如何使用 EAP-TLS 在 Android 裝置上設定企業級 WiFi

Android 會在三個要素到位時連線至 EAP-TLS 企業級 WiFi。該裝置持有自己的用戶端憑證。它信任簽署您 RADIUS 伺服器憑證的根 CA。其 WPA2 或 WPA3-Enterprise 設定檔使用 EAP 方法 TLS，且網域與該伺服器憑證相符。從您的 MDM 推播這三者，即可設定整個裝置叢集，完全無需觸碰任何裝置。

EAP-TLS 實際上在 Android 裝置上會做些什麼？

IEEE 802.1X 是基於連接埠之網路存取控制的標準。在 WiFi 上，除非驗證伺服器核准，否則存取點不會傳送來自裝置的任何流量。該伺服器就是 RADIUS 伺服器，即接受或拒絕每個連線要求的服務。Android 裝置是申請者 (supplicant)，存取點是驗證者 (authenticator)，而 RADIUS 則是驗證伺服器。

EAP-TLS (RFC 5216 中定義的帶有傳輸層安全性的可擴充驗證協定) 是雙方證明自身身份的方式。它使用的是 X.509 憑證，而非密碼。檢查會雙向進行：

1. RADIUS 伺服器出示其憑證。Android 會檢查該憑證是否串聯至可信的根憑證授權單位 (CA)。它還會檢查憑證的名稱是否與 WiFi 設定檔中的網域相符。
2. Android 裝置出示自己的用戶端憑證。RADIUS 會檢查該憑證是否由您的 CA 所簽發、是否在有效期內以及是否尚未被撤銷。

由於不存在密碼，因此沒有任何可被網路釣魚、重複使用或重設的內容。帶有 MSCHAPv2 的 PEAP (受保護的 EAP) 運作方式有所不同：它會在 TLS 隧道內傳送使用者名稱和密碼。遭竊的 PEAP 密碼適用於任何裝置。而用戶端憑證的金鑰則會保存在簽發該憑證的裝置上。

經常讓團隊措手不及的 Android 行為

四種 Android 行為會影響每次部署：

• 伺服器驗證為強制性。 從 Android 11 開始，Google 移除了在企業級網路上跳過伺服器憑證驗證的選項。每個設定檔都需要 CA 憑證和網域，否則裝置將無法連線。
• 擴充金鑰用途相當重要。 RADIUS 伺服器憑證需要伺服器驗證擴充金鑰用途 (EKU)，OID 1.3.6.1.5.5.7.3.1。請簽發帶有用戶端驗證的用戶端憑證，OID 1.3.6.1.5.5.7.3.2。
• 手動安裝需要 PKCS#12。 Android 需要將用戶端憑證和私鑰打包在單一 .p12 或 .pfx 檔案中。
• MAC 地址為隨機產生。 自 Android 10 起，裝置預設會在每個網路上使用隨機產生的 MAC 地址。切勿基於 MAC 地址建立身份識別或存取原則。

EAP-TLS 與替代方案的比較

在為 EAP-TLS 設定 Android 之前，您需要準備什麼？

在接觸任何裝置之前，請先將這六項設定到位。大多數失敗的部署案例都可以追溯到其中一項未做好準備。

• 公鑰基礎架構 (PKI)。 您需要 CA 來簽發用戶端憑證。如果您已經在執行內部 CA（例如 Microsoft Active Directory 憑證服務），它可以同時簽發伺服器與用戶端憑證。
• 專為 Android 建置的 RADIUS 伺服器憑證。 它需要包含 DNS 名稱的主體替代名稱 (SAN)。此外還需要「伺服器驗證」EKU 以及可追溯至您將分發之根 CA 的憑證鏈。請設定 RADIUS 以傳送包含中間憑證的完整憑證鏈。
• 已為 EAP-TLS 設定好的 RADIUS。 它必須信任簽發用戶端憑證的 CA，並且必須透過憑證撤銷清單 (CRL) 或 OCSP（線上憑證狀態協定）檢查憑證撤銷狀態。
• 無線存取點上的企業級 SSID。 設定 WPA2-Enterprise 或 WPA3-Enterprise 並將其指向 RADIUS。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 皆支援 802.1X。
• 透過 Android Enterprise 註冊的 MDM。 行動裝置管理 (MDM) 是在概念驗證階段之外發放與續期憑證唯一可行的方法。請使用 SCEP（RFC 8894 中定義的憑證請求協定）將其連接至您的 CA。
• 命名與 VLAN 規劃。 決定要在每個用戶端憑證中放進什麼身分資訊（例如裝置 ID 或員工登入名稱）。然後決定每個裝置群組要加入哪一個 VLAN（虛擬區域網路，即邏輯上獨立的網路區段）。

如何在 Android 上設定 EAP-TLS？

您有兩種途徑。手動設定可以在少數裝置上驗證您的設計；而透過 MDM 推送設定檔則可套用至整個資產環境。

選項 1：針對概念驗證與小群組進行手動設定

選單路徑會因 Android 版本與製造商而異，因此請遵循欄位標籤而非固定路徑。

1. 安全地交付檔案。 裝置需要根 CA 憑證以及包含其用戶端憑證和私鑰的 .p12 檔案。請透過單獨的管道傳送 .p12 密碼。
2. 安裝憑證。 開啟裝置安全性設定中的憑證安裝程式。將根 CA 安裝為 WiFi 憑證，然後安裝 .p12 檔案並輸入其密碼。
3. 新增網路。 在 WiFi 設定中，手動新增網路並精確輸入 SSID。
4. 選擇 Enterprise 安全性。 選擇 WPA2-Enterprise 或 WPA3-Enterprise 選項。標籤名稱可能因版本而異。
5. 將 EAP 方法設定為 TLS。
6. 設定 CA 憑證。 選擇您安裝的根憑證。如果是由公開 CA 核發您的 RADIUS 憑證，請改為選擇系統憑證選項。
7. 設定線上憑證狀態。 「要求憑證狀態」會向 RADIUS 查詢其本身憑證的 OCSP 狀態。
8. 設定網域。 輸入來自 RADIUS 憑證 SAN 的 DNS 名稱。這是大多數團隊最容易設定錯誤的欄位。
9. 選擇用戶端憑證。 選擇從 .p12 檔案安裝的憑證。
10. 設定識別身分 (Identity)。 使用用戶端憑證中的名稱（例如裝置 ID），絕不要使用 MAC 地址。

手動設定伴隨著隱形成本。每張憑證都會過期，而屆時每台裝置都需要再次進行相同的手動操作。

選項 2：透過 Android Enterprise 發送 MDM 設定檔

Android Enterprise 是 Google 管理 Android 裝置的架構。其中有三個模式與此相關：

• 完全管理 (Fully managed) 適用於公司擁有的手機和平板電腦。
• 工作設定檔 (Work profile) 可在個人擁有的裝置上隔離公司應用程式和憑證。
• 專用裝置 (Dedicated) 適用於單一用途的手持裝置、Kiosk 和 POS 終端機。

在 Microsoft Intune、Workspace ONE 及大多數其他 MDM 平台中，建置順序都是相同的：

1. 將 MDM 連接到您的 CA。 安裝 SCEP 連接器，以便 MDM 可以代辦憑證申請。
2. 發送受信任的憑證設定檔。 它會將您的根 CA 以及任何中間憑證交付給每台裝置。
3. 發送 SCEP 憑證設定檔。 裝置會生成自己的私密金鑰並申請用戶端憑證。請從裝置變數設定主體 (Subject) 或 SAN。此外，也請設定用戶端驗證 EKU、有效期與續約閾值。
4. 發送 WiFi 設定檔。 設定 SSID、Enterprise 安全性以及 EAP 類型 TLS。選擇 SCEP 設定檔作為用戶端憑證。針對伺服器信任，請選擇根 CA 設定檔，並輸入來自其 SAN 的 RADIUS 伺服器名稱。
5. 先分配給試行小組 (Pilot group)。 在擴大分配範圍之前，請先讀取幾天的 RADIUS 記錄檔。

使用 SCEP 時，私密金鑰永遠不會離開裝置。MDM 會在憑證過期前自動續約，因此裝置無需提交工單即可保持連線。如需詳細的逐頁步驟，請參閱您的 MDM 廠商說明文件。

哪種方法適合您的資產環境？

Android EAP-TLS 部署在實際應用中是什麼樣子？

實作案例：擁有 200 間客房的飯店淘汰共用員工密碼

背景情況。 房務、維修與櫃檯團隊共用 60 支 Android 手持裝置。所有裝置都連線到同一個 WPA2-Personal 網路，且該網路密碼自開業以來從未變更過。離職人員仍然知道密碼。若要變更密碼，意味著必須手動重新設定 60 台裝置。

採取的行動。 IT 將這些手持裝置註冊為完全託管的 Android Enterprise 裝置。MDM 推送了根憑證授權單位（Root CA）、有效期為 12 個月的 SCEP 用戶端憑證，以及 EAP-TLS WiFi 設定檔。RADIUS 將每台通過驗證的手持裝置分配至營運 VLAN。訪客則留在獨立的 Guest WiFi 網路，並使用其專屬的 Captive Portal（連線至網際網路前顯示的登入頁面）。

結果。 所有 60 台裝置皆已淘汰共用密碼。現在遺失一台手持裝置只需撤銷一張憑證，其餘 59 台裝置完全不受影響。員工不再需要記住 WiFi 密碼，因此 WiFi 密碼重設的求助完全停止。更多產業相關資訊請參閱 飯店業。

實作案例：符合 PCI DSS 規範的 150 家分店零售連鎖店

背景情況。 每家分店運行四台庫存手持裝置與兩台 Android POS 盤點機，總計 900 台裝置。分店 WiFi 傳輸支付流量，因此納入 PCI DSS 規範範圍。PCI DSS v4.0 的要求 4.2.1.2 期望無線驗證與傳輸採用強加密技術。逐店輪換的共用金鑰難以提供合規證明。

採取的行動。 IT 將每台裝置註冊為專用的 Android Enterprise 裝置。SCEP 設定檔將每台裝置的角色寫入其憑證中。RADIUS 對齊該欄位，並使用 RFC 3580 中的通道屬性回傳 VLAN。POS 盤點機加入支付 VLAN；手持裝置加入庫存 VLAN。顧客則使用獨立的 Guest WiFi SSID，且 WiFi Analytics 僅針對該網路提供分析報告。

結果。 所有 900 台裝置皆完成註冊，無需分店同仁輸入任何憑據。跨 150 家分店的金鑰輪換工作宣告結束。現在每次連線都會根據具名的裝置憑證記錄在 RADIUS 日誌中，為評估人員提供單一裝置層級的證明。更多產業相關資訊請參閱 零售業。

如何檢查 Android 是否正透過 EAP-TLS 進行驗證？

連線圖示僅代表裝置已加入某個網路。請檢查三個層級，並確認控制機制在失效時能自動封鎖連線（Fail-closed）。

• 在裝置上。 網路詳細資訊顯示已連線的 SSID 以及來自預期 VLAN 的 IP 地址。
• 在 RADIUS 伺服器上。 日誌顯示 Access-Accept、EAP 類型 TLS，以及所出示用戶端憑證的主體（Subject）。
• 在 WiFi 控制器或儀表板上。 用戶端記錄顯示帶有 WPA2 或 WPA3-Enterprise 的 802.1X，以及 RADIUS 分配的 VLAN。

然後在試點裝置上執行四項否定測試：

1. 撤銷其憑證、發布 CRL 並重新連線。預期會收到 Access-Reject。
2. 將設定檔的網域變更為錯誤名稱。Android 應拒絕連線至該伺服器。
3. 安裝來自不同 CA 的用戶端證書。預期會收到 Access-Reject。
4. 發行短效證書。確認 MDM 會在裝置未斷線的情況下進行續期。

若上述四種情況皆符合預期，表示您的設計相當穩固。

Android EAP-TLS 常見故障與修復方法？

大多數失敗原因出在證書鏈或設定檔，而非無線電訊號。

Purple 如何搭配 EAP-TLS 運作？

EAP-TLS 是針對您擁有並管理的裝置所採用的正確控制措施。然而，您的場所同時也會接待您永遠無法管理的訪客裝置。

• 獨立 SSID 上的訪客 WiFi。 訪客 WiFi 為訪客、顧客和乘客提供具有自主選擇訂閱功能的品牌 Captive Portal。這有助於收集符合 GDPR 規範的第一方資料。WiFi 分析 可針對該網路提供報表，並與 EAP-TLS 流量保持隔離。
• 適用於無 MDM 裝置的員工 WiFi。 Purple 的身分導向網路（包含 SecurePass 與 iPSK）可為每個人提供專屬憑證。存取權限會連結至 Microsoft Entra ID、Okta 或 Google Workspace，因此新進、異動與離職人員皆可透過您的目錄進行管理。
• 您現有的硬體設備。 Purple 是橫跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 的硬體無關型雲端覆蓋層。無需撕毀與替換現有設備。

這種劃分模式適用於各個領域。在 醫療保健 領域，臨床 Android 裝置使用 EAP-TLS，而病患與訪客則使用訪客 WiFi。在 鐵路運輸 方面，乘務員平板電腦使用 EAP-TLS，乘客則使用訪客 WiFi。Purple 已在 90 多個國家的 80,000 多個實體場所上線運作（Purple 資料），並獲得 ISO 27001 和 Cyber Essentials 認證。

在 Android 上實施 EAP-TLS 的成本與回報為何？

您需要支付的項目

• **PKI。**現有的內部 CA 幾乎不會增加成本。若沒有，您必須自行建置 CA 或訂閱雲端 PKI。
• **MDM 授權。**若您的 Android 裝置已完成註冊，則此費用先前已支付。
• **RADIUS。**您需要 EAP-TLS 支援、廢止檢查以及正確建置的伺服器憑證。
• **工程時間。**請為試行計畫、設定檔建置和分階段推廣編列預算。

您獲得的回報

• **單一廢止而非全機隊輪替。**以飯店場景為例，遺失手持裝置僅會影響一台裝置，而非 60 台。
• **無需重設 WiFi 密碼。**憑證取代了密碼，因此該類別的工單便不復存在。
• **抵禦憑證遭竊取的風險。**偽造的存取點無法獲得任何東西。Android 會拒絕其憑證，且沒有密碼可供擷取。
• **合規性證明。**每台裝置的 RADIUS 日誌均支援 PCI DSS 需求 4.2.1.2、GDPR 第 32 條以及 ISO 27001 存取控制。
• **通往 WPA3 的途徑。**WPA3-Enterprise 192 位元模式（從 Android 10 開始支援）是基於 EAP-TLS 建置。您的憑證作業可延續使用。

決策規則很簡短。如果您透過 MDM 管理超過少數幾台 Android 裝置，請將 EAP-TLS 設為預設值。將未受管理的員工裝置放在身分驗證網路，並將訪客放在訪客 WiFi。

常見問題

EAP-TLS 是否適用於我們可能擁有的每台 Android 裝置？

是的。您目前可能管理的任何 Android 裝置均支援在 WPA2-Enterprise 上使用 EAP-TLS，且 Android 10 及更新版本新增了 WPA3-Enterprise。改變的是伺服器驗證。從 Android 11 開始，每個企業設定檔都需要 CA 憑證和網域，因此跳過驗證的舊版指南已不再適用。各製造商之間的標籤和選單路徑也不同，這是透過 MDM 推送設定檔的另一個原因。

我們需要 MDM 才能在 Android 上部署 EAP-TLS 嗎？

不一定，但除了試行計畫之外，您會需要一個。手動設定適用於少數裝置。然而，每台裝置都需要 10 個設定步驟、複製的私鑰，以及每次到期時的人工續期。透過 Android Enterprise 註冊的 MDM 會在裝置上生成金鑰，並自動續期憑證。如果您已經授權 Microsoft Intune 或 Workspace ONE 用於 Android，額外的成本主要只是設定時間。

員工可以在個人 Android 手機上使用 EAP-TLS 嗎？

可以，透過 Android Enterprise 工作設定檔，可將企業憑證和應用程式與個人資料分開。MDM 僅會在工作設定檔內部安裝憑證和 WiFi 設定檔。有些員工會拒絕在個人手機上進行註冊。對於這些裝置，Purple Staff WiFi 會為每個人提供專屬的 iPSK 或 SecurePass 憑證，並連結至您的身分提供者，無需進行裝置管理。

EAP-TLS 可以在我們現有的存取點上執行嗎？

是的。EAP-TLS 是一種 802.1X 方法，而 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 全部支援 802.1X。基地台僅傳送交換過程，憑證驗證則在 Android 與您的 RADIUS 伺服器之間進行。您只需設定一個指向 RADIUS 的 Enterprise SSID；如果要做流量區隔，則啟用 RADIUS-assigned VLANs。

EAP-TLS 與 Android 的 PEAP-MSCHAPv2 相比如何？

EAP-TLS 的安全性更高，因為沒有密碼可供竊取。PEAP-MSCHAPv2 會在 TLS 管道內傳送使用者名稱與密碼，因此被網路釣魚竊取的密碼可從任何裝置登入。EAP-TLS 則需要私鑰留在發行裝置上的憑證。PEAP 部署較快，因為不需要 PKI。許多企業在建置 EAP-TLS 所需的憑證基礎架構時，會先運行 PEAP。

EAP-TLS 有助於符合 PCI-DSS 與 GDPR 法規嗎？

是的，它能為這兩者提供控制措施與證明。PCI-DSS v4.0 規範 4.2.1.2 要求在傳輸持卡人資料的無線驗證中使用強加密。由 RADIUS 記錄的單一裝置憑證可顯示何種裝置在何時連線。GDPR 第 32 條要求對個人資料採取適當的安全性防護，而雙向驗證正好支援這一點。EAP-TLS 單獨使用並不能使您完全合規，仍需配合網路區隔、日誌記錄與策略管控。

我們該如何將 Android 裝置從共享 WiFi 密碼轉移至 EAP-TLS？

並行運行兩個網路，然後淘汰舊網路。建置 EAP-TLS SSID 並將根 CA、SCEP 憑證與 WiFi 設定檔推播至試點小組。確認反向測試通過後，在共享金鑰網路保持運行的同時分階段擴大指派。當 RADIUS 日誌顯示所有裝置均已透過憑證驗證，即可移除舊的設定檔並關閉共享金鑰 SSID。

如果我們的員工裝置使用 EAP-TLS，Purple 的定位為何？

Purple 涵蓋了 EAP-TLS 未處理的所有連線需求。訪客 WiFi 透過獨立的 SSID 為訪客提供服務，具備 Captive Portal、自主選擇訂閱機制與 WiFi Analytics。員工 WiFi 則使用 Identity-Based Networks 為未受管的員工裝置提供專屬憑證。Purple 可作為您現有基地台上的雲端疊加層運行，已橫跨全球 90 多個國家/地區、超過 80,000 個即時場域（Purple 資料）。