在高等教育機構中實施 SCEP 以實現安全的 BYOD 和 802.1X WiFi

歡迎來到 Purple 技術簡報。我是你們的主持人，今天我們要深入探討一個在高等教育 IT 領域中經常被提及的話題：如何實作 SCEP（簡單憑證註冊協定），以便在校園內提供安全的 BYOD 和 802.1X WiFi。 如果您目前正在管理大學或大專院校的網路，您可能正在應對一種令人熟悉的緊張局勢。一方面，您有學生、教職員攜帶著數百或數千台個人裝置進來。另一方面，您的安全態勢需要符合機構、法規以及越來越多的網路保險要求。基於密碼的 WiFi 和開放式的 Captive Portal 已經不合時宜了。所以，讓我們來談談什麼才有效。 首先，讓我們來了解一下背景。802.1X 是基於連接埠之網路存取控制的 IEEE 標準。它自 2001 年以來就已存在，但今天比以往任何時候都更加重要。其核心概念是，在任何裝置進入您的網路之前，它必須證明自己的身份 - 不僅僅是提供一個任何人都可以分享的密碼，而是提供一個可驗證的憑證。在有線網路中，該憑證檢查發生在交換器連接埠上。在 WiFi 中，它發生在存取點，並由 RADIUS 伺服器進行協調。 現在，憑證本身可以有幾種形式。您可以使用使用者名稱和密碼，透過 PEAP（受保護的可延伸驗證協定）進行驗證。或者，您可以使用數位憑證，透過 EAP-TLS（採用傳輸層安全性的可延伸驗證協定）進行驗證。EAP-TLS 是黃金標準。它是雙向的 - 網路對裝置進行驗證，裝置也對網路進行驗證。這種雙向驗證正是阻擋虛假存取點的關鍵。學生的筆記型電腦根本不會連接到沒有正確憑證的偽造網路。 那麼 SCEP 在其中扮演什麼角色呢？SCEP（簡單憑證註冊協定）是裝置自動要求並接收這些數位憑證的機制。如果沒有 SCEP，您就必須手動為每台裝置產生並分發憑證。在一所有著一萬名學生和三千名教職員的大學裡，這不是一項可行的運作方式。SCEP 將整個流程自動化。 以下是其工作流程。裝置連接到一個佈署網路 - 有時稱為引導（onboarding）SSID。它會與您的 SCEP 伺服器聯繫，該伺服器通常與您的憑證授權單位（CA）整合。裝置會提交一個憑證簽署要求。SCEP 伺服器會驗證該要求，這通常是透過對照您的目錄（Microsoft Entra ID 或 Google Workspace）來檢查使用者的憑證。一旦通過驗證，CA 就會核發已簽署的憑證，然後裝置就會安裝它。從那時起，裝置就會自動使用該憑證向您的 802.1X 安全 SSID 進行驗證。沒有入口網站、沒有密碼提示，也沒有 IT 支援工單。 讓我們更詳細地討論一下架構。在典型的 there higher education 部署中，您需要考慮三個網路區段。首先是您的上線網路 - 這是未註冊裝置進入的地方。它具有網際網路存取權，但與您的內部資源隔離。第二是您的 802.1X 安全 SSID - 這是已註冊裝置連接的地方，具有適合其角色的資源完整存取權。第三是您的管理基礎架構 - 您的 RADIUS 伺服器、您的 CA、您的 SCEP 伺服器以及您的目錄整合。 RADIUS 伺服器是交通警察。當裝置嘗試連接到您的 802.1X SSID 時，無線基地台會向 RADIUS 發送驗證請求。RADIUS 會根據 CA 的憑證撤銷清單驗證憑證，檢查使用者在目錄中的狀態，然後授予或拒絕存取。它還可以根據角色將裝置分配到 VLAN - 學生分配到一個區段，教職員工分配到另一個區段，行政人員分配到第三個區段。這就是實踐中的身分識別基礎網路 (Identity-Based Networking)。 現在，我最常被問到的問題之一是：這適用於哪些硬體？好消息是 802.1X 是一個標準，因此它適用於任何支援 WPA2 或 WPA3 Enterprise 的無線基地台。在實踐中，您會想要驗證特定廠商的實作。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi - 這些都支援該標準。設定步驟因廠商而異，但底層協定是相同的。 讓我帶您看看實際的實作是什麼樣子。我將使用一個以英國中型大學為基礎的綜合範例 - 大約有一萬五千名學生、三個校區，混合了 Aruba 和 Meraki 基礎架構。 該專案始於網路稽核。現有的設定混合了開放的 SSID 和用於學生存取的 Captive Portal。IT 團隊淹沒在密碼重設工單中 - 每週大約四十張。iOS 和 Android 上的 MAC 位址隨機化完全破壞了他們的分析，因此他們沒有關於網路使用模式的可靠數據。 第一階段是部署 PKI 基礎架構。他們建立了雙層 CA - 一個離線根 CA 和一個線上發行 CA。SCEP 伺服器與發行 CA 整合，並連接到 Microsoft Entra ID 進行身分驗證。憑證有效期設為一年，並在三十天時觸發自動更新。 第二階段是設定 802.1X SSID。他們建立了一個使用 WPA3-Enterprise 的專用 SSID，將其指向其 RADIUS 伺服器，並設定了 VLAN 分配規則。學生分配到一個 VLAN，員工分配到另一個，IoT 裝置則分配到第三個。第三個階段是上線體驗。他們使用 Network Access Control 解決方案，將未註冊的裝置重導向至自助服務入口網站。學生使用其大學憑證進行驗證，SCEP 流程在背景執行，隨後便完成了憑證安裝。在 iOS 上，這需要設定描述檔。在 Android 上，程序雖然稍微不同，但同樣實現了自動化。 結果如何？密碼重設的支援工單在第一個內減少了超過百分之九十。網路可視性大幅提升，因為基於憑證的身分識別不會像 MAC 位址那樣經常變動。安全小組終於針對網路上的每台裝置擁有了可靠的稽核軌跡。 現在我們來談談 Purple 在這個架構中所扮演的角色。Purple 的 SecurePass 產品正是建構在此架構之上。SecurePass 使用 WPA2 與 WPA3-Enterprise 搭配 802.1X 雙向驗證來核發經數位簽章的 WiFi 描述檔。註冊程序不花到三十秒即可完成。一旦裝置擁有描述檔，就會自動連線 - 無需入口網站、無需密碼、毫無阻礙。 SecurePass 對於高等教育特別有價值的關鍵，在於結合了安全與分析。因為驗證憑證是穩定的憑證，而非變動的 MAC 位址，因此您可以獲得準確的重訪數據、停留時間和造訪頻率。這些數據會直接匯入 Purple 的分析平台，讓您真實掌握校園網路的使用狀況。 SecurePass 還與 Microsoft Entra ID 和 Google Workspace 整合，可用於教職員部署。這意味著當教職員離職時，其存取權限會自動撤銷。無需手動程序、沒有被遺忘的帳戶、不留安全漏洞。這就是端到端自動化的員工入職、異動、離職工作流程。 在 RADIUS 基礎架構方面，Purple 營運雲端 RADIUS 伺服器（主要與次要），因此您無需親自管理該基礎架構。支援的硬體列表涵蓋 Cisco Meraki、Cisco Catalyst、HPE Aruba、Ubiquiti UniFi、Ruckus、Juniper Mist 以及 Fortinet 等。完整詳細資訊請參閱 Purple 支援網站上的 SecurePass 常見問題。 讓我為您說明需要注意的部署陷阱。這些是在實際部署中容易讓團隊出錯的地方。 第一：憑證撤銷。您需要一個運作正常的 CRL（憑證撤銷清單）或 OCSP 回應程式。如果您的 RADIUS 伺服器無法檢查撤銷狀態，您要不就是阻擋所有連線，要不就是接受所有連線。這兩種狀況都無法接受。在正式上線前，請務必測試您的撤銷基礎架構。 第二：裝置相容性。大多數現代的 iOS、Android、macOS 和 Windows 裝置都原生支援 EAP-TLS。但較舊的裝置、IoT 終端設備和某些舊系統則不支援。您需要為這些裝置擬定計劃 - 無論是使用具備不同驗證機制的獨立 SSID，還是採用託管的例外處理程序。 第三：憑證有效期與更新。如果憑證過期且更新流程失敗，使用者將會失去存取權限。請寬鬆地設定您的更新時間視窗 - 到期前三十天是個合理的最小值。請集中監控憑證到期情況，並在問題發生前發出警報。 第四：上線體驗。技術流程可能非常完美，但如果學生覺得註冊流程令人困惑，他們就不會完成。請投資於清晰的指引、簡單的自助服務入口網站以及簡短的說明指南。SecurePass 宣傳的三十秒註冊是可以實現的，但前提是 UX 必須正確。 第五：RADIUS 伺服器的彈性。您的 802.1X 基礎架構現在是網路存取的關鍵路徑。如果您的 RADIUS 伺服器故障，就沒有人能連線。您需要主要和次要 RADIUS 伺服器，最好位於不同的可用區域，並具備自動容錯移轉功能。 現在進行我們的快速問答。這些是我最常被問到的問題。 SCEP 可以與雲端 CA 搭配使用嗎？可以。Microsoft 的 NDES - 網路裝置註冊服務 - 以及幾家第三方雲端 CA 供應商都支援透過 HTTPS 執行 SCEP。您不需要內部部署的基礎架構。 802.1X 可以與 Passpoint 和 OpenRoaming 搭配使用嗎？可以。Passpoint - 也稱為 Hotspot 2.0 - 使用 802.1X 作為其驗證層。OpenRoaming 將其擴展到全球信任網路聯盟。透過 SecurePass 註冊的學生將在涵蓋全球超過八萬個 OpenRoaming 場地自動連線。這包括機場、飯店、交通樞紐 - 完全不需要任何額外操作。 那訪客存取呢？802.1X 和 SCEP 是針對託管裝置和已知身分的。對於真正的訪客，您仍然需要一個獨立的訪客存取機制。這兩個系統平行運行，彼此並無衝突。 WPA3-Enterprise 是強制性的嗎？不是，採用 802.1X 的 WPA2-Enterprise 仍然被廣泛部署，且對大多數使用案例來說完全安全。WPA3-Enterprise 增加了更強的加密。如果您的硬體支援，請啟用它。如果不支援，WPA2-Enterprise 是一個穩固的基準。 最後總結，以下是我希望您從本次簡報中帶走的五個重點。 第一：採用憑證驗證的 802.1X 是高等教育中 BYOD 的正確安全性架構。密碼和入口網站已不足以應對您目前所面臨的威脅環境。 第二：SCEP 是讓憑證驗證具備可擴充性的關鍵。如果沒有自動化註冊，您就無法在大學所需的規模上部署憑證。 第三：雙向驗證是關鍵的安全屬性。它保護您的學生免受惡意存取點的侵害，正如它保護您的網路免受未授權裝置的侵害一樣。 第四：與 Microsoft Entra ID 或 Google Workspace 的目錄整合，是讓加入、異動、離職工作流程自動化的關鍵。部署 802.1X 時絕對不能沒有它。 第五：引導上線體驗決定了採用率。技術本身可以非常完美，但如果註冊流程不順暢，您花在處理支援工單上的時間會比節省下來的時間還要多。 如果您想深入了解，Purple 支援網站提供詳細的 SecurePass 說明文件，內容涵蓋 RADIUS 設定、硬體相容性以及註冊流程。相關連結已附在節目資訊中。 感謝您的收聽。我們在下一次簡報中再見。