如何透過 802.1X 在 iOS 及 macOS 上設定 Enterprise WiFi

若要在 iOS 和 macOS 上設定企業級 WiFi，請建立包含三個 Content Payload 的設定檔。WiFi Payload 會以 EAP-TLS 設定 WPA2 或 WPA3 Enterprise。憑證 Payload 負責載入您的根 CA。SCEP 或 ACME Payload 則為每台裝置發行專屬的憑證。您可以透過 Jamf Pro 或 Microsoft Intune 推送此設定檔，或是在試播階段進行手動安裝。

802.1X 企業級 WiFi 在 iPhone、iPad 和 Mac 上如何運作？

IEEE 802.1X 是基於連接埠之網路存取控制的標準。在無線網路上，它會封鎖裝置傳輸流量，直到驗證伺服器確認其身分。該伺服器即為 RADIUS (Remote Authentication Dial-In User Service) 伺服器。在 802.1X 的術語中，裝置是 Supplicant (申請者)，存取點是 Authenticator (驗證者)，而 RADIUS 伺服器則做出最終決策。

每台 iPhone、iPad 和 Mac 出廠時皆已內建 802.1X Supplicant。您無需安裝任何代理程式。只需提供設定檔給裝置，iOS、iPadOS 或 macOS 就能處理驗證作業。

建議採用的標準化方法是 EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)。雙方皆需提供憑證。裝置需證明其持有由您的憑證授權單位 (CA) 所發行的憑證。RADIUS 伺服器則需證明其為您的伺服器，而非廣播您網路名稱的偽冒存取點。由於空氣中不會傳輸任何密碼，員工就完全沒有遭釣魚、分享密碼或把密碼寫在員工休息室白板上的風險。

許多網路仍使用採用 MSCHAPv2 的 PEAP (Protected EAP)，這需要員工輸入使用者名稱與密碼。雖然可以使用，但其安全性取決於每台裝置是否能確實驗證伺服器憑證。任何接受任意憑證的裝置，都會直接將憑證資料交給攻擊者的存取點。

各種驗證選項的比較

iPSK (identity pre-shared key) 可以在單一網路名稱下，為每台裝置或群組提供專屬密碼。這非常適合無法存放憑證的硬體裝置。對於受管理的 Apple 裝置而言，EAP-TLS 是更為強大的選擇。

在為 iOS 和 macOS 設定 802.1X 之前需要準備什麼？

您需要就緒四個組件。若缺少任何一項，推廣計畫就會卡在試播階段。

公開金鑰基礎架構 (PKI)

PKI（公開金鑰基礎建設）是指憑證授權單位（CA）以及發行、更新與撤銷憑證的流程。您需要一個根 CA，其下方通常包含一個發行 CA，以及 Apple 裝置支援的註冊協定。

Apple 支援兩種協定。SCEP（簡單憑證註冊協定）是行之有年的選項，通常由 Microsoft Active Directory Certificate Services 透過其 NDES 角色提供服務。ACME（自動憑證管理環境）則是較新的協定。透過 ACME 負載，Apple 可以在支援的機型上，直接於裝置硬體中生成私鑰，因此私鑰無法被匯出。Jamf Pro 與 Microsoft Intune 皆有提供其所支援的 CA 整合說明文件，請在選擇前先進行確認。

擁有受信任憑證的 RADIUS 伺服器

您的 RADIUS 伺服器需要自身的憑證，且該憑證須由您裝置信任的 CA 所簽署。憑證的 SAN（主體別名）必須包含伺服器的完整網域名稱（FQDN），因為 Apple 裝置會以此進行比對。伺服器也必須透過憑證撤銷清單或 OCSP（線上憑證狀態協定）來檢查撤銷狀態。如果沒有這項檢查，已被撤銷的憑證依然能夠連線。

您可以在本機部署 RADIUS，或使用 Purple 的雲端 RADIUS，該服務運行於可用性高達 99.999% 的平台上。

行動裝置管理平台

MDM（行動裝置管理）可發送設定檔、請求憑證並在過期前自動更新。Jamf Pro 與 Microsoft Intune 是多數企業運作的兩大平台。請透過 Apple Business Manager 與自動裝置註冊來註冊公司擁有的裝置。透過此方式註冊的裝置會處於受監督狀態，且在任何人接觸裝置之前，設定檔就已部署完畢。

設定為 WPA2 或 WPA3-Enterprise 的無線存取點

請使用 WPA2-Enterprise、WPA3-Enterprise 或允許兩者並存的過渡模式來設定專用網路名稱。將其指向您的 RADIUS 伺服器。如果您希望 RADIUS 將裝置分配至不同的網段，請啟用動態 VLAN 分配。這適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。Purple 以跨硬體雲端覆蓋層的形式運行於所有這八家品牌上，因此您無需更換任何無線存取點。

如何在 iOS 與 macOS 上設定企業級 WiFi？

無論您選擇哪種發送路徑，設定檔的結構都是相同的。它包含三個相互引用的負載。

1. 憑證負載。 發送您的根 CA 與任何中繼 CA，讓裝置能夠驗證 RADIUS 伺服器。
2. SCEP 或 ACME 負載。 指導裝置如何向您的 CA 請求其專屬的身分憑證。
3. WiFi 負載。 設定網路名稱、安全性類型以及將 EAP-TLS 指定為接受的驗證方式。它會指定步驟 2 的身分憑證。其信任設定會將步驟 1 的根 CA 列為受信任，並列出 RADIUS 伺服器的憑證名稱。

信任設定決定了部署是否能實現零接觸。只要漏掉其中任何一項，裝置就會要求持有者手動信任伺服器憑證。該提示會中斷自動化入網流程。更糟的是，這會讓員工習慣性地在任何憑證上點擊「信任」，進而使竊取認證的偽冒存取點有機可乘。如果您運行多個 RADIUS 伺服器，Apple 支援在受信任伺服器名稱欄位中使用萬用字元模式。

選項 1：針對試驗計畫與小型據點的手動設定

Mac 上的 Apple Configurator 可以建立包含相同三個承載資料（payload）的 .mobileconfig 設定檔。該設定檔可包含具有一次性驗證（challenge）的 SCEP 承載資料。或者，它也可以嵌入受密碼短語保護的 PKCS#12 身分檔案。您可以透過 AirDrop、電子郵件或網頁連結分發此檔案。接收者會在 iPhone 與 iPad 的「設定」中，或 Mac 的「系統設定」中核准安裝。

在 Mac 上，使用者也可以從 WiFi 選單加入網路，並從鑰匙圈選取憑證身分。這種方式不會建立伺服器信任，因此仍然會跳出信任提示。

手動設定檔有三個代價：您無法從遠端續約憑證、無法從遠端撤銷設定檔，而且嵌入的身分檔案在傳輸過程中會攜帶私密金鑰。請將手動設定控制在 10 到 20 台裝置的試驗規模內。

選項 2：透過 Jamf Pro 部署

在 Jamf Pro 中，您可以為行動裝置或電腦建立一個包含所有三個承載資料的組態設定檔。您可以將其指派給智慧群組（例如前台部門中所有受監管的 iPad）。Jamf 會在下次簽入時交付該設定檔、提出憑證請求，並在到期前進行續約。

在 macOS 上，請先決定設定檔層級。具有裝置憑證的電腦層級設定檔會在登入視窗（任何使用者登入之前）進行驗證。使用者層級設定檔則僅在登入後連線。共用 Mac 以及需要在登入視窗存取網路帳號的 Mac 均需要電腦層級。Jamf 的官方說明文件列出了各承載資料目前的欄位名稱。

選項 3：透過 Microsoft Intune 部署

Intune 將相同的架構拆分到三個相互關聯的設定檔中。受信任的憑證設定檔包含根 CA。SCEP 或 PKCS 憑證設定檔負責核發身分憑證。WiFi 設定檔則同時參照兩者。偏好不自行運行 CA 伺服器的組織可以使用 Microsoft Cloud PKI 作為核發 CA。

請將這三個設定檔指派給相同的群組。如果受信任的憑證設定檔已傳達到裝置，但 SCEP 設定檔未傳達，則 WiFi 設定檔將會失敗。這種指派不符的情況是 Apple 裝置上最常見的 Intune 錯誤。

哪種部署途徑適合您？

分四個階段展開部署

建立與員工現用網路並行的全新網路名稱。先從不同裝置型號與部門抽樣組成小團隊進行試行。待下列檢查全數通過後，再擴大範圍。唯有在每台受控裝置皆已透過 EAP-TLS 完成驗證後，方可退役舊有的共享金鑰網路。

如何將企業 WiFi 與訪客 WiFi 隔離開來？

身份驗證能證明裝置的身份，而網路切片（Segmentation）則決定其可存取的資源。請將 EAP-TLS 裝置放置於專用的 VLAN（虛擬區域網路，邏輯上獨立的網路區段），並與任何公開網路保持隔離。

RADIUS 可根據憑證屬性或目錄群組，為每台裝置派送相應的 VLAN。收銀用 iPad 會進入支付區段，而房務用 iPhone 則進入營運區段。兩者皆廣播相同的網路名稱，讓您減少運作的網路數量。

您的公開網路則並行運作。來自 Purple 的 訪客 WiFi 在其獨立的 SSID 與 VLAN 上運作，並使用 Captive Portal（在授予存取權限前顯示的登入頁面）。在 GDPR 與 ISO 27001 的控管下，透過使用者自主選擇的同意事項收集第一方資料。WiFi 分析 則能報告來自該網路的訪客、顧客與乘客造訪數據。企業流量與訪客資料絕不會共享同一個區段。

如果您不想為員工建置自己的 PKI 與 RADIUS，Purple 的 Staff WiFi 提供以身份為導向的網路（Identity-Based Networks）。存取權限能透過雲端 RADIUS 與 Microsoft Entra ID、Okta 或 Google Workspace 綁定。目錄中的新進人員、異動人員與離職人員會自動變更網路存取權，無須任何人重新設定裝置金鑰。對於無法儲存憑證的無頭裝置（Headless devices），iPSK 可確保每台裝置使用其獨立的金鑰。

如何檢查 Apple 裝置是否正確完成身份驗證？

請分別在裝置端、RADIUS 伺服器端與網路端進行測試，隨後測試完整的生命週期。

在裝置端

• 在 Mac 上，按住 Option 鍵並按一下 WiFi 選單，即可顯示安全性類型與連線詳細資訊。
• 在 iPhone 與 iPad 上，確認裝置在重新開機後，以及移出收訊範圍並返回後，皆能無縫加入且不跳出任何提示。
• 在 Mac 上，開啟「主機板診斷程式（Console app）」並針對 eapolclient 程序（macOS 的 802.1X 客戶端）篩選統一日誌（unified log），即可查看每次 EAP 交換過程。

在 RADIUS 伺服器端

每筆驗證紀錄皆應顯示 EAP-TLS 作為驗證方法，並應顯示您預期的憑證主體以及伺服器傳回的 VLAN。若受控裝置的紀錄顯示 PEAP，則代表仍安裝有舊版的設定檔。

在網路端

確認裝置從正確的 VLAN 範圍接收位址。嘗試存取另一個網路區段上的資源 (例如訪客網路)，並確認防火牆原則已將其封鎖。

跨憑證生命週期

• 撤銷。 撤銷測試裝置的憑證，並確認下一次連線失敗。如果它仍然連線，表示您的 RADIUS 伺服器未檢查撤銷狀態。
• 續約。 發行有效期限較短的測試憑證，並確認 MDM 在到期前完成更換且不中斷連線。
• 登入視窗。 在共用的 Mac 上，重新啟動並確認在任何人登入之前網路已啟動。

iOS 與 macOS 802.1X 會出現哪些問題，以及該如何解決？

避免在 RADIUS 憑證變更後發生無預警失敗

最具破壞性的失敗發生在續約 RADIUS 伺服器憑證時。如果新憑證串聯到裝置尚未信任的根憑證或中繼憑證，Apple 裝置會中斷交握。這能防範中間人攻擊，但會導致所有設備同時離線。

請透過變更控制來修正此問題。在 RADIUS 伺服器切換憑證前至少一週，透過 MDM 推播新的 CA 鏈結。在切換完成之前，請在設定檔中保留舊鏈結。將伺服器憑證的到期日與其他關鍵續約排程一同記錄於行事曆中。

這在飯店、零售與公共部門中的運作情況為何？

以下三個實作情境僅供參考。其結果取決於所述的設定，而非特定的已命名部署。

一家擁有 200 間客房的飯店取代共用的員工金鑰

**情況：**一家擁有 200 間客房的飯店，在單一 WPA2-Personal 金鑰上運行了 120 部員工 iPhone 和 iPad。員工也將該金鑰輸入到個人手機中。管理階層每年更換兩次金鑰，這代表必須有人在每部裝置上手動重新輸入。離職員工在下一次更換前都會一直保有存取權限。

**處理方式：**IT 透過自動裝置註冊（Automated Device Enrollment）將裝置註冊至 Jamf Pro。SCEP 承載資料（payload）從現有的 CA 核發憑證。新的 EAP-TLS 網路將裝置分配至員工 VLAN。在 Purple 訪客 WiFi 上的訪客網路則保留在相同的基地台（AP）上，維持不變。了解這如何融入更廣泛的 飯店 營運。

**結果：**手動更新金鑰的次數從每年 240 次（120 部裝置更換兩次）降至零次。現在當 IT 在 Jamf 中汰換裝置時，離職員工的存取權限當天就會終止。帶有舊金鑰的個人手機在共用金鑰網路停用後即失去了存取權限。

擁有 iPad 收銀機的 60 家門市零售商

**情況：**一家擁有 60 家門市的連鎖店使用 iPad 作為行動收銀機，並透過每家門市的共用金鑰連線至持卡人資料環境。PCI DSS v4.0 要求 2.3.2 規定，只要知悉金鑰的人員離職，就必須變更無線加密金鑰。由於門市現場員工流動率高，導致需要頻繁更換金鑰。

**處理方式：**IT 將 Intune 信任憑證、SCEP 及 WiFi 設定描述檔部署至收銀機 iPad。RADIUS 將它們指派至付款 VLAN。顧客 WiFi 則透過 Purple 在獨立的 SSID 上運作。關於該產業的更多詳細資訊，請參閱我們的 零售 頁面。

**結果：**員工不再知悉任何無線金鑰，因此離職員工不再引發金鑰更換作業。每部收銀機 iPad 都持有專屬憑證。對評估人員而言，CA 的核發與撤銷記錄可證明連線人員以及存取權限終止的時間。

一個地方議會將 400 部 Mac 遷移至登入視窗

**情況：**某地方議會使用使用者層級的描述檔，向 400 部 MacBook 部署了 EAP-TLS。新進員工在沒有有線網路連接埠的情況下無法完成首次登入，因為網路只有在登入後才會啟動。

**處理方式：**IT 在電腦層級重新部署了描述檔，並為每部 Mac 核發裝置憑證。

**結果：**所有 400 部 Mac 現在都能在登入視窗進行身分驗證。新進員工可以在任何據點透過 WiFi 完成首次登入。相同的模式也適用於 醫療照護 領域的臨床 iPad，以及 火車 上的列車長 iPad。

在 Apple 裝置上導入企業級 WiFi 的成本為何？又能獲得什麼效益？

您需要付費的項目

• **請求者（Supplicant）：**完全免費。802.1X 和 EAP-TLS 已內建於 iOS、iPadOS 與 macOS 中。
• **MDM：**Jamf Pro 採每部裝置授權制。Intune 已包含在 Microsoft 365 商務進階版、E3 與 E5 中，因此許多組織早已擁有該授權。
• **PKI：**Active Directory 憑證服務可在您可能已經擁有的 Windows Server 授權上運作。Microsoft Cloud PKI 則是獨立授權的 Intune 附加元件。
• RADIUS. 您維護的本機伺服器，或 Purple 的雲端 RADIUS。
• 員工時間。 主要花費在 PKI 設計與試行階段。一旦確定配置檔範圍，新裝置即可在註冊時自動完成設定。

您獲得的回報

• 無需輪替共用金鑰。 前述飯店案例每年可減少 240 次人工更新。
• 可單獨終止單一裝置的存取權。 撤銷一張憑證僅會移除該台裝置，不會影響其他任何事物。
• 合規性證明。 每台裝置專屬的憑證支援 PCI DSS v4.0 需求 2.3.2 以及 GDPR 第 32 條（要求採取適當的技術措施以確保處理安全性）。
• 抵禦惡意存取點（Rogue AP）。 雙向驗證意味著裝置會拒絕無法驗證的伺服器。

訪客存取權與此平行並存於獨立的基礎架構上。Purple 在全球 90 個國家/地區、超過 80,000 個實體場域維運 Guest WiFi。這項服務在您現有的硬體上運行，並獲得 ISO 27001、GDPR、CCPA 與 Cyber Essentials 認證。

常見問題

Purple 是否支援我們現有的存取點？

是的。Purple 不受硬體限制，可作為雲端覆蓋層（Overlay）運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上。您的 EAP-TLS 員工網路與 Purple Guest WiFi 可以透過獨立的 SSID 與 VLAN，從相同的存取點進行廣播。您無需更換任何硬體，且員工與訪客的流量全程保持區隔。

我們需要 Jamf 或 Intune 嗎？還是可以手動設定 iPhone 與 Mac？

除了試行階段之外，您都需要 MDM 平台。Apple Configurator 可以為 10 到 20 台裝置建立手動配置檔。然而，手動配置檔無法遠端更新憑證，您也無法遠端收回存取權。Jamf Pro 或 Microsoft Intune 可在註冊時發送配置檔，在到期前自動更新憑證，並在裝置退役時移除存取權。這使得 MDM 成為任何預期會擴充的裝置陣容中最實用的選擇。

對於 Apple 裝置而言，EAP-TLS 是否比 PEAP 更安全？

是的。EAP-TLS 在雙向皆使用憑證，因此沒有密碼會透過網路傳送，也不會被網路釣魚或分享。採用 MSCHAPv2 的 PEAP 仰賴使用者名稱與密碼，只有在每台裝置都能正確驗證伺服器憑證時才安全。在轉移期間，可將 PEAP 作為託管外裝置的過渡方案。對於受託管的 iPhone、iPad 與 Mac，請一律標準化採用 EAP-TLS。

當我們將員工裝置轉移至 802.1X 時，訪客 WiFi 會受到什麼影響？

訪客體驗不會發生任何變化。EAP-TLS 員工網路運作於專屬的 SSID 與 VLAN，與您的公開網路並存。Purple Guest WiFi 會保留其 Captive Portal、自主選擇的主動訂閱（Opt-in）以及 WiFi Analytics 報表。將員工裝置移出共用金鑰通常也能強化訪客安全性，因為離職員工與個人手機將失去存取內部區段的權限。

基於憑證的 WiFi 是否有助於符合 PCI DSS 與 GDPR 合規要求？

是的，這兩種規範皆完全支援。PCI-DSS v4.0 的要求 2.3.2 規定，當任何知悉無綫金鑰的人員離職時，必須更換金鑰。使用 EAP-TLS 時，員工不會知悉任何共用金鑰。GDPR 第 32 條要求採取適當的技術措施以維護處理作業的安全性。基於每台裝置的憑證、廢止機制以及 VLAN 分段，能為您提供妥善記錄的控制措施與來自 CA 紀錄的稽核軌跡。

我們可以將個人所有的 iPhone 連接至企業網路嗎？

是的，只要搭配正確的註冊流程即可。Jamf Pro 與 Intune 皆支援 Apple 針對個人裝置推出的帳號驅動註冊機制。這能將公務資料與憑證與個人資料完全隔離。針對未採用 MDM 的 BYOD WiFi，Purple 的 Staff WiFi 會將存取權限與 Microsoft Entra ID、Okta 或 Google Workspace 身分綁定，因此離職者的存取權限會隨其帳號一併終止。

部署推行需要花費多少精力？

大部分的精力都集中在準備階段，而非裝置本身。您需要規劃 PKI、核發具有正確 SAN 的 RADIUS 伺服器憑證，並建立一份設定檔。先在涵蓋各型號與部門的 10 至 20 台裝置上進行試行。通過檢查後，只要在 Jamf Pro 或 Intune 中擴大範圍，即可在每台裝置下次登入時完成設定。