網路管理員指南：如何為訪客 WiFi 設定 RADIUS 驗證

網路管理員設定客用 WiFi 的 RADIUS 驗證指南 - 播客腳本 [引言 - 約 1 分鐘] 您好，歡迎收聽。我將帶您瞭解設定客用 WiFi 的 RADIUS 驗證所需知道的一切資訊 - 從底層架構到您團隊需要採取的實際步驟，以及導致大多數部署失敗的陷阱。 這不是一堂課。您可以將其視為一位資深顧問的簡報，他曾與飯店、連鎖零售、體育場和會議中心的 IT 經理同桌討論，並協助他們順利完成這項工作。我們將介紹技術基礎、實際部署模式，以及 Purple 的雲端原生 RADIUS 平台在其中扮演的角色。 讓我們開始吧。 [技術深潛 - 約 5 分鐘] 那麼，RADIUS 到底是什麼？RADIUS 代表遠端驗證撥號使用者服務（Remote Authentication Dial-In User Service）。它是一種網路協定 - 定義於 RFC 2865 中 - 為網路存取提供集中式的驗證、授權和計帳。簡單來說：這個系統決定了訪客的裝置是否被允許進入您的網路、在什麼條件下允許，以及允許使用多長時間。接著它會記錄整個工作階段。 特別是對於客用 WiFi，RADIUS 介於您的存取點（Access Points）和您的身分識別層之間。當訪客連接到您的 SSID 時，他們的裝置會向存取點發送驗證請求，存取點將該請求轉發給網路存取伺服器（即 NAS），然後 NAS 再查詢 RADIUS 伺服器。RADIUS 伺服器驗證憑證，傳回 Access-Accept 或 Access-Reject，接著工作階段開始或被封鎖。計帳封包隨後會追蹤工作階段持續時間、消耗的數據量以及終止原因。 這三個核心功能通常被稱為 AAA：驗證（Authentication）、授權（Authorisation）和計帳（Accounting）。驗證確認身分。授權定義該身分可以存取的內容 - 頻寬限制、VLAN 分配、工作階段持續時間。計帳則建立稽核軌跡。 現在，對於客用 WiFi 來說，驗證方法非常重要。在企業環境中，您通常會使用 802.1X 搭配 EAP-TLS - 這是一種基於憑證的，非常安全的做法。但對於訪客來說，這是不切實際的。訪客的個人裝置上沒有憑證。因此，常見的模式是將 Captive Portal 與 RADIUS 結合使用。訪客進入登入頁面，輸入他們的詳細資訊或透過社群登入進行驗證，然後 Captive Portal 會代表他們與 RADIUS 伺服器交換這些憑證。接著 RADIUS 伺服器會向存取點發送訊號以授予存取權限。 這正是 Purple 運作的架構。我們的雲端原生 RADIUS 服務負責處理驗證交換，而您透過 Purple 平台建立品牌和設定的 Captive Portal 則管理面向訪客的體驗。存取點只需要知道 RADIUS 伺服器地址、連接埠和共用金鑰。Purple 提供了這三者。讓我們來討論連接埠與協定。RADIUS 驗證流量在 UDP 連接埠 1812 上執行。RADIUS 計費流量在 UDP 連接埠 1813 上執行。您需要在無線基地台（access point）上設定這兩者。共用金鑰（shared secret）是您的無線基地台與 RADIUS 伺服器之間的預先共用金鑰 - 請將其視為密碼。請使用長度足夠且隨機產生的字串。切勿在不同部署中重複使用。 在硬體方面，Purple 與硬體無關。我們支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 等品牌。設定步驟因廠商而異，但底層的 RADIUS 參數是一致的：伺服器 IP 或主機名稱、驗證連接埠 1812、計費連接埠 1813、共用金鑰以及計費間隔。 以 Avaya 無線基地台為例，您需要在 External RADIUS 區段下設定 RADIUS 屬性，將 Called-Station-Id 格式設定為 UC 連字號 MAC 格式，啟用計費，然後將 SSID 的網頁重新導向設定為指向 Purple 的 Captive Portal URL。Purple 的支援文件在指南中的連結裡有說明 Avaya 的確切步驟。 對於 Pepwave MAX 系列裝置，您可以透過其雲端管理平台 InControl2 進行設定，或直接透過本機網頁介面進行設定。無論哪種方式，您都是在設定外部 Captive Portal，將驗證與計費指向 Purple 的 RADIUS 伺服器，並將 SSID 設定為開放安全且附加 Captive Portal。同樣地，確切的步驟都在 Purple 的支援文件中。 一個值得注意的架構決策：主要與次要 RADIUS 伺服器。請務必設定這兩者。Purple 提供兩個 RADIUS 伺服器位址以進行備援。如果主要伺服器無法連線，無線基地台會自動容錯移轉到次要伺服器。如果沒有次要伺服器，RADIUS 伺服器一旦出現微小異常，就意味著您的訪客無法連線。在擁有 300 間客房的飯店或有 40,000 名球迷的體育場中，這會是嚴重的事件。 VLAN 分割是另一個關鍵要素。您的訪客 WiFi 流量絕不能接觸到您的企業或營運網路。將訪客工作階段分配給專用的 VLAN，並將該 VLAN 路由到獨立的網際網路上行鏈路，或者至少通過具有嚴格出口規則的防火牆。如果您在相同的實體基礎設施上處理任何卡片支付，這就是 PCI-DSS 的要求，而且不論如何，這本來就是很好的做法。 [實作建議與常見陷阱 - 約 2 分鐘] 讓我告訴您最常出錯的三件事。 第一：共用金鑰不相符。無線基地台上的共用金鑰必須與 RADIUS 伺服器中註冊的金鑰完全一致。區分大小寫，字元必須完全相同。只要有一個字元錯誤，就會產生 Access-Reject，且不會顯示任何有用的錯誤訊息。請務必從您的 Purple 控制面板中複製貼上，而不要手動輸入。 第二：白名單遺漏。在訪客進行驗證之前，其裝置需要連接到 Captive Portal。這代表存取點上必須將特定網域加入白名單 - 包括 Purple 的入口網站 URL、驗證端點以及您所使用的任何社群登入供應商。如果白名單不完整，訪客將會看到空白頁面或連線逾時。Purple 在支援文件中維護了最新所需的網域列表 - 請使用該列表，切勿自行猜測。 第三：記帳間隔。這控制了存取點向 RADIUS 伺服器傳送過渡記帳更新的頻率。設定得太長，您會失去工作階段的精細度；設定得太短，則會產生不必要的流量。對於大多數部署，240 到 300 秒是合適的範圍。Avaya 的建議間隔為 300 秒；Pepwave 的建議間隔為 180 到 240 秒。請遵循特定廠商的指南。 在合規性方面：GDPR 要求您收集訪客資料時必須有合法依據。設定完善且帶有明確同意勾選框的 Captive Portal 可以滿足此要求。Purple 的平台符合 GDPR 規範並通過 ISO 27001 認證。每一次透過 Purple 登入都是有意識的選擇性加入 - 訪客在連線前必須主動同意您的條款。該稽核軌跡就是您的合規性證據。 [快速問答 - 約 1 分鐘] 我經常被問到的常見問題。 「我需要更換現有的硬體嗎？」不需要。Purple 層疊在您現有的基礎架構之上，無需進行拆除與更換。 「我可以在同一個平台上將 RADIUS 用於員工 WiFi 嗎？」可以。Purple 支援為訪客和員工設定個別的 SSID，並在每個 SSID 上套用不同的驗證原則。 「如果我的場所有多個站點怎麼辦？」Purple 透過單一管理平台管理多站點部署。您只需設定一次，即可複製到各個站點。 「雲端 RADIUS 的安全性是否低於地端？」並非如此。Purple 的雲端 RADIUS 提供 99.999% 的可用性、ISO 27001 認證以及端到端加密。由於修補和強化工作皆由集中處理，其受攻擊面比自行管理的伺服器更小。 「完整部署需要多長時間？」對於使用支援硬體的單一場所，網路管理員可以在兩小時內完成 RADIUS 設定。Purple 的導入培訓團隊隨時可以提供協助。 [總結與後續步驟 - 約 1 分鐘] 總結來說，針對訪客 WiFi 的 RADIUS 驗證為您提供了集中式存取控制、完整的記帳軌跡，以及符合 GDPR 和 PCI-DSS 所需的合規基礎。其架構非常簡單：存取點到 NAS，再到 RADIUS 伺服器，最後到 Purple 的雲端平台。必須做對的三件事是：共用金鑰、網域白名單以及記帳間隔。 Purple 在全球超過 80,000 個場所營運雲端原生 RADIUS，並在 2024 年處理了 4.4 億次登入。該平台與硬體無關，已通過 ISO 27001 認證，且符合 GDPR 規範。 您的後續步驟：檢查您的硬體是否在 Purple 的支援列表中、從您的 Purple 儀表板中取得 RADIUS 伺服器憑證，並按照 Purple 支援中心中特定廠商的設定指南進行操作。如果您需要協助，Purple 的技術團隊可以引導您完成。 感謝您的收聽。下方附有包含圖表、操作範例和設定參考的完整書面指南連結。