從地端 RADIUS (NPS) 遷移至 RADIUS-as-a-Service

PODCAST SCRIPT: Migrating from On-Premises RADIUS (NPS) to RADIUS as a Service Duration: ~10 minutes | Voice: UK English, Male, Senior Consultant tone --- SEGMENT 1: INTRODUCTION AND CONTEXT 歡迎收聽 Purple WiFi 技術簡報系列。今天我們要探討的是一個目前正列在許多企業 IT 團隊規劃藍圖上的轉移專案：從地端 RADIUS (特別是 Microsoft 的 Network Policy Server) 移轉到雲端託管的 RADIUS-as-a-Service 模式。 如果您正在管理飯店集團、零售物業、體育場館或公共部門園區的 WiFi 驗證，這與您直接相關。地端 NPS 模式在過去近二十年中為我們提供了良好的服務，但其維運開銷、單一故障點風險以及擴充限制正變得越來越難以合理化 - 尤其是現在雲端原生替代方案能以極低的總擁有成本提供企業級的可靠性。 在接下來的十分鐘內，我們將涵蓋這兩種架構的技術架構、逐步介紹結構化的移轉方法、探討兩個實際的部署情境，並以協助您充滿信心做出決策的關鍵決策框架來結束這段簡報。 讓我們開始吧。 --- SEGMENT 2: TECHNICAL DEEP-DIVE 首先，讓我們確保我們對 RADIUS 在您的網路堆疊中實際扮演的角色有一致的認知。RADIUS (遠端驗證撥入使用者服務) 是 RFC 2865 中定義的協定，用於處理網路存取的驗證、授權與計費。在 WiFi 情境中，它是 IEEE 802.1X 埠型存取控制的主幹。當裝置連線到 WPA2-Enterprise 或 WPA3-Enterprise SSID 時，無線基地台會充當 RADIUS 用戶端 (也就是我們所說的網路存取伺服器)，並將驗證請求轉發給 RADIUS 伺服器。伺服器通常會針對 Active Directory 或 LDAP 目錄驗證憑證，並傳回 Access-Accept 或 Access-Reject 回應。這就是基本的流程。 現在，在地端 NPS 模式中 - Network Policy Server 是隨 Windows Server 綑綁銷售的 Microsoft RADIUS 實作 - 您是在您擁有的硬體上、在您維護的資料中心或伺服器主機房中執行該驗證邏輯。NPS 伺服器保存著您的網路原則、用於 EAP-TLS 或 PEAP-MSCHAPv2 的憑證基礎架構，以及您的連線請求原則。它確實可行。它很成熟。但它伴隨而來的是一系列隨著時間推移而累積的維運現實。 第一個是硬體依賴。您的 NPS 伺服器是實體或虛擬機器，需要修補、容量規劃以及最終的硬體汰換。在多站點部署中 - 例如在英國各地擁有物業的飯店集團 - 您要麼執行具有 WAN 依賴性的集中式 NPS，要麼在每個站點部署 NPS 執行個體並單獨管理它們。這兩種方式都不夠優雅。 第二是可用性。單一 NPS 執行個體是您整個驗證基礎架構的單一失敗點。是的，您可以將 NPS 部署為容錯移轉配對，但這會使您的硬體和授權開銷加倍，而且它仍然無法提供雲端服務原生提供的地理備援。 第三是擴充性。NPS 是專為企業區域網路（LAN）環境所設計的。當您在體育場活動或會議中心高峰期間處理數千個並行驗證請求時，單一 NPS 執行個體的吞吐量限制會變得非常明顯。驗證延遲激增，且使用者恰好在您最無法承受的時刻遇到連線失敗。 RADIUS-as-a-Service 從架構上解決了這所有三個限制。雲端 RADIUS 提供商運作一個分散式、地理備援的 RADIUS 伺服器叢集。您的存取點指向雲端託管的 RADIUS 端點，而不是內部部署伺服器。驗證請求在整個叢集之間進行負載平衡，且容錯移轉是自動且透明的。提供商負責處理修補程式、容量擴充和憑證管理。從您作為網路營運商的角度來看，RADIUS 變成了使用的服務，而不是管理的元件。 驗證協定本身並不會改變。您仍然執行 802.1X 以及 EAP-TLS、PEAP-MSCHAPv2 或 EAP-TTLS，具體取決於您的用戶端裝置組合。區別在於 RADIUS 伺服器的位置以及誰負責其營運持續性。 這裡有一個重要的安全性考量我想直接說明，因為這幾乎在每次與客戶的對話中都會被提起。將 RADIUS 搬移到雲端意味著您的驗證流量正在透過公共網際網路傳輸以到達雲端 RADIUS 端點。這可以透過兩種機制來緩解。第一，網路存取伺服器與 RADIUS 伺服器之間的 RADIUS 流量使用共用密鑰與基於 MD5 的訊息驗證進行保護。第二，對現代部署更重要的是，您應該執行 RadSec - 基於 TLS 的 RADIUS，定義於 RFC 6614 - 它將整個 RADIUS 對話封裝在 TLS 隧道中。這為您提供了相當於 HTTPS 的傳輸層加密，消除了 MD5 漏洞，並在 NAS 與 RADIUS 伺服器之間提供相互驗證。任何值得考慮的雲端 RADIUS 提供商都應該將支援 RadSec 作為標準配置。 在識別身分整合方面，雲端 RADIUS 服務通常支援連回您內部部署 Active Directory 的 LDAP 和 LDAPS 連線，或者透過 SAML 或 SCIM 與 Azure Active Directory 和 Microsoft Entra ID 進行原生整合。這意味著您不需要遷移您的使用者目錄 - 雲端 RADIUS 服務會查詢您現有的識別身分儲存庫，維持您現有的使用者生命週期管理程序。 對於注重合規性的組織 - 這包括任何根據 PCI-DSS 處理付款卡資料，或根據 GDPR 處理個人資料的組織 - 獲得 SOC 2 Type II 認證和 ISO 27001 認證的雲端 RADIUS 提供商，比大多數組織透過自行管理的 NPS 基礎架構所能實現的合規性姿態更為強大。 --- 區段 3：實作建議與常見陷阱 好的，讓我們來談談如何在不讓驗證基礎架構離線的情況下，實際執行此移轉。 我推薦的方法是五階段法。第一階段是審計與盤點。記錄每個 RADIUS 用戶端 - 每個存取點、每個交換器、每個 VPN 集中器 - 以及其目前的共用金鑰、其使用的 EAP 方法，以及 NPS 策略中任何特定廠商的屬性。這是吃力不討好的工作，但跳過它卻是移轉失敗的首要原因。 第二階段是試點部署。建立您的雲端 RADIUS 執行個體，並將非生產環境的 SSID 或單一測試站點指向它。驗證您的 EAP 方法是否可以端到端正常運作、身分識別整合是否正常執行，以及您的計費資料是否正確流動。 第三階段是平行運行。這是關鍵的風險緩釋步驟。將您的存取點配置為同時將內部部署的 NPS 伺服器和雲端 RADIUS 伺服器作為驗證目標，並以雲端服務為主，NPS 為備份。在整個業務週期內以這種配置運行至少兩週。監控驗證成功率、延遲和任何策略差異。 第四階段是轉換。移除 NPS 備份配置，並將雲端 RADIUS 作為您唯一的驗證基礎架構。在計劃的維護視窗期間執行此操作，並記錄且測試復原程序。 第五階段是淘汰。在轉換後確認穩定運行三十天後，淘汰 NPS 伺服器並收回硬體或虛擬機資源。 我最常看到的陷阱包括：憑證信任鏈問題 - 具體來說，是用戶端裝置不信任雲端 RADIUS 伺服器的憑證，因為 CA 不在其信任的儲存庫中。在轉換之前，請透過您的 MDM 或群組原則解決此問題。第二個常見的陷阱是防火牆規則。雲端 RADIUS 需要從您的存取點到雲端端點的輸出 UDP 1812 和 1813，或者為 RadSec 開放 TCP 2083。請確保您的網路周界允許此流量。第三：共用金鑰的複雜性。如果您現有的 NPS 共用金鑰強度不足，請利用這次移轉的機會輪替為具有加密強度的金鑰，或者更好的是，轉向使用 RadSec 並完全消除共用金鑰。 --- 區段 4：快速問答 讓我解答一下我最常收到關於這個主題的問題。 我們能保留內部部署的 Active Directory 嗎？是的，當然可以。雲端 RADIUS 透過 LDAPS 連接到您的內部部署 AD。您的目錄仍然保留在原處。 如果我們的網路連線中斷了會怎樣？這是關鍵的依賴關係轉移。採用雲端 RADIUS，網路連線能力會成為驗證的依賴條件。您可以透過備援 WAN 連結或在斷線期間為已知裝置快取驗證資訊的本地 RADIUS Proxy 來減輕此問題。 這會影響我們的 PCI-DSS 合規性嗎？遷移到經認證的雲端 RADIUS 提供商通常會改善您的合規狀況。請確保您的提供商能提供 SOC 2 Type II 報告，並將其納入您的年度 QSA 評估範圍中。 完整遷移需要多長時間？對於單一場域，需要二到四週。對於擁有五十個或更多位置的多場域資產，請規劃三到六個月並進行分階段部署。 - - 第 5 區段：總結與後續步驟 總結來說：從地端 NPS 遷移到 RADIUS-as-a-Service 的理由在營運、財務和合規性方面都非常令人信服。在以結構化的平行運作階段執行時，遷移本身的風險很低。關鍵的技術決策是您的 EAP 方法選擇、您的身分識別整合方法，以及是否實作 RadSec 來加強傳輸安全 - 我強烈建議對任何新部署採用此方法。 您眼前的後續步驟：對您目前的 RADIUS 用戶端和原則進行稽核、與您的雲端 RADIUS 提供商聯繫以建立試用環境，並在開始之前審查您的防火牆規則和憑證信任鏈。 對於執行 Purple WiFi 訪客存取平台的組織，RADIUS-as-a-Service 功能可直接與訪客 WiFi 驗證流程整合，為您提供適用於企業 802.1X 驗證和訪客網路存取管理的單一控制介面 - 並內建分析和合規性報告。 感謝您的聆聽。完整的技術參考指南可在 Purple 網站上取得，如果您準備好繼續前進，我們的解決方案團隊可隨時與您進行範疇評估對話。 - - 指令碼結束