如何為 WiFi 驗證設定 RADIUS 伺服器：逐步 802.1X 指南

執行摘要

企業級無線網路需要集中式的身分識別管理、基於角色的分段以及強大的密碼學保護。依賴共享的預共用金鑰（PSK）會讓組織面臨憑證洩露、未授權裝置存取，以及每當員工離職時管理上的災難。

設定 **RADIUS（遠端用戶撥入驗證服務）**伺服器可啟用 IEEE 802.1X 企業級驗證。每個連線的裝置與使用者都會針對中央目錄（例如 Microsoft Entra ID、Google Workspace、Okta 或本地 Active Directory）進行個別驗證。

本技術指南提供了為企業 WiFi 設定 RADIUS 伺服器的逐步佈署說明。我們涵蓋了 Linux FreeRADIUS 設定、Windows Server 網路原則伺服器（NPS）設定、現代 Cloud RADIUS 架構、動態 VLAN 分配以及 BlastRADIUS 安全強化。

802.1X 與 RADIUS 架構總覽

IEEE 802.1X 框架將網路存取劃分為三個不同的實體：

1. 要求方（Supplicant）： 執行 802.1X 用戶端軟體並提供身分憑證的用戶端終端裝置（筆記型電腦、智慧型手機或平板電腦）。
2. 驗證方（Authenticator）： 控制網路實體存取並轉發驗證訊息的無線存取點（AP）或無線區域網路控制器（WLC）。
3. 驗證伺服器（Authentication Server）： 針對身分識別目錄驗證憑證並傳回網路授權原則的 RADIUS 伺服器。

+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || RADIUS Protocol
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   RADIUS Server   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Identity Lookup
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

RADIUS 通訊流程

1. 關聯： 用戶端與企業級 SSID（WPA2-Enterprise 或 WPA3-Enterprise）建立關聯。
2. EAP 啟動： AP 阻擋所有資料流量，並向用戶端發送 EAP-Request/Identity 訊框。
3. 識別回應： 用戶端回傳 EAP-Response/Identity 訊框。
4. RADIUS 封裝： AP 將 EAP 載荷封裝進 RADIUS Access-Request 封包中，並將其轉發至 RADIUS 伺服器。
5. EAP 協商： 用戶端與 RADIUS 伺服器協商加密驗證方法（例如 EAP-TLS 或 PEAP）。
6. 授權與 Access-Accept： 驗證成功後，RADIUS 伺服器會發送包含成對主金鑰 (PMK) 和選用動態 VLAN 分配屬性的 RADIUS Access-Accept 封包。
7. 連接埠開啟： AP 解除虛擬連接埠的阻擋，並啟動 4 向交握以對無線空中傳輸流量進行加密。

如需更深入的架構概念，請參閱我們的 Enterprise WiFi Security Guide 和 Captive Portal Guide。

逐步設定：Linux 上的 FreeRADIUS

FreeRADIUS 是全球開放原始碼 RADIUS 套件標準。以下是 Ubuntu 24.04 LTS / Debian 12 的組態順序。

步驟 1：安裝 FreeRADIUS 套件

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

步驟 2：定義網路存取伺服器 (NAS) 用戶端

編輯 /etc/freeradius/3.0/clients.conf 以授權您的無線存取點並設定共用金鑰：

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

注意：請務必強制執行 RFC 2869 Message-Authenticator 屬性，以防禦 BlastRADIUS 偽造攻擊。

步驟 3：設定 EAP 驗證模組

開啟 /etc/freeradius/3.0/mods-available/eap 並設定預設 EAP 方法：

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

步驟 4：在偵錯模式下測試

在作為系統服務執行之前，先停止精靈程序並在前台偵錯模式下啟動：

sudo systemctl stop freeradius
sudo freeradius -X

使用 radtest 測試本機驗證：

radtest testuser Password123 127.0.0.1 0 testing123

成功的響應將會傳回 Received Access-Accept Id 1。

逐步設定：Windows Server NPS

Microsoft Network Policy Server (NPS) 是專為連接至 Active Directory 網域服務 (AD DS) 的 Windows Server 環境所提供的內建 RADIUS 伺服器角色。

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [RADIUS 客戶端 (AP / WLC)] ---> [連線要求原則]                           |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [網路原則 (VLAN / EAP-TLS)]            |
+-------------------------------------------------------------------------+

步驟 1：安裝網路原則和存取服務

以系統管理員身分開啟 PowerShell：

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

步驟 2：登錄 RADIUS 客戶端 (無線基地台)

1. 開啟 Network Policy Server (nps.msc)。
2. 展開 RADIUS 客戶端和伺服器 > 以右鍵按一下 RADIUS 客戶端 > 新增。
3. 輸入易記名稱：Cisco-Catalyst-AP-Cluster。
4. 輸入 IP 位址或子網路 CIDR (例如 10.50.0.0/24)。
5. 產生並輸入強密碼共用金鑰 (最少 24 個英數字元)。

步驟 3：建立 WiFi 驗證的網路原則

1. 在 原則 > 網路原則下，按一下右鍵並選擇 新增。
2. 原則名稱：Staff-WiFi-802.1X-Policy。網路存取伺服器類型：未指定。
3. 條件：
   • 新增 Windows 群組： CORP\WiFi-Authorised-Users
   • 新增 NAS 連接埠類型： 無線 - IEEE 802.11 或 無線 - 其他
4. 存取權限： 選擇 已授與存取權。
5. 驗證方法：
   • 取消選取較不安全的方法。
   • 在 EAP 類型下，新增 Microsoft: 智慧卡或其他憑證 (EAP-TLS)。
   • 編輯該方法，並從您的 Active Directory 憑證服務 (AD CS) 企業 CA 中選擇已核發的 RADIUS 伺服器憑證。
6. 限制： 將閒置逾時設定為 30 分鐘，工作階段逾時設定為 8 小時。

Cloud RADIUS：現代零信任架構

傳統的本地端 RADIUS 伺服器面臨著重大的營運挑戰：

• 高昂的伺服器授權與修補程式維護成本。
• 缺乏針對 Microsoft Entra ID 或 Google Workspace 等雲端身分識別目錄的原生驗證 API。
• 容易受到跨分公司 WAN 斷線的影響。

現代企業網路部署 Cloud RADIUS，以實現零本地端伺服器足跡的集中化驗證。

若要規劃您的架構，請參閱我們的 多租戶 WiFi 指南 與 員工 WiFi 解決方案。

動態 VLAN 分配設定

動態 VLAN 分配（定義於 RFC 2868 與 RFC 3580）允許單一企業級 SSID 根據使用者的目錄群組成員資格，動態地將使用者細分為不同的網路子網段。

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

所需的標準 RADIUS 屬性

當 RADIUS 伺服器驗證憑證時，會將這些屬性附加到 Access-Accept 回應中：

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - includes all 802 media plus Ethernet canonical format)
Tunnel-Private-Group-ID = 20 (or VLAN Name "CORP_ENG")

FreeRADIUS 動態 VLAN 對應範例

位於 /etc/freeradius/3.0/users：

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

網路防火牆規則與連接埠設定

確保網路防火牆允許無線基地台與 RADIUS 伺服器之間的通訊：

安全強化與 BlastRADIUS 緩解措施

緩解 BlastRADIUS (CVE-2024-3596)

在 2024 年 7 月，研究人員披露了 BlastRADIUS，這是 RADIUS 協定中的 MD5 碰撞漏洞，它允許位於無線基地台與 RADIUS 伺服器之間的攻擊者偽造 Access-Accept 回應。

若要確保您的部署安全：

1. 強制執行 Message-Authenticator： 在所有 Access-Request 與 Access-Accept 封包上要求 Message-Authenticator 屬性 (RFC 2869)。
2. 過渡至 EAP-TLS： 基於憑證的 EAP-TLS 在密碼學上可免疫代理偽造，因為 TLS 金鑰是在用戶端與 RADIUS 伺服器之間進行端到端衍生。
3. 部署 RadSec (RFC 6614)： 將 RADIUS 流量封裝在 TLS 隧道內，以防止中間人封包篡改。

排除 802.1X 驗證失敗的故障

常見問題

RADIUS 伺服器使用哪個連接埠進行 WiFi 驗證？

標準 RADIUS 驗證運作於 UDP 連接埠 1812，記帳運作於 UDP 連接埠 1813。舊版實作使用 UDP 連接埠 1645 和 1646。現代 Cloud RADIUS 部署則利用 TCP 連接埠 2083 上的 RadSec 並搭配 TLS 加密。

我應該選擇 FreeRADIUS 還是 Windows Server NPS？

如果您的組織嚴格依賴內部部署的 Active Directory 網域服務，請選擇 Windows Server NPS。如果需要高效能、開放原始碼的彈性以及 Linux 環境，請選擇 FreeRADIUS。如果您的組織使用 Microsoft Entra ID 或 Google Workspace 等雲端身分識別提供者，請選擇 Cloud RADIUS。

如何將 Microsoft Entra ID (Azure AD) 連線至 RADIUS 伺服器？

Microsoft Entra ID 原生不支援舊版的內部部署 LDAP 或 NTLM 驗證協定。若要將 Entra ID 連線至企業級 WiFi，請部署 Cloud RADIUS 並搭配 Microsoft Intune SCEP 憑證部署，以使用 EAP-TLS 驗證終端裝置。

為什麼 EAP-TLS 比 PEAP-MSCHAPv2 更受青睞？

EAP-TLS 使用雙向 X.509 憑證驗證，用戶端和伺服器雙方都會驗證密碼學身分。PEAP-MSCHAPv2 則依賴 TLS 隧道內的使用者密碼，這會使網路容易受到密碼噴灑、網路釣魚以及惡意 AP 憑證竊取的攻擊。

欲了解量身定制的企業級 WiFi 安全架構，請參閱我們的 WiFi 分析指南 或 與企業網路專家聯絡。