為高等教育的安全 BYOD 與 WiFi 驗證部署 SCEP

歡迎收看 Purple 技術簡報。我是您的主持人，今天我們將探討在高等教育 IT 領域中經常遇到的問題：部署 SCEP 以實現安全的 BYOD 與 WiFi 驗證。 如果您一直在校園網路中執行 PEAP-MSCHAPv2，那麼本次簡報將與您密切相關。如果您已經計劃轉向基於憑證的驗證，我們將為您提供架構、常見陷阱以及實現此目標的部署順序。 讓我們從問題開始。大學在設計上是開放的環境。學生在九月入學時，會攜帶兩部、三部，有時甚至是五部個人裝置。他們期望能夠立即、安全且無需聯絡服務台即可連線。對於大多數機構而言，現實情況是服務台在開學後四十八小時內，工單量就達到了兩千張。這不是人員配備問題，而是架構問題。 根本原因幾乎都是相同的：基於密碼的 WiFi 驗證。當您使用 PEAP 與 MSCHAPv2 執行 WPA2-Enterprise 時，您是在要求學生在每部裝置上手動設定 802.1X 設定。只要有一個設定出錯，他們就容易受到中間人攻擊。更糟糕的是，當大學每九十天強制重設密碼時，校園內的每部裝置都會同時失去 WiFi 存取權限。這是一個可預測且可避免的災難。 解決方案是使用 EAP-TLS 的基於憑證的驗證，而使其具備擴充性的機制是 SCEP：簡單憑證登錄協定。SCEP 由 IETF 於 2020 年在 RFC 8894 中正式確立，儘管它自 2000 年代初就已開始使用。它使在裝置上請求和安裝 X.509 數位憑證的過程自動化，而無需對每部裝置進行任何手動 IT 干預。 以下是其高階運作方式。不論是 Microsoft Intune 還是 Jamf，您的 MDM 平台都會向每部已註冊的裝置推送 SCEP 承載資料。該承載資料包含兩樣東西：SCEP 閘道 URL 和共用挑戰密碼。裝置會產生一個憑證簽署請求，將其發送至 SCEP 閘道，閘道驗證挑戰密碼並將請求轉發給您的憑證授權單位 (CA)。CA 簽署憑證並將其傳回給裝置。從那時起，裝置使用 EAP-TLS 向您的 WiFi 網路進行驗證：憑證向 RADIUS 伺服器證明裝置的身份，而 RADIUS 伺服器的憑證向裝置證明網路的身份。雙向驗證。不透過無線傳輸交換密碼。 雙向驗證這部分至關重要。使用 PEAP 時，學生連線到廣播您 SSID 的惡意存取點，會很樂意交出他們的憑證。使用 EAP-TLS，裝置在繼續操作前會檢查 RADIUS 伺服器憑證。如果與信任的 CA 不符，連線將在背景安靜地失敗。您剛剛消除了整類型的邪惡雙生攻擊。 現在讓我們來談談架構。針對大學的正式 SCEP 部署包含六個核心元件。第一，您的身分識別提供者：Microsoft Entra ID、Okta 或 Google Workspace。第二，您的 MDM 平台：適用於 Windows 和 Android 的 Intune，以及適用於 macOS 和 iOS 的 Jamf。第三，您的憑證授權單位（CA）：內部部署的 Microsoft Active Directory Certificate Services 或雲端 PKI。第四，您的 SCEP 閘道：接收憑證請求的 HTTP 端點。第五，用於驗證的 RADIUS 伺服器。第六，您的存取層：配置了 802.1X 的 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 基地台。 信任鏈的運作流程如下。CA 核發根憑證。該根憑證透過 MDM 發送到每台裝置以建立信任。接著，CA 透過 SCEP 核發用戶端憑證給裝置。當裝置連線時，它會將其用戶端憑證呈現給 RADIUS 伺服器，而 RADIUS 伺服器則將其伺服器憑證呈現給裝置。雙方皆對照受信任的根憑證進行驗證。存取權限的授予或拒絕是基於憑證的有效性，而非密碼。 讓我為您說明實作順序。這是行之有效的步驟流程。 步驟一：整理您的身分識別儲存庫。確保您的 Active Directory 或 Entra ID 針對學生、教職員和訪客定義了明確的群組。憑證原則和 VLAN 指派將與這些群組綁定。 步驟二：部署您的憑證授權單位。如果您使用的是 Microsoft ADCS，請建立兩層式階層：一個離線根 CA 和一個線上發行 CA。根 CA 在初始設定後應進行實體隔離（air-gapped）。 步驟三：設定您的 SCEP 閘道。這是您的 MDM 將裝置導向的 HTTP 端點。確保它可以從裝置執行初始註冊的網路區段（通常是您的註冊 SSID）進行存取。 步驟四：設定您的 RADIUS 伺服器。匯入發行 CA 憑證作為受信任的 CA。將 EAP-TLS 設定為您的驗證方法。設定 VLAN 回傳屬性，以便 RADIUS 可以動態地將學生指派到正確的網路區段。 步驟五：設定您的 MDM 設定檔。在 Intune 中，先建立「受信任的憑證」設定檔，接著建立「SCEP 憑證」設定檔，然後是參照該 SCEP 憑證的 WiFi 設定檔。請務必按照此順序進行部署。每個設定檔都依賴於前一個設定檔的就位。 步驟六：設定您的基地台。在 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 上，將您的安全 SSID 設定為 WPA2-Enterprise 或 WPA3-Enterprise。將 RADIUS 超時設定為至少五秒，以因應尖峰註冊期間的憑證驗證延遲。 現在，來看看常見的陷阱。我曾多次看到這些問題導致部署失敗。 第一個是部署 MDM 設定檔的順序錯誤。如果 WiFi 設定檔在 SCEP 憑證設定檔之前抵達裝置，裝置將沒有可用於驗證的憑證。連線將會失敗，使用者便會致電技術支援中心。 第二個陷阱是忽略了 BYOD 裝置。Intune 和 Jamf 可以管理您學校擁有的裝置。但學生的個人裝置並未註冊到您的 MDM 中。對於這些裝置，您需要一個自助服務的引導入口網頁。學生透過其大學憑證使用單一登入（Single Sign-On）進行驗證，而入口網頁會使用 SCEP 來配置憑證。Purple 的平台將此引導流程直接整合到 Captive Portal 體驗中，讓學生在不需 IT 介入的情況下，在兩分鐘內完成註冊。 第三個陷阱是尖峰引導期間的 RADIUS 逾時失敗。請在九月之前對您的 RADIUS 基礎架構進行壓力測試，而不是在九月期間。並在至少兩個 RADIUS 節點之間實施負載平衡。 第四個陷阱是憑證撤銷。當學生離校、或裝置遺失或被盜時，您需要立即撤銷憑證。確保您的 CA 發佈了憑證撤銷清單（Certificate Revocation List），並且您的 RADIUS 伺服器在每次驗證時都會進行檢查。 現在針對我們最常聽到的問題進行快速問答。 SCEP 在沒有 MDM 的情況下可以運作嗎？技術上可以，但實際上不行。如果沒有 MDM 來推送 SCEP 承載資料和 WiFi 設定檔，您就必須回到手動設定裝置的狀態。 憑證有效期應該是多久？對於學生裝置，一到兩年是標準做法。時間夠長，可以撐過學年而不會產生更新摩擦，時間夠短，可以在憑證遭到破解時限制曝露風險。 不支援 802.1X 的 IoT 裝置該怎麼辦？使用 MAC 驗證繞過（MAC Authentication Bypass）搭配自助服務裝置註冊入口網頁。學生註冊其遊戲主機或智慧電視的 MAC 位址，而您的 NAC 系統會將其放置在正確的 VLAN 中。 這適用於 eduroam 嗎？是的。eduroam 聯盟完全支援 EAP-TLS。由您校園 CA 發行的憑證可以讓學生在全球任何參與該計劃的機構中，在 eduroam 上進行驗證。 最後，以下是決定 SCEP 部署成功的的三個關鍵決策。 第一：在做任何事情之前，先選擇您的 CA 架構。地端的 ADCS 讓您擁有完全的主導權。雲端 PKI 則給您營運上的簡便性。在這裡做錯選擇會讓您花費數月的時間重新修改。 第二：從第一天起就自動化 BYOD 引導。不要指望學生會手動設定他們的個人裝置。他們不會這樣做。請在學期開始前建立好自助服務入口網頁。 第三：在九月之前，在有負載的情況下測試您的 RADIUS 容量。學期第一天的 RADIUS 斷線是完全可以預防的。 Purple 的平台支援這三者：雲端重疊 PKI 整合、透過我們 Captive Portal 進行的自助服務 BYOD 引導，以及在八萬個現場場域中測試過、擁有百分之九十九點九九九可用性的 RADIUS 基礎架構。 感謝您加入 Purple 技術簡報。如需進一步指導，請造訪 purple.ai。