什麼是 Cloud RADIUS？RADIUS-as-a-Service 的完整指南

什麼是 Cloud RADIUS？RADIUS-as-a-Service 完整指南。 歡迎來到 Purple WiFi 智慧播客（Intelligence Podcast）。我是您的主持人，今天我們將深入剖析 Cloud RADIUS - 它是什麼、底層運作原理，以及關鍵的評估方法：如何判斷這是否為您企業本季度的正確決策。無論您是管理飯店集團、零售商場、體育場還是公共部門網路，這一期都非常適合您。 讓我們言歸正傳。 簡介與背景。 如果您曾向董事會解釋為什麼網路驗證伺服器在凌晨 2 點當機，且為何花費了 3 個小時才恢復運行，那麼您就已經了解 Cloud RADIUS 所解決的核心問題。傳統的地端 RADIUS 架構雖然強大，但帶來了龐大的營運開銷。您需要採購硬體、管理修補程式生命週期、手動架構容錯移轉，而且機房中還存在著單點故障風險。 Cloud RADIUS（或稱 RADIUS-as-a-Service）將該驗證層轉移到託管且高可用性的雲端環境中。協定本身 - 遠端使用者撥入驗證服務（Remote Authentication Dial-In User Service）- 並未改變。它仍然是 IEEE 802.1X 網路存取控制的骨幹，依然是您的存取點用來驗證誰能進入網路的機制。但在企業 IT 中，將運行該服務的基礎架構交由專業團隊託管，是一項重大的轉變。 接下來讓我們深入探討技術細節。 技術深度剖析。 RADIUS 最初在 2000 年發佈的 RFC 2865 中定義，且一直保持著極佳的耐用性。該協定採用用戶端 - 伺服器模型運作。您的網路存取設備 - 無論是 WiFi 存取點、VPN 集中器還是有線交換器 - 都扮演 RADIUS 用戶端的角色，也稱為網路存取伺服器（NAS）。當使用者嘗試連線時，NAS 會將 Access-Request 封包轉發給 RADIUS 伺服器，後者會比對使用者目錄（通常是 Active Directory、LDAP 或雲端身分識別提供者）驗證憑證，並傳回 Access-Accept 或 Access-Reject。 這是最核心的互動過程。但真正的複雜性在於其周邊運作：EAP 方法、VLAN 分配、策略執行、帳務記錄以及憑證管理。 在傳統的地端部署中，您需要在專用硬體上執行 FreeRADIUS 或 Microsoft NPS，自行管理憑證、設定容錯移轉，並維護自己的使用者資料庫同步。對於擁有專業 IT 團隊的單一站點部署來說，這尚可應付。但對於擁有 50 個據點的零售集團，或是在多個國家擁有物業的飯店集團而言，這將成為極為沉重的營運負擔。 Cloud RADIUS 將這一切抽象化。驗證邏輯、憑證基礎架構、備援機制以及原則引擎都以託管服務的形式提供。您的存取點指向雲端託管的 RADIUS 端點 - 通常是主要和次要 IP 位址 - 服務會處理背後的一切。 現在，讓我們來談談驗證方法，因為這才是技術決策的關鍵所在。 企業 WiFi 中最常見的 EAP 方法是 PEAP - Protected EAP - 它在 TLS 工作階段中建立 MSCHAPv2 通道。它受到廣泛支援，原生支援 Active Directory，並且是大多數 Windows 和 Android 裝置的預設設定。然而，PEAP 存在已知的漏洞，特別是在憑證驗證方面。如果您的用戶端裝置未設定為驗證伺服器憑證，您就會暴露於透過偽冒存取點進行憑證竊取的攻擊風險中。 EAP-TLS 是黃金標準。它使用雙向憑證驗證 - 伺服器和用戶端雙方都出示憑證 - 這完全消除了密碼攻擊面。其代價是用戶端憑證部署，這需要 PKI 基礎架構和 MDM 整合。對於託管裝置群，這絕對是正確的選擇。對於 BYOD 環境，則較為複雜。 EAP-TTLS 和 EAP-FAST 也值得了解。TTLS 在需要支援各種用戶端裝置（包括 Linux 系統）的環境中特別常見。EAP-FAST 是由 Cisco 開發的，作為 PEAP 的替代方案，它透過使用受保護的存取憑證（Protected Access Credentials）來避免對憑證驗證的依賴。 架構完善的 Cloud RADIUS 服務支援所有這些方法，並允許您設定每個 SSID 原則 - 因此您的企業 SSID 使用帶有憑證驗證的 EAP-TLS，您的員工 SSID 使用帶有 Active Directory 的 PEAP，而您的訪客網路則使用與 RADIUS 堆疊完全獨立的 Captive Portal 或社群登入流程。 說到這裡 - RADIUS 和訪客 WiFi 經常被混為一談，但它們用途不同。RADIUS 是您針對已知使用者和裝置的驗證與授權層。訪客 WiFi 通常使用 Captive Portal 流程，這完全是另一種不同的機制。例如，Purple 的平台透過獨立的身分層處理訪客驗證，擷取第一方數據並啟用行銷自動化，而 RADIUS 則處理企業和員工的網路存取控制。這些是互補而非競爭的系統。 現在，讓我們來談談「雲端託管」在實際應用中的真正含義。一個架構完善的 Cloud RADIUS 服務會在多個可用區（Availability Zones）運行，並具備自動容錯移轉功能。認證請求會在多個節點之間進行負載平衡，即使在高峰負載下，該服務也能保持低於 100 毫秒的響應時間。對於在活動期間需要處理 4 萬個並行連線的體育場來說，這種延遲和吞吐量特性至關重要。單一的本地部署伺服器根本無法與這種彈性相提並論。 從合規性的角度來看，在英國和歐盟營運的 Cloud RADIUS 提供商在處理認證日誌和使用者資料時，需要符合 GDPR 規範。對於同樣處理付款卡資料的零售和餐飲旅宿環境，PCI-DSS 針對網路分段和存取控制的要求直接相關 - RADIUS 是您控制環境的一部分，而您的評估人員（QSA）會希望看到正確設定和稽核記錄的證據。 WPA3 也值得探討。從 WPA2 到 WPA3 的過渡，為個人網路引進了對等實體同時驗證（SAE），並為企業環境引進了 WPA3-Enterprise。WPA3-Enterprise 強制要求使用 192 位元安全性模式以達到最高分類，這需要特定的 EAP 方法和加密套件。Cloud RADIUS 服務需要支援這些設定才能因應未來的需求。 實作建議與常見陷阱： 好的，讓我們進入實務階段。如果您正在評估於本季部署 Cloud RADIUS，以下是我會專注的重點。 第一，與您的身分識別提供者整合。您的 Cloud RADIUS 服務需要與您使用者實際存在的任何地方進行同步 - 無論是 Microsoft Entra ID（前身為 Azure AD）、Google Workspace、Okta，還是透過 LDAP 代理程式的本地部署 Active Directory。此整合的品質決定了您的營運開銷。原生 SAML 或 SCIM 佈建遠比手動匯入 CSV 檔更為理想。 第二，憑證管理。如果您正在部署 EAP-TLS，您需要明確了解用戶端憑證是如何發行、更新和撤銷的。最優秀的 Cloud RADIUS 服務會包含整合式 PKI，或與您現有的憑證授權單位（CA）進行乾淨的整合。憑證過期是企業 WiFi 中最常見的認證失敗原因之一 - 透過適當的自動化，這完全是可以避免的。 第三，網路設備相容性。您的存取點（AP）需要支援 RADIUS 認證 - 幾乎所有企業級 AP 都支援 - 但您需要根據 AP 廠商的實作情況，驗證您所選服務支援的特定 EAP 方法和 RADIUS 屬性。Cisco、Aruba、Juniper Mist 和 Ruckus 在處理 RADIUS 屬性和 CoA（授權變更）訊息方面都有各自的細微差異。第四，備援配置。請務必配置主用與備用 RADIUS 伺服器 IP。您的 NAS 裝置上的容錯移轉逾時設定非常重要 - 如果設得太高，當主伺服器無法連線時，使用者將會面臨 30 秒的驗證延遲。對大多數環境而言，設為 3 到 5 秒的逾時並立即進行容錯移轉才是正確的配置。 第五 - 這也是大家最容易忽略的一點 - 計費（accounting）。RADIUS 計費紀錄是您的稽核軌跡。它們會告訴您誰連線、使用哪部裝置、在什麼時間，以及連線了多久。為了符合合規性要求（特別是在醫療保健和公共部門環境中），這些紀錄需要妥善保存並可供存取。請確保您的 Cloud RADIUS 供應商為您提供計費數據的存取權限，而不僅僅是驗證日誌。 常見陷阱：共享金鑰的複雜度。您的 RADIUS 共享金鑰 - 即 NAS 與 RADIUS 伺服器之間的預先共享金鑰 - 必須既長且隨機。太短或容易被猜中的共享金鑰是個實際的攻擊媒介。請使用至少 32 個字元的隨機生成金鑰，並定期進行輪替。 另外也要注意 IP 白名單。許多 Cloud RADIUS 服務要求您將 NAS 裝置的來源 IP 加入白名單。在您的 AP 管理平台可能使用 NAT 的動態雲端環境中，這可能會導致非預期的驗證失敗。在部署之前，請先確認您網路的 NAT 行為。 快速問答。 讓我快速解答幾個我經常被問到的問題。 Cloud RADIUS 是否支援多租戶環境？是的 - 大多數企業級 Cloud RADIUS 服務都支援租戶隔離，因此託管服務供應商可以從單一平台為多個客戶執行獨立的 RADIUS 策略。 Cloud RADIUS 驗證的典型延遲是多少？對於架構完善的服務，延遲低於 100 毫秒。802.1X 交握本身會增加一些開銷，但對於大多數 EAP 方法，端到端的總驗證時間應在 500 毫秒以內。 Cloud RADIUS 是否適用於 OpenRoaming？是的。OpenRoaming - 無線寬頻聯盟（Wireless Broadband Alliance）的漫遊架構 - 其核心採用 RADIUS 聯盟。支援 Hotspot 2.0 和 OpenRoaming 的 Cloud RADIUS 服務可讓您的使用者在全球參與的網路中自動進行驗證。Purple 在其 Connect 授權下支援 OpenRoaming，在聯盟中充當身分識別供應商。 Cloud RADIUS 是否適用於高安全性環境？對於大多數企業環境，是的。對於含有機密資料或特定政府安全等級的環境，您可能需要評估託管雲端服務是否符合您特定的認證要求。 摘要與後續步驟。 總結來說：Cloud RADIUS 是一種成熟且已可投入生產環境的網路存取控制方法，在不妥協安全性或功能的前提下，免除了在地端部署 RADIUS 基礎架構的營運負擔。對於擁有多個據點的組織而言，ROI 的效益顯而易見 - 您可以省去硬體資本支出、減少 IT 管理開銷、獲得內建的備援能力，並擁有一項能隨您的資產規模擴展的服務。 關鍵的決策點在於：哪種 EAP 方法最適合您的設備群、您如何與現有的識別資訊提供者整合，以及您選擇的服務是否能提供您組織所需的合規性與稽核功能。 如果您經營飯店集團、零售連鎖店，或管理公共部門網路，我建議先從單一據點的概念驗證（PoC）開始 - 在部署到所有據點之前，確保您的 RADIUS 設定正確無誤、驗證與您的識別資訊提供者的整合，並測試驗證延遲。 如需了解更多關於 WiFi 分析、訪客網路管理，以及 Purple 的平台如何與基於 RADIUS 的驗證進行整合的資訊，請造訪 purple.ai。感謝您的收聽。