如何在 Android 裝置上設定支援 EAP-TLS 的企業級 WiFi

如何使用 EAP-TLS 在 Android 裝置上設定企業級 WiFi Purple 技術簡報 — 預估閱讀時間 10 分鐘 --- 簡介與背景 — 預估閱讀時間 1 分鐘 歡迎收看 Purple 技術簡報系列。我是您的主持人，今天我們將深入探討在 Android 裝置上部署 802.1X EAP-TLS 驗證的具體细节 - 無論您是管理飯店物業、零售連鎖、體育場館還是公共部門園區。 如果您負責管理的網路需要對企業或 BYOD Android 裝置進行驗證，且不想依賴共享密碼，那麼本集內容非常適合您。EAP-TLS 是企業級 WiFi 安全的黃金標準 - 它使用雙向憑證型驗證，這意味著沒有憑證會被釣魚、無需輪替密碼，並能提供滿足 PCI-DSS、ISO 27001 和大多數公共部門安全框架合規要求的安全態勢。 在本簡報結束時，您將完全了解 EAP-TLS 在 Android 上的運作方式、您的部署選擇有哪些，以及導致部署失敗的三個最常見錯誤。讓我們開始吧。 --- 技術深度剖析 — 預估閱讀時間 5 分鐘 讓我們從架構開始。802.1X 是規範連接埠型網路存取控制的 IEEE 標準。當 Android 裝置連接到企業級 WiFi 網路（配置為 WPA2-Enterprise 或 WPA3-Enterprise 的網路）時，無線基地台會扮演所謂的驗證器。它本身不做出驗證決定，而是將對話在裝置與 RADIUS 伺服器（實際的驗證伺服器）之間進行傳遞。 EAP-TLS - 即採用傳輸層安全協定的可延伸驗證協定 - 是在該 802.1X 框架內執行的驗證方法。它與在 TLS 隧道內使用使用者名稱和密碼的 EAP-PEAP 或 EAP-TTLS 不同，EAP-TLS 在雙方都使用 X.509 憑證。RADIUS 伺服器向裝置出示伺服器憑證，而裝置則向 RADIUS 伺服器出示用戶端憑證。雙方互相驗證。這就是雙向驗證，也是 EAP-TLS 成為目前最安全方案的原因。 現在，專門針對 Android，有幾件事您需要了解。Android 11 及更高版本引入了更嚴格的憑證驗證要求。如果您在 Android 11 或更高版本上進行部署（目前這已佔您裝置的大多數），除非 RADIUS 伺服器憑證受到明確信任，否則裝置將拒絕連接。您不能僅依賴系統信任存放區，您必須將根 CA 憑證推送到裝置，或者設定 WiFi 設定檔以明確引用它。讓我們來談談憑證鏈。在單一 Android 裝置能夠透過 EAP-TLS 進行驗證之前，您需要先配置好三個元件。第一，憑證授權單位（CA），不論是您的內部 PKI、Microsoft Active Directory 憑證服務，或是像透過 Intune 的 SCEP 雲端 PKI。第二，發行給您的 RADIUS 伺服器並由該 CA 簽署的伺服器憑證。第三，發行給每個裝置或使用者且同樣由該 CA 簽署的唯一用戶端憑證。裝置在 TLS 交握期間會出示其用戶端憑證，而 RADIUS 伺服器則會根據 CA 的憑證撤銷清單（CRL）或透過 OCSP（線上憑證狀態協定）來驗證該憑證。 對於 Android 而言，用戶端憑證和私鑰通常會封裝為 PKCS12 檔案（即 .p12 或 .pfx 檔案），其中包含憑證和加密的私鑰。在手動設定的裝置上，使用者需透過「設定」、「安全性」再到「安裝憑證」來匯入此檔案。而在 MDM 管理的裝置上，憑證會以靜默方式推送到裝置的託管金鑰儲存庫中，完全不需要使用者互動。 現在讓我們來談談 WiFi 設定檔本身。在 Android 上設定企業級 WiFi 連線時，您需要指定：SSID、安全性類型（WPA2-Enterprise 或 WPA3-Enterprise）、EAP 方法（即 TLS）、用於伺服器驗證的 CA 憑證、用於裝置驗證的用戶端憑證，以及識別字串（通常是裝置的通用名稱 Common Name 或使用者的 UPN）。在 Android 11 及以上版本中，您還必須指定網域尾碼比對或伺服器憑證主旨，以防止中間人攻擊。 對於 MDM 部署（這才是真正展現規模化優勢的地方），您會將所有這些內容作為結構化設定檔進行推送。在 Microsoft Intune 中，您建立一個 SCEP 憑證設定檔，該設定檔會自動在每部註冊的 Android 裝置上要求並安裝唯一的用戶端憑證。接著，您建立一個參照該憑證設定檔的 WiFi 設定檔。當裝置進行登錄檢查時，它會同時收到憑證與 WiFi 設定檔，並自動連線到您的 802.1X 網路。無需使用者互動，也不會產生任何支援需求。如果您正為此使用 Intune，我們關於如何使用 Microsoft Intune 將 WiFi 憑證推送到裝置的附隨指南，詳細說明了確切的設定步驟，我建議您在閱讀本簡介的同時一併參閱該指南。 對於 VMware Workspace ONE 與 Jamf Connect，其程序在架構上是完全相同的，皆為 SCEP 或 PKCS 憑證設定檔，接著是參照該設定檔的 WiFi 設定檔。具體的使用者介面可能有所不同，但憑證鏈與 RADIUS 設定的需求是完全一致的。 在 RADIUS 方面，有一點非常值得注意：如果您正在運行 FreeRADIUS、Microsoft NPS 或 Cisco ISE，請確保您的伺服器憑證包含正確的延伸金鑰用途（EKU）屬性 - 具體來說，即伺服器驗證（Server Authentication），OID 1.3.6.1.5.5.7.3.1。Android 對此要求非常嚴格。若缺少 EKU 或配置錯誤，在 Windows 用戶端上運作正常的憑證可能會在 Android 上發生失敗。 --- 實作建議與常見陷阱 — 約 2 分鐘 好，我們來聊聊實際部署中會遇到哪些問題，因為這正是大多數部署遭遇挫折的地方。 第一個也是最常見的失敗原因，是憑證信任問題。如果無法驗證 RADIUS 伺服器的憑證鏈，Android 11 及以上版本將無法進行連接。解決方法很直接：透過 MDM 將您的根 CA 憑證推送到裝置的使用者憑證存放區，並在 WiFi 設定檔的 CA 憑證欄位中明確引用它。千萬不要將此欄位保留為「不驗證」 - 這不僅是一個安全性漏洞，而且在某些 Android 版本上無論如何都會連接失敗。 第二個陷阱是憑證過期。用戶端憑證的有效期通常為一到兩年。如果您沒有透過 SCEP 或 NDES 建立自動更新機制，有一天早上醒來，您會發現有一半的裝置同時失去了 WiFi 存取權限。請從第一天起就將憑證更新自動化建置到您的 MDM 工作流程中，而不是事後才想辦法補救。 第三個問題是 RADIUS 伺服器容量。由於需要進行完整的雙向憑證交換，EAP-TLS 交握在運算上比 PEAP 交握消耗更多資源。在體育場或會議中心等有數千個同時驗證的場景中，配置不足的 RADIUS 伺服器將會成為瓶頸。請根據最高同時驗證量（而非平均負載）來規劃您的 RADIUS 基礎架構規模。 最後，在 Android 方面，請注意不同的製造商（如 Samsung、Google、Xiaomi）在 WiFi 設定 API 的實作上略有不同。在大規模部署之前，請先在您企業中各個製造商的代表性裝置上測試 MDM 推送的設定檔。特別是 Samsung 裝置，過去一直需要明確設定身分（identity）欄位，即使該欄位可以從憑證中推導出來也是如此。 --- 快速問答 — 約 1 分鐘 以下是幾個我經常被問到的快速問題。 我可以在 BYOD 裝置上使用 EAP-TLS 嗎？可以，但這需要使用者在其個人裝置上安裝用戶端憑證。對於大規模的 BYOD，請評估採用 PAP 的 EAP-TTLS 或 PEAP-MSCHAPv2 是否為更務實的折衷方案，並將 EAP-TLS 保留給企業擁有的裝置。 EAP-TLS 可以與 WPA3-Enterprise 搭配使用嗎？可以，而且採用 192 位元模式的 WPA3-Enterprise 實際上強制要求使用 EAP-TLS。如果您要在高安全性環境中部署 WPA3-Enterprise，EAP-TLS 是您唯一符合規範的選擇。 我應該針對哪個最低 Android 版本？Android 8（含）以上版本原生支援 EAP-TLS。針對 Android 11（含）以上版本，請強制執行明確的 CA 憑證驗證。針對 Android 13（含）以上版本，您可以利用改進的憑證管理 API 進行更精細的控制。 Purple 的平台可以與 EAP-TLS 網路整合嗎？Purple 的顧客 WiFi 和分析平台與您的 802.1X 企業網路在不同的 SSID 上運作。您的企業裝置在安全的 SSID 上透過 EAP-TLS 進行驗證，而顧客裝置則在顧客 SSID 上使用 Purple 的 captive portal。這兩者共存於同一個無線基地台基礎架構中，並透過 VLAN 隔離提供安全邊界。 --- 摘要與後續步驟 - 大約 1 分鐘 總結來說：在 Android 上使用 EAP-TLS 是目前最安全的企業 WiFi 驗證方法，而且搭配現代 MDM 工具，完全可以實行大規模部署。需要做對的三件事是：配置妥當並具有自動憑證更新功能的 PKI、在 Android 11（含）以上版本上明確信任 CA 憑證，以及針對尖峰負載進行配置的 RADIUS 基礎架構。 如果您在混合了企業與顧客流量的場域進行部署，Purple 的平台可在顧客網路上為您提供分析和互動層，同時您的 EAP-TLS 基礎架構可保護企業端的安全。兩者相輔相成。 關於您的後續步驟：請閱讀我們完整指南中的架構圖，完成 Intune 部署演練，並在推廣到整個環境之前，先在一部分裝置上進行試點。從五十台裝置的受控群組開始，驗證憑證傳遞和 WiFi 連線，然後信心十足地進行擴展。 感謝收聽 Purple 技術簡報。您可以在 purple.ai 找到完整的書面指南、圖表和設定參考。我們下次見。