構中提供無縫漫遊 - 無需共享密碼或 Captive Portal。 對於部署或升級校園無線網路的 IT 團隊：在您的 PKI 可以支援的情況下，優先選擇 EAP-TLS 而非 PEAP；在所有用戶端設定檔上強制執行憑證驗證；對所有 RADIUS 代理連線使用 RadSec；並將來訪使用者隔離到專用的 VLAN 中。 針對場域營運商：如果您經常接待學術訪客，請研究 eduroam Visitor Access。無論您是否部署 eduroam，您的訪客 WiFi 基礎架構都應建構在企業級的 802.1X 原則之上 - 而非共用的 PSK。 如果您想深入瞭解其中任何內容 - 包含 RADIUS 架構、EAP-TLS 的 PKI 設計，或是像 Purple 這樣的平台如何與 eduroam 和 OpenRoaming 整合 - 完整的書面指南已連結在節目資訊中。 感謝您的收聽。我們下次見。 --- 劇本結束