在 Juniper Mist 上使用雲端 RADIUS 設定 802.1X

若要在 Juniper Mist 上設定 802.1X，請建立具有 WPA2 或 WPA3 企業級安全性的 WLAN。新增您的雲端 RADIUS 伺服器以進行驗證與計費，如果服務支援，請啟用 RadSec。將 VLAN 設定為動態，以便 RADIUS 回應能將每個裝置分配至正確的網段。Mist 的用戶端深入解析時間軸與 Marvis 接著會顯示任何失敗驗證出問題的位置。

802.1X 在 Juniper Mist 上究竟扮演什麼角色？

IEEE 802.1X 是基於連接埠的網路存取控制。在無線網絡上，它會阻擋裝置的流量，直到該裝置向驗證伺服器證明其身分。無線基地台（AP）作為驗證者，在裝置與 RADIUS 伺服器之間轉發可擴充驗證協定（EAP）訊息。RADIUS 是 RFC 2865 中定義的驗證協定。

RADIUS 伺服器會檢查憑證並傳回 Access-Accept 或 Access-Reject。Accept 可以包含屬性，例如裝置應加入的 VLAN。接著每個裝置都會產生自己的金鑰，因此沒有兩名員工會共用相同的金鑰。

在 Juniper Mist 上，每個無線基地台都是 RADIUS 用戶端。Mist 將 WLAN 設定儲存在其雲端中，並推送到每個據點的每個 AP。它還會記錄每次連線嘗試的每個步驟，這使得 Mist 在驗證失敗時能發揮強大作用。

EAP 方法決定了裝置出示的內容：

• EAP-TLS：裝置和伺服器皆出示憑證。沒有會被釣魚、分享或過期的密碼。
• 搭配 MSCHAPv2 的 PEAP：受保護的 EAP 將密碼交換封裝在 TLS 隧道內。這較容易部署，但安全性較弱。Microsoft 的文件指出，近期 Windows 11 版本中預設啟用的 Credential Guard 會阻擋基於 MSCHAPv2 驗證的單一登入。
• EAP-TTLS：一種類似的隧道方法，常見於身分儲存庫非 Microsoft 的情境。

Mist 不會協商該方法。裝置與 RADIUS 伺服器會自行協商，而 AP 只負責轉發交換過程。這意味著您需要在 RADIUS 端和裝置設定檔中選擇 EAP 方法，而不是在 Mist 主控台中選擇。

在 Mist 上設定 802.1X 前需要準備什麼？

在開啟主控台前，請先收集以下項目。大多數部署失敗的原因都可以追溯至此清單中缺失的項目，而不是 Mist 的設定問題。

• Mist 存取權限。 組織管理員權限，且 AP 已被申領並分配至各據點。
• 雲端 RADIUS 詳細資訊。 伺服器主機名稱或 IP 地址、連接埠、共用金鑰，以及如果您的提供業者支援，請提供 RadSec 詳細資訊。
• 身分驗證來源。 Microsoft Entra ID、Okta 或 Google Workspace，已連線至 RADIUS 服務，並包含對應至網路角色的群組。
• 憑證。 您的裝置所信任的 RADIUS 伺服器憑證。對於 EAP-TLS，則需要透過 MDM 或 PKI 核發的用戶端憑證。
• 有線網路。 交換器連接至 AP 的連接埠必須將 RADIUS 可能回傳的每個 VLAN 設為 Trunk。每個 VLAN 都需要一個 DHCP 範圍。
• 防火牆出站。 標準 RADIUS 使用 UDP 1812 和 1813，或 RadSec 使用 TCP 2083，這些是 IANA 指派給各自的連接埠。
• 裝置相容性。 WPA3-Enterprise 需要受保護的管理框架（PMF，IEEE 802.11w）。較舊的掃描器、印表機和手持裝置可能不支援此功能。
• 訊號涵蓋範圍。 企業級驗證會增加往返時間，因此訊號涵蓋不足會表現為驗證逾時。如果您近期尚未確認涵蓋範圍，我們的 WiFi 場地勘查指南 有介紹具體方法。

Mist WLAN 應該指向哪種 RADIUS 後端？

後端決定了 AP 如何連線至 RADIUS、防火牆必須允許哪些流量，以及伺服器如何識別每個據點。

選項	AP 傳輸方式	現場硬體	防火牆出站	RADIUS 如何識別據點	最適合的場景
地端 RADIUS (Microsoft NPS, FreeRADIUS)	透過 LAN 或 VPN 使用 RADIUS over UDP	總部伺服器，加上連至各據點的 VPN	傳送至總部的 UDP 1812 和 1813	來源 IP 加上共用金鑰	擁有現成伺服器房的單一園區
Cloud RADIUS over UDP	透過網際網路使用 RADIUS over UDP	無	出站 UDP 1812 和 1813	據點公有 IP 加上共用金鑰	具有固定公有 IP 地址的據點
Cloud RADIUS over RadSec	TLS 安全傳輸層內的 RADIUS (RFC 6614，透過 TCP)	無	出站 TCP 2083	雙向憑證驗證	使用寬頻或動態 IP 的多據點企業
透過 Mist Edge 代理的 Cloud RADIUS	AP 至 Mist Edge，再由 Mist Edge 至 RADIUS	Mist Edge 實體設備或虛擬機器	僅限來自 Mist Edge 的 RADIUS 連接埠	Mist Edge 來源 IP	需要單一出站點的大型園區

Juniper 也有銷售 Mist Access Assurance，這是其自有的雲端網路存取控制服務。本指南涵蓋的是外部 Cloud RADIUS 服務，這能讓您的驗證策略獨立於 AP 設備廠商之外。

如何在 Juniper Mist 上使用 Cloud RADIUS 設定 802.1X？

Mist 控制台會定期更新，因此請參閱 Juniper 的 Mist 文件以取得最新的逐欄設定步驟。以下流程說明了每個階段的作用以及背後的決策。

步驟 1：建立 WPA2 或 WPA3-Enterprise WLAN

如果您管理多個據點，請在組織層級的 WLAN 範本中建立 WLAN。範本適用於據點或據點群組，因此一項變更即可套用至整個企業。若為單一據點的試行計畫，則請在據點層級建立。

命名 SSID 並選擇企業級 (802.1X) 安全性類型。然後選擇 WPA2 或 WPA3。

• WPA3-Enterprise 強制使用 PMF，並且是 6 GHz 無線電頻段上唯一的企業級選項。請為受管理的筆記型電腦和新款手機選擇此選項。
• WPA2-Enterprise 仍可連線較舊的裝置。如果舊型裝置設備暫時無法轉移，請將其保留在獨立的 SSID 上，而不是降低主要 SSID 的安全性。

考量啟用遵循 IEEE 802.11r (Fast BSS Transition) 的快速漫遊。這能縮短裝置在 AP 之間移動時的重新驗證時間。在全區啟用之前，請先使用語音手持裝置和較舊的用戶端進行測試。

第 2 步：將 WLAN 指向您的雲端 RADIUS 服務

在 WLAN 的驗證伺服器設定中，新增您提供商的 RADIUS 伺服器。

• 驗證伺服器。 請至少輸入兩台伺服器的主機、連接埠與共用金鑰。當其中一台伺服器停止回應時，Mist 會自動切換至下一台伺服器。
• 計費伺服器。 請分開新增。計費功能會記錄會話的開始與結束時間，這正是您的稽核與事故處理團隊所需的資料。
• NAS 識別碼。 設定一個 RADIUS 服務可用來區分不同案場的值。如此一來，您的提供商就能套用特定案場的策略。

使用透過 UDP 的標準 RADIUS 時，要求會在經過 NAT 後，從每個案場的公用 IP 地址發出。您的雲端 RADIUS 提供商必須將該地址註冊為用戶端。採用動態 IP 的案場只要地址有所變更，就會失去驗證功能。第 3 步中的 RadSec 可以消除此依賴性。

請將共用金鑰視為重要憑證。請將其設定得長且隨機，並儲存在您的密碼庫中。在 2024 年 7 月，研究人員揭露了 BlastRADIUS (CVE-2024-3596)，這是一種針對 UDP 上 RADIUS 的偽造攻擊。請確認您的提供商是否如建議般要求 Message-Authenticator 屬性，或直接轉用 RadSec。

第 3 步：啟用 RadSec

是的，Juniper Mist 支援 RadSec。RFC 6614 中定義的 RadSec，可將 RADIUS 封裝在 TCP 上的 TLS 會話中傳輸。Mist AP 可以直接與您的雲端 RADIUS 服務建立該會話。

在 WLAN 的 RADIUS 設定中啟用 RadSec，並輸入伺服器主機名稱。主機名稱必須與伺服器憑證上的名稱一致。接著設定雙向信任：

• AP 信任伺服器。 在 Mist 的組織設定中，新增簽發 RadSec 伺服器憑證的憑證授權單位 (CA)。
• 伺服器信任 AP。 您的 RadSec 伺服器必須信任 Mist AP 所出示的憑證。Juniper 的說明文件解釋了從何處取得該憑證。

請從每個案場開啟對外的 TCP 2083 連接埠。RadSec 能帶來三個實用的效益：

1. 加密。 它會加密整個 RADIUS 封包，包括裡面的身分與 MAC 地址。標準 RADIUS 僅會隱藏密碼。
2. 無須註冊 IP。 憑證驗證的是 AP，而不是來源地址。動態寬頻 IP 不再影響運作。
3. 可靠傳輸。 EAP-TLS 訊息帶有憑證鏈，且往往超過一個封包的大小。在網際網路上透過 UDP 傳輸時，碎片容易被丟棄；TCP 則會進行重傳。

第 4 步：將 RADIUS 屬性對應至動態 VLAN

動態 VLAN 分配能將所有角色放置於同一個 SSID 上，並由 RADIUS 決定網路分段。在 WLAN 的 VLAN 設定中，選擇動態 VLAN。列出 AP 可能接收到的每個 VLAN ID 或名稱，並為不帶 VLAN 的回覆設定預設值。

接著，您的 RADIUS 策略會傳回三個通道屬性，這些屬性定義於 RFC 2868，並在 RFC 3580 中應用於 802.1X。

屬性	數值	功能描述
Tunnel-Type	13 (VLAN)	告知 AP 該通道為 VLAN
Tunnel-Medium-Type	6 (IEEE-802)	指定 IEEE 802 媒介
Tunnel-Private-Group-ID	WLAN 上列出的 VLAN ID 或名稱	選取此工作階段的 VLAN

請圍繞身份群組建立策略。房務設備使用房務專用 VLAN，支付終端機則使用隔離的區段。PCI-DSS 將適當的網絡區段劃分視為縮減持卡人資料環境範圍的一種方式。相同的模式也能在 醫療保健 環境中，將臨床設備與訪客流量隔離開來。

第 5 步：先進行試點，再透過範本進行規模化擴充

首先將範本指派給單一據點。執行下一節中的檢查項目。通過檢查後，再將範本指派給其餘據點或據點群組。每個新據點都會自動繼承 WLAN、RADIUS 伺服器、RadSec 設定與 VLAN 清單。

如何檢查 802.1X 在 Mist 上是否正常運作？

測試每一個角色，而不是只測試一個帳號。單一群組成功接收 Access-Accept，並不代表另一個群組的 VLAN 對映也是正確的。

1. 每個角色連接一台測試裝置。 在 Juniper Mist 的用戶端清單中，確認 SSID、使用的身份、VLAN 以及預期子網路中的 IP 位址。
2. 讀取 RADIUS 記錄。 確認包含預期通道屬性的 Access-Accept，以及隨後產生的 Accounting Start 記錄。
3. 漫遊測試。 帶著裝置在 AP 之間移動，確認工作階段維持連線，尤其是當您啟用了 802.11r 時。
4. 撤銷權限。 在您的身份提供者中停用測試帳號。確認其下一次驗證會被拒絕。
5. 觀察服務水準。 Juniper Mist 的成功連線（Successful Connects）服務水準期望（SLE）包含授權分類器。連線時間（Time to Connect）可顯示驗證是否拖慢了加入速度。

第 4 步有一個注意事項。停用帳號只會阻止下一次驗證，並不會中斷目前的工作階段。若要結束即時工作階段，請檢查您的 RADIUS 服務與 WLAN 是否支援授權變更（CoA, RFC 5176）。CoA 允許伺服器按需中斷工作階段。

Mist 在哪裡顯示驗證失敗的原因？

讀取用戶端洞察時間軸

開啟發生故障的用戶端並前往其洞察（Insights）頁面。Juniper Mist 會按順序列出每個連線事件：關聯、EAP 交換、RADIUS 結果，最後是 DHCP。請從左至右閱讀，最後一個成功的事件會告訴您哪一層出現了問題。

• 在任何 RADIUS 事件之前失敗： 屬於無線電或關聯問題，而非 802.1X 問題。
• RADIUS 逾時： AP 與伺服器之間的連通性或信任問題。
• RADIUS 拒絕： 伺服器已做出決策。原因請查看您的 RADIUS 提供者記錄。
• 已通過驗證但 DHCP 失敗： 屬於 VLAN 或有線網路問題。

Juniper Mist 的動態封包擷取功能會自動記錄連線失敗前後的訊框。下載擷取檔案並在 Wireshark 中開啟，即可查看交換停止時的確切 EAP 訊息。

縮短排障流程的 Marvis 查詢

Marvis 為 Mist 的對話助手，可接受簡明自然的語言提問，並需要訂閱 Marvis。以下類型的查詢最能節省時間：

• 「對 [用戶端名稱或 MAC 位址] 進行疑難排解」會傳回單一裝置的失敗點與可能原因。
• 「對 [案場名稱] 進行疑難排解」會顯示失敗是否集中於特定案場，藉此指向防火牆或 WAN 問題。
• 「今天有哪些用戶端在 [案場] 連線失敗？」可在開啟個別時間軸之前先縮小問題範圍。

確定範圍永遠是第一步。單一裝置失敗通常是裝置設定檔的問題。特定案場的所有裝置都失敗通常是網路路徑問題。所有地方的所有裝置都失敗則通常是 RADIUS 服務或憑證問題。

Mist 上常見的 802.1X 失敗與解決方案

Mist 顯示內容	可能原因	解決方案
RADIUS 超時，無回應	防火牆封鎖 UDP 1812 或 TCP 2083、來源 IP 未註冊，或共用金鑰不相符	開放出站流量、註冊案場 IP 或轉用 RadSec、在兩端重新輸入金鑰
拒絕存取 (Access-Reject)	認證資料錯誤、帳戶已停用，或裝置不在任何原則群組內	在 RADIUS 記錄中檢視拒絕原因，並更正原則或帳戶
EAP 在伺服器憑證後停止	裝置不信任伺服器 CA，或伺服器名稱不相符	透過 MDM 設定檔將 CA 與伺服器名稱推送到裝置
通過驗證，但無 IP 位址	傳回的 VLAN 未 Trunk 至 AP、缺少 DHCP 範圍，或 VLAN 不在 WLAN 列表中	設定 VLAN Trunk、新增範圍，並完全比對 VLAN 名稱
RadSec 工作階段無法建立	任一端的 CA 未受信任、憑證過期或時鐘錯誤	重新檢查雙方的憑證、過期日期與 NTP
透過 UDP 的 EAP-TLS 發生間歇性失敗	分段封包在網際網路上被丟棄	轉用 RadSec 或縮短憑證鏈
WPA3 裝置可連線，舊型裝置失敗	舊型裝置缺少 WPA3 或 PMF 支援	將舊型裝置移至獨立的 WPA2-Enterprise SSID

這在真實場域中看起來如何？

以下兩個情境為示範說明。它們展示了設定變更如何帶來可衡量的營運成果。

實作情境：擁有 200 間客房的飯店淘汰共用的員工金鑰

狀況。 一間擁有 200 間客房的飯店原本運作四個員工 SSID：櫃檯、房務、管理與工程。每個 SSID 都使用共用密碼。當房務人員離職時，團隊要么必須在數十台裝置上更換金鑰，要么只能保持原狀。訪客則使用第五個 SSID。

執行的工作。 團隊在 Mist WLAN 範本中建立了一個 WPA3-Enterprise 員工 SSID。受控裝置使用 EAP-TLS，並透過 MDM 推送憑證。Cloud RADIUS 會讀取 Microsoft Entra ID 中的群組成員資格，並依部門傳回對應的 VLAN。另保留一個獨立的 WPA2-Enterprise SSID 給舊款客房服務平板電腦使用。訪客則繼續使用 Guest WiFi。

成果。 四個員工 SSID 縮減為一個，再加上一個舊版 SSID，因此飯店廣播的網路從五個減少到三個。SSID 數量減少代表競爭空口時間（airtime）的信標訊框（beacon frame）更少。共用的員工金鑰從四個降至零個。離職人員的存取權限現在會在人力資源部門停用帳號時立即結束，無需進行金鑰輪換。這種方法適用於大多數運行部門 PSK 網路的 飯店。

實作情境：擁有 120 家分店的零售連鎖企業轉用 RadSec

狀況。 一家擁有 120 家分店的連鎖企業在商用寬頻上運行 Mist AP。身分驗證透過 Site-to-Site VPN 傳送至總部的在地部署 RADIUS 伺服器。當分店的 VPN 中斷時，員工裝置和手持掃描器即無法進行身分驗證。

處置方式。 該連鎖企業轉用雲端 RADIUS 服務，並在 Mist WLAN 範本上啟用 RadSec。憑證信任已在 Mist 的組織設定中設定一次完成。分店開放了 TCP 2083 對外連線。刷卡機透過動態指派獲得了一個隔離的 VLAN，以支援 PCI DSS 分區隔離。

成果。 RADIUS 伺服器不再需要追蹤 120 個個別分店的 IP 用戶端項目；憑證取代了所有這些項目。身分驗證不再依賴 VPN。新分店在其站點加入範本的瞬間即可獲得 802.1X。此模型非常適合分店連線採用寬頻且 IP 地址會變動的 零售 門市。

成本為何？又能獲得什麼回報？

您不需要購買新的無線基地台。802.1X、RadSec 和動態 VLAN 均可在您現有的 Mist AP 上運行。我們關於 為什麼您的下次 WiFi 升級不需要新硬體 的文章更深入地探討了該雲端重疊（cloud overlay）模型。

成本主要來自四個方面：

• Juniper 訂閱。 服務水準期望（SLE）和 Marvis 取決於您的 Mist 訂閱層級。請與您的 Juniper 夥伴確認覆蓋範圍。
• RADIUS 伺服器。 在地部署 RADIUS 的成本包含伺服器、授權、修補程式和 VPN。雲端 RADIUS 則是完全無需硬體成本的訂閱服務。
• 憑證。 EAP-TLS 需要 PKI 和 MDM 來簽發憑證。大多數組織已經在運行這兩者。
• 工程時間。 Mist 設定是較快的部分。將憑證分發到裝置才是決定進度的關鍵。

您獲得的回報是可衡量的。共用金鑰降至零。撤銷權限跟隨身分提供者，而非金鑰輪換專案。SSID 數量減少。分區隔離縮小了 PCI DSS 的合規審查範圍。問題排查可直接從時間軸和 Marvis 查詢開始，無需進行現場勘查。

Purple 的 RADIUS-as-a-Service 是 Juniper Mist 的一種雲端 RADIUS 選項。它跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 實現硬體無關性。它將網路存取權限與 Microsoft Entra ID、Okta 或 Google Workspace 中的身分驗證連結，讓新進、異動與離職員工的權限自動更新。Purple 通過 ISO 27001 與 Cyber Essentials 認證，並符合 GDPR 規範。我們自己的資料顯示，2024 年在 80,000 多個實體場域中，實現了 99.999% 的正常運作時間與 4.4 億次登入。請與您列入候選名單的任何供應商（包括 Purple）確認 RadSec 支援。如果您也在計算訪客網路的成本，請參閱我們的 內置入口網站定價模式比較。

常見問題

Juniper Mist 是否原生支援 RadSec？

是的。Mist 基地台可以直接建立至雲端 RADIUS 服務的 RadSec 工作階段，如 RFC 6614 所定義，在 TCP 上的 TLS 內部傳輸 RADIUS。您可以在 WLAN 的 RADIUS 設定中啟用它，並在組織設定中管理憑證信任。站點需要外連 TCP 2083。RadSec 會加密整個 RADIUS 封包，無需向您的供應商註冊每個站點的公用 IP 地址。

使用雲端 RADIUS 需要 Mist Edge 嗎？

不需要。Mist AP 可以將 RADIUS 或 RadSec 直接傳送到雲端服務，無需額外硬體。Mist Edge 代理伺服器有助於大型校園，特別是當您希望每個 RADIUS 請求都透過一個受控點發出時。它也適用於 AP 無法直接連線網際網路的站點。對於大多數多站點物業，直接從 AP 發送 RadSec 是更簡單的設計。

我可以在移轉至雲端 RADIUS 的同時繼續運行 Microsoft NPS 嗎？

可以，但請按群組而非按伺服器順序規劃切換。Mist 僅在其中一台身分驗證伺服器停止回應時才會進行容錯移轉，而不是在伺服器拒絕請求時。因此，在同一個 WLAN 上列出 NPS 和雲端服務會導致不可預測的結果。請運行指向雲端 RADIUS 的第二個 SSID，一次移轉一個部門，然後停用 NPS。

Purple 的 RADIUS-as-a-Service 是否支援 Juniper Mist？

是的。Purple 具有硬體無關性，可作為雲端重疊層在 Juniper Mist 以及 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上運行。它將網路存取連結至 Microsoft Entra ID、Okta 或 Google Workspace，因此當帳戶變更時，存取權限也會隨之變更。您可以保留現有的 Mist AP，無需拔除重裝。

Mist 上的 802.1X 需要 WPA3-Enterprise 嗎？

不需要。802.1X 可搭配 WPA2-Enterprise 或 WPA3-Enterprise 使用。WPA3 新增了強制性保護管理訊框 (PMF)，並且是 6 GHz 射頻上的唯一企業級選項。請對目前的筆記型電腦與手機使用 WPA3。針對缺乏 PMF 支援的舊型掃描器、印表機或平板電腦，請保留獨立的 WPA2-Enterprise SSID，而不是降低主要 SSID 的安全性。

在 Mist 上使用 802.1X 是否需要額外的 Juniper 授權？

WLAN 本身不需要額外授權。將 Mist WLAN 指向外部 RADIUS 伺服器屬於標準設定。疑難排解工具則有所不同：Marvis 需要訂閱 Marvis，且服務層級期望取決於您的 Mist 訂閱層級。Juniper 自身的 Mist Access Assurance 為獨立產品。在依賴 Marvis 進行排障之前，請先與您的 Juniper 夥伴確認訂閱層級。

802.1X 如何影響 GDPR 合規性？

RADIUS 和會計記錄包含個人資料：身分識別、裝置 MAC 位址和連線階段時間。在 GDPR 規範下，您需要合法依據、明確的保留期限，以及與您的 RADIUS 供應商簽訂資料處理協議。RadSec 能在傳輸過程中加密身分資訊，進而提供協助。Purple 符合 GDPR 規範並通過 ISO 27001 認證，會在資料處理協議下處理驗證資料。

在 Mist 上部署 802.1X 需要多久時間？

Mist 的設定耗時最短；憑證發放才是決定進度的關鍵。建立 WLAN、新增 RADIUS 伺服器以及啟用 RadSec，只需要在單一範本中進行一次變更。透過 MDM 向每台受控裝置發放憑證，以及遷移舊有裝置則需要較長時間。建議先在單一據點進行試點並測試每個角色，接著再將範本指派至其餘據點。