什麼是 PEAP 驗證？PEAP 如何保護您的 WiFi
您將能夠決定 PEAP-MSCHAPv2 是否仍適合您的員工 WiFi、配置它以使裝置拒絕不受信任的 RADIUS 伺服器，並規劃轉換至 EAP-TLS 或 iPSK 的路線。您也將了解為什麼訪客應使用獨立的強制入口網路，以及 Windows 11 Credential Guard 與雲端身分驗證如何改變這項決定。
Video overview
收聽此指南
查看播客逐字稿
核心系列的一部分：企業 WiFi 安全性指南 →
EAP-TLS vs PEAP authentication decision tool
Evaluate your directory infrastructure, device ownership mix, and security compliance to determine the optimal 802.1X wireless protocol for your organisation.
Determines credential protocols supported at directory level.
Governs certificate provisioning capability without user intervention.
Sets threshold for password elimination and hardware TPM isolation.
EAP-TLS (Mutual Certificate-Based 802.1X)
Eliminate password-based attacks with cryptographic device certificates.
Evil Twin & MITM resistance
Immune to Evil Twin rogue APs: client and server each prove possession of a private key, so there is no reusable password for a rogue AP to capture.
Helpdesk & credential friction
0% password-related WiFi lockouts. Certificates renew silently in the background via MDM.
Microsoft Entra ID does not support legacy password hashing (NTLM/MSCHAPv2) natively. EAP-TLS with Microsoft Intune Cloud PKI / SCEP and Cloud RADIUS provides the direct native integration path.
Migrate your enterprise WiFi to certificate-based 802.1X
Connect with Purple technical architects to design your zero-trust wireless authentication, integrate Cloud RADIUS with Microsoft Entra ID, and eliminate credential exposure.
PEAP (Protected Extensible Authentication Protocol) 是一種 802.1X 方法，能將密碼登入包覆在加密的 TLS 隧道內。RADIUS 伺服器會使用憑證來證明其身分，隨後裝置便會發送使用者名稱與密碼 (通常透過 MSCHAPv2)。PEAP 不需要用戶端憑證，但它的安全性完全取決於每台裝置對伺服器憑證的驗證程度。
什麼是 PEAP？
PEAP 是 IEEE 802.1X 的一種驗證方法，也是基於埠之網路存取控制的標準。802.1X 定義了三個角色：
- Supplicant (申請者)： 請求連線的筆記型電腦、手機或手持裝置。
- Authenticator (驗證者)： 無線存取點 (AP) 或交換器。
- Authentication server (驗證伺服器)： 通常是用於檢查憑據的 RADIUS (遠端使用者撥接驗證服務，RFC 2865) 伺服器。
Cisco、Microsoft 與 RSA Security 共同開發了 PEAP。它從未成為完整的 IETF 標準。Microsoft 將其實作版本發布為 MS-PEAP 協定規範。
PEAP 共有兩個版本：
- PEAPv0 搭載 EAP-MSCHAPv2，即 Microsoft 挑戰握手驗證協定版本 2 (RFC 2759)。
- PEAPv1 搭載 EAP-GTC，這是一種 Cisco 方法。
當 Windows、macOS、iOS 或 Android 提供「PEAP」選項時，幾乎都是指 PEAP-MSCHAPv2。本指南即針對 PEAP-MSCHAPv2 進行說明。
為什麼 PEAP 對您的企業 WiFi 至關重要？
PEAP 通常是取代共享密碼的升級選擇。使用 WPA2-Personal 或 WPA3-Personal 時，每台裝置都使用同一個預共享金鑰 (PSK)。離職人員會一直擁有該金鑰，直到您在每個存取點和每台裝置上進行變更為止。
PEAP 使用具名的目錄帳號來取代共享金鑰。只要停用該帳號，下次驗證時存取權就會隨之終止。RADIUS 計帳功能也會針對具名人員記錄每次的會話歷程。這為您提供了符合 PCI DSS v4.0 需求 10 (日誌記錄) 和 GDPR 問責義務的個人稽核軌跡。
另一個吸引人之處在於 PEAP 不需要用戶端軟體與用戶端憑證。Windows、macOS、iOS、iPadOS、Android 和 ChromeOS 皆已內建 Supplicant。這種便利性解釋了為什麼現今仍有許多員工網路在使用 PEAP。但這同時也是其脆弱性的根源。
PEAP 驗證是如何運作的？
在驗證成功之前，驗證者會封鎖除了 EAP over LAN (EAPOL) 框架以外的所有流量。它會將這些框架轉發給 RADIUS 伺服器。接著 PEAP 會分為兩個階段執行。
階段 1：伺服器證明其身分
RADIUS 伺服器會出示其憑證。裝置會根據其信任的根憑證頒發機構 (CA) 以及您預期的伺服器名稱來檢查該憑證。如果兩項檢查均通過，雙方就會建立 TLS 隧道。
在此階段中，裝置可以發送匿名的外部身分，例如「anonymous@yourdomain」。這能確保真實的使用者名稱不會出現在空中傳輸中。
階段 2：隧道內部的密碼檢查
在 TLS 隧道內部，裝置會使用真實的使用者名稱與密碼執行 MSCHAPv2。RADIUS 伺服器會對照身分儲存庫 (通常為 Active Directory) 進行驗證。
驗證成功時，伺服器會向基地台傳送 Access-Accept。Access-Accept 包含用於生成每階段 WPA2 或 WPA3 加密金鑰的金鑰素材。伺服器也可以傳回 VLAN（虛擬區域網路，即邏輯分割的網路區段）指派，將裝置放置於正確的網路區段。
整個安全前提完全建立在加密通道上。MSCHAPv2 本身非常脆弱，因此僅在裝置拒絕與不可信伺服器通訊時，PEAP 才能對其提供保護。
如何安全地設定 PEAP-MSCHAPv2？
您的設備廠商 RADIUS 與 supplicant 技術文件涵蓋了具體的設定步驟。以下是至關重要的決策範疇：
- 強制執行伺服器憑證驗證。 釘選簽發 RADIUS 憑證根 CA。指定預期的伺服器名稱（CN 或 SAN）。從 Android 11 開始，Google 針對新的企業級 WiFi 設定檔移除了「不驗證」選項，因此 Android 裝置現在強制需要 CA 和網域。
- 透過 MDM 推送設定檔，切勿手動設定。 使用行動裝置管理（MDM）工具（例如 Microsoft Intune 或 Jamf）或群組原則部署已鎖定的設定檔。自行設定裝置的員工往往會直接接受任何憑證警告。
- 將 TLS 1.2 設定為最低要求。 RFC 8996 已於 2021 年正式廢棄 TLS 1.0 與 1.1。請在 RADIUS 伺服器端拒絕這兩種版本。
- 管理憑證更新。 當 RADIUS 憑證過期時，所有進行驗證的裝置將會同時失效。請至少提前 30 天更新。請保持相同的簽發 CA 與伺服器名稱，否則已釘選的裝置將拒絕新憑證。
- 透過 RADIUS 屬性進行網路區隔。 依角色傳回 VLAN 指派，確保門市手持設備與總部筆記型電腦永遠不會共用同一個網路區段。
PEAP 如何與現有架構協同運作？
大多數網路同時採用多種驗證方式。下表將 PEAP-MSCHAPv2 與您最可能評估的選項進行比較。
| WPA2/WPA3-Personal (PSK) | iPSK | PEAP-MSCHAPv2 | EAP-TLS | |
|---|---|---|---|---|
| 憑證 | 單一共享金鑰 | 每位使用者或裝置專屬金鑰 | 目錄使用者名稱與密碼 | 用戶端憑證 |
| 需要用戶端憑證 | 否 | 否 | 否 | 是 |
| 需要 PKI | 否 | 否 | 僅需要伺服器憑證 | 用戶端與伺服器都需要完整 PKI |
| 撤銷單一使用者 | 重新設定每台裝置的金鑰 | 刪除單一金鑰 | 停用單一帳號 | 撤銷單一憑證 |
| 流氓基地台風險 | 擁有金鑰的任何人皆可存取金鑰 | 金鑰僅暴露給該持有者 | 若停用驗證，憑證會被擷取 | 沒有可被重複使用的擷取內容 |
| 支援純雲端 Microsoft Entra ID | 不適用 | 是，搭配雲端 RADIUS | 否 | 是 |
| WPA3-Enterprise 192-bit 模式 | 否 | 否 | 否 | 是 |
| 適用對象 | 單一小型據點 | 無螢幕裝置、住戶、BYOD | Active Directory 上的受控裝置 | 搭配 MDM 的受控裝置 |
iPSK（身份預共享金鑰）讓每位使用者或裝置在同一個網路名稱下擁有獨立的金鑰。部分廠商稱之為 PPSK（私人預共享金鑰）。
避免讓訪客使用 802.1X
PEAP 專為對公司目錄進行驗證的受控裝置所設計。對於訪客來說，這並非合適的工具。在 Active Directory 中建立訪客帳號會增加管理負擔，並將外部人員納入您的身分儲存庫中。
相反地，請透過 Captive Portal 將訪客運行在獨立的網路名稱與 VLAN 上。Captive Portal 是裝置取得網際網路存取權之前顯示的網頁。Purple 的 Guest WiFi 能以與硬體無關的雲端疊加層模式，運行於您現有的基地台上。這些基地台包含 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。
Purple 部署於全球 90 個國家/地區、超過 80,000 個實體場域，並通過 ISO 27001 認證。訪客、顧客以及 Trains 上的乘客皆透過自主選擇同意加入。WiFi Analytics 隨後將這些連線轉化為第一方數據，同時保持您的 PEAP 員工網路完好不受影響。
對於您的特定設置有任何疑問嗎？
我們的團隊與超過 80,000 個場域的場域營運商、IT 經理和網路工程師合作。立即預約 20 分鐘的通話，我們將向您展示其他與您相似的用戶是如何解決此問題的。
您應該了解的 PEAP 限制有哪些？
MSCHAPv2 一旦被擷取即告破解
在 2012 年的 DEF CON 20 上，Moxie Marlinspike 與 David Hulton 展示了 MSCHAPv2 交換可以簡化為單一 DES 金鑰搜尋。無論密碼強度如何，他們都能破解擷取到的交換。隨後發布的 Microsoft 安全通報 2743314 建議企業組織將 MSCHAPv2 包裹在包含伺服器憑證驗證的 PEAP 中。
這個實際的要點打破了一個常見的迷思：密碼複雜度並不能保護已被擷取的交換。在每台裝置上實施憑證驗證是您唯一的真正防禦手段。
偽冒基地台 (Rogue access points)
如果裝置信任任何憑證，攻擊者就可以廣播您的網路名稱並出示假憑證。像 hostapd-wpe 這類免費工具可以自動化此攻擊並擷取 MSCHAPv2 交換。
Windows 11 Credential Guard
自 Windows 11 22H2 版本起，符合條件的裝置會預設啟動 Credential Guard。Microsoft 文件指出，它會阻擋 PEAP-MSCHAPv2 使用已儲存認證進行單一簽入 (SSO)。因此，筆記型電腦可能會停止自動連線。Microsoft 的指引是將 WiFi 轉移到基於憑證的驗證機制，例如 EAP-TLS。
雲端身分
RADIUS 伺服器需要帳號的密碼雜湊值來回應 MSCHAPv2 質詢。僅限雲端的 Microsoft Entra ID、Okta 及 Google Workspace 帳號無法提供此資訊。因此，PEAP-MSCHAPv2 會將您綁定在地端的 Active Directory。
更強的加密模式
WPA3-Enterprise 192-bit 模式強制要求使用 EAP-TLS。PEAP 無法達到此標準。
何時 PEAP 仍是正確的選擇？
在滿足以下三個條件時，PEAP 仍具有可行性：
- 您的裝置皆為受控裝置。
- 裝置的設定檔強制執行驗證。
- 您的身分資料仍存放於 Active Directory 中。
以下兩個實際情境展示了它的適用之處，第三個情境則展示了它不再適用之處。
實際情境：擁有 150 家分店的零售連鎖店
狀況： 員工手持裝置與後勤辦公室 PC 在 150 家分店中共用一個 PSK。每當有員工離職，就意味著整個企業資產都需要重新設定金鑰。
執行的內容： 該連鎖店家將員工裝置轉移至 PEAP-MSCHAPv2。並透過 MDM 設定檔推播所釘選的 RADIUS 根憑證。RADIUS 已將門市裝置指派至具備付款隔離功能的 VLAN。
結果： 撤銷離職者權限所需的作業，從重新設定 150 家門市的金鑰，縮減為僅需進行一次目錄變更。每個會話現在皆包含具名帳戶，為 PCI DSS 評估人員提供專屬個人的佐證。深入了解 零售業 網路。
實作情境：擁有一百間客房的飯店
情況： 員工與住客共用同一個網路，且櫃檯人員需手動建立住客登入帳號。
執行的內容： 該飯店將員工轉移至專用 VLAN 上的 PEAP。住客則轉移至由相同無線基地台運作、使用不同網路名稱的 Purple Guest WiFi。
結果： 目錄現僅保留員工帳戶。櫃檯人員不再需要發放住客登入帳號，且住客資料的收集皆已獲得同意。查看這如何應用於 飯店業。
實作情境：公立醫療機構
情況： 在部署 Windows 11 之後，Credential Guard 導致臨床筆記型電腦在未跳出提示的情況下，無法重新連線至 PEAP 網路。
執行的內容： 該機構透過 Microsoft Intune 核發用戶端憑證，並將受控管的筆記型電腦轉移至 EAP-TLS。PEAP 則繼續保留給數量持續減少的舊型裝置使用。
結果： 受控管的筆記型電腦能在無需提示的情況下自動重新連線。PEAP 網路現在僅供舊型裝置使用。深入了解 醫療保健業。
接下來您應該怎麼做？
- 稽核驗證。 確認每個 PEAP 設定檔皆已釘選根憑證與伺服器名稱。在執行其他任何動作之前，請先修正所有未符合規範的設定檔。
- 記錄憑證到期日。 請至少提前 30 天設定續約提醒。
- 清點您的 Windows 11 裝置。 Credential Guard 將會最先影響這些裝置。
- 規劃您的身分識別來源。 如果您打算轉移至 Microsoft Entra ID、Okta 或 Google Workspace，請規劃停用 MSCHAPv2 的路徑。這代表受控管裝置應採用 EAP-TLS，無週邊裝置則採用 iPSK。
- 區隔住客。 將訪客轉移至強制入口網路。
Purple 的身份導向網路將雲端 RADIUS 與您的身分識別提供者相結合，讓新進、異動與離職員工的網路存取權限都能自動更新。
常見問題
PEAP 的安全性是否足以符合 PCI DSS 規範？
是的，只要正確設定，PEAP 就能符合 PCI DSS 規範。PCI DSS v4.0 的要求 4.2.1.2 期望針對連接至持卡人資料環境的無線網路驗證採用強加密技術。僅在每台裝置皆驗證 RADIUS 憑證且強制執行 TLS 1.2 或更高版本時，PEAP 才符合此要求。許多評估人員偏好使用 EAP-TLS，因為截獲的 MSCHAPv2 交互傳輸可能會被破解。無論採用何種方式，請務必將付款裝置保留在隔離的 VLAN 上。
PEAP 是否適用於 Microsoft Entra ID？
不，純雲端 Microsoft Entra ID 帳戶不適用。MSCHAPv2 需要 Entra ID 不會對 RADIUS 伺服器公開的密碼雜湊，因此 PEAP-MSCHAPv2 需仰賴地端 Active Directory。若您要將身分識別搬遷至雲端，請使用結合透過 Microsoft Intune 核發之憑證的 EAP-TLS，或是搭配雲端 RADIUS 使用 iPSK。Purple 的 Identity-Based Networks 可直接與 Microsoft Entra ID、Okta 及 Google Workspace 整合。
從 PEAP 移轉至 EAP-TLS 是否需要更換新的無線基地台？
不需要，您現有的無線基地台即可正常運作。EAP 方法是在裝置與 RADIUS 伺服器之間執行，無線基地台僅負責轉發封包。任何支援 802.1X 的企業級無線基地台皆可處理這兩種方法。包含 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 及 Fortinet。主要工作集中在您的 PKI、MDM 設定檔與 RADIUS 原則，而非您的硬體。
運行 PEAP 需要任何費用嗎？
通訊協定本身不需要授權費。Windows、macOS、iOS、Android 和 ChromeOS 皆已包含 PEAP 請求者（supplicants），無需額外費用。您的成本在於其他地方：RADIUS 伺服器、來自公有或內部 CA 的伺服器憑證，以及推播已鎖定設定檔的 MDM 工具。您還需承擔憑證更新的維運成本。若更新出錯，所有驗證中的裝置將同時斷線。
訪客或住戶是否應該使用 PEAP 進行連線？
不應該，請避免讓訪客存取您的 802.1X 目錄。將訪客帳戶新增至 Active Directory 會增加管理負擔，並使外人進入您的身分識別儲存區。飯店住客、顧客和乘客應透過強制入口加入獨立網路。多租戶大樓的住戶則適合使用 iPSK，這能為每個家庭提供專屬的金鑰。Purple 的 Guest WiFi 可與您的員工 PEAP 網路在相同的無線基地台上並行運作。
Windows 11 會導致我的 PEAP 網路停止運作嗎？
這可能會阻止使用已儲存的認證進行登入。自 Windows 11 版本 22H2 起，符合條件的裝置預設會開啟 Credential Guard。Microsoft 官方文件指出，該功能會阻擋 PEAP-MSCHAPv2 使用已儲存認證進行單一登入。受影響的筆記型電腦可能會提示輸入認證或無法自動連線。Microsoft 建議移轉至基於憑證的方法，例如 EAP-TLS。停用 Credential Guard 則會移除針對認證竊取的一道防護。
Purple 能否與我現有的 RADIUS 和 PEAP 設定並行運作？
可以，Purple 可作為雲端重疊層（cloud overlay），在您現有的員工網路旁運作。您的 PEAP 網路名稱、RADIUS 伺服器和 Active Directory 均可保持原樣。Purple Guest WiFi 會在相同的無線基地台新增獨立的訪客網路，並提供強制入口導覽功能與 WiFi Analytics。當您準備好讓員工停用 MSCHAPv2 時，Purple 的雲端 RADIUS 與 Identity-Based Networks 即可連線至 Microsoft Entra ID、Okta 或 Google Workspace。
關鍵定義
PEAP
受保護的擴充驗證協定（PEAP），是一種由 Cisco、Microsoft 與 RSA Security 開發的 802.1X EAP 方法。它會建立一個由伺服器憑證驗證的 TLS 隧道，然後在其中運行內部方法。它從未成為完整的 IETF 標準；Microsoft 將其實作發布為 MS-PEAP 規格。
大多數員工 WiFi 網路仍運行 PEAP，因為 Windows、macOS、iOS、Android 和 ChromeOS 都已內建請求方（supplicant），且不需要用戶端憑證。
IEEE 802.1X
基於連接埠的網路存取控制 IEEE 標準。它定義了三個角色：請求方（裝置）、驗證方（無線基地台或交換器）與驗證伺服器，並在驗證成功之前封鎖除 EAPOL 框架以外的所有流量。
本指南中的所有企業驗證選擇（無論是 PEAP 或 EAP-TLS）都在 802.1X 上運行，因此您現有的無線基地台可以保持原樣轉發這兩種方法。
RADIUS
遠端用戶撥入驗證服務（RADIUS），定義於 RFC 2865。伺服器會檢查憑證、回傳帶有每個工作階段 WPA2 或 WPA3 金鑰的 Access-Accept，並可回傳如 VLAN 指派等屬性。
您的 RADIUS 伺服器持有裝置必須驗證的憑證、執行 TLS 底限，並記錄將每個工作階段連結至具名個人的計帳資料。
MSCHAPv2
Microsoft 挑戰握手驗證協定版本 2，在 RFC 2759 中規範，並作為 EAP-MSCHAPv2 在 PEAPv0 內部傳送。在 2012 年的 DEF CON 20 上，展示了擷取到的互動資訊無論密碼強度為何，均可簡化為單一 DES 金鑰搜尋。
密碼複雜度無法保護被擷取的封包交換，因此在每台裝置上進行憑證驗證是您唯一的真實防禦手段。
EAP-TLS
一種使用憑證驗證雙方的 EAP 方法，因此不會有可重複使用的密碼透過空中傳輸。這是 WPA3-Enterprise 192 位元模式所強制的，且用戶端和伺服器都需要完整的 PKI。
這是 Microsoft 在 Credential Guard 之後推薦的目的地，也是身分識別移至 Microsoft Entra ID 後管理裝置的路徑。
iPSK
身分預共享金鑰，部分廠商亦稱為 PPSK（私人預共享金鑰）。每位使用者或每台裝置在同一個網路名稱上都會獲得專屬金鑰，因此撤銷一位持有人僅需刪除一支金鑰。
它適用於無頭裝置（headless device）、多租戶建築的居民和 BYOD，並可透過雲端 RADIUS 與純雲端 Microsoft Entra ID 搭配運作。
匿名外層身分
PEAP 請求方在 TLS 通道建立前的階段 1 所傳送的身分，例如 anonymous@yourdomain。真實使用者名稱僅會在階段 2 於通道內部傳送。
請在您的 MDM 設定檔中進行設定，避免真實使用者名稱在空中傳輸。
RFC 8996
IETF 於 2021 年正式廢棄 TLS 1.0 和 TLS 1.1 的文件。
這是要在您的 RADIUS 伺服器上拒絕這兩個版本，並將 TLS 1.2 設定為 PEAP 通道最低標準的依據，這也支援 PCI DSS 評估。
Windows 憑證護衛
Windows 安全性功能，在 Windows 11 版本 22H2 起的合規裝置上預設開啟。Microsoft 文件指出，它會阻擋使用儲存的憑證進行 PEAP-MSCHAPv2 單一登入。
受影響的筆記型電腦可能會提示輸入憑證或停止自動連線，進而強制改用基於憑證的方法。
VLAN
虛擬區域網路，一種邏輯上分隔的網路區段。RADIUS 伺服器可以在其 Access-Accept 中傳回 VLAN 分配，使每台裝置都能進入符合其角色的區段。
請使用依角色劃分的 VLAN 來隔離支付裝置以符合 PCI DSS，並將訪客與員工分隔開來。
強制入口
裝置在獲得網際網路存取權之前所顯示的網頁，用於在與 802.1X 分隔的網絡上引導訪客。
這是連線訪客、顧客和乘客的正確方式，可讓他們遠離 Active Directory，同時透過自主選擇的同意機制收集第一方資料。
PCI DSS v4.0 版
支付卡產業資料安全標準。要求 10 涵蓋日誌記錄，要求 4.2.1.2 則期望在連接至持卡人資料環境的無線網路上進行驗證時採用強加密。
PEAP 唯有在每台裝置皆進行憑證驗證且採用 TLS 1.2 或更高版本的情況下才能符合規範，且許多評估員更偏好 EAP-TLS。
範例
一家擁有 150 家分店的零售連鎖企業在單一共用 PSK 上運行員工手持裝置與後勤電腦。每當有員工離職，就代表需要重新金鑰化整個企業的裝置。該企業應如何更改員工驗證方式？
該連鎖企業將員工裝置轉移至對接其目錄的 PEAP-MSCHAPv2。企業透過 MDM 設定檔推播並釘選 RADIUS 根 CA，使裝置拒絕任何不受信任的伺服器，因此側錄到的 MSCHAPv2 交換不會洩露給偽造的無線基地台。RADIUS 回傳了 VLAN 指派，將門市裝置放置在支付隔離的區段中。現在，撤銷離職員工權限從重新金鑰化 150 家門市簡化為僅需在目錄中進行一次變更。目前每個工作階段都透過 RADIUS 計帳帶有具名帳戶，為 PCI DSS 審計人員提供每位人員的存取憑證。
一家擁有 200 間客房的飯店將員工與訪客置於同一網路中，且櫃檯人員需手動建立訪客登入資訊。飯店應如何分離這兩者？
該飯店將員工轉移至專屬 VLAN 上的 PEAP，因此僅受管利的員工裝置會對接目錄進行驗證。訪客則轉移至獨立網路名稱上的 Purple Guest WiFi，並以雲端重疊（cloud overlay）的形式運行在相同的無線基地台上，因此不需要新硬體。目前目錄僅保留員工帳戶，從身分儲存庫中移除了外部人員。櫃檯人員不再需要發放訪客登入資訊，且訪客資料是透過自願選擇的同意機制進行收集。
在部署 Windows 11 後，Credential Guard 阻止了公部門醫療信託基金的臨床筆記型電腦在沒有提示的情況下重新連線至 PEAP 網路。該信託基金應該怎麼做？
自 Windows 11 22H2 版本起，Credential Guard 會封鎖使用已儲存憑證進行 PEAP-MSCHAPv2 單點登入，而停用它則會失去針對憑證竊取的防護。該信託基金選擇遵循 Microsoft 的指引。它透過 Microsoft Intune 核發用戶端憑證，並將受管理的筆記型電腦轉移至不需要可重複使用密碼的 EAP-TLS。PEAP 僅保留給數量持續減少的舊型裝置。受管理的筆記型電腦現在可以在沒有提示的情況下重新連線，且 PEAP 網路僅供剩餘的舊型裝置使用。
練習題
Q1. 您正在稽核一家醫院的 WiFi 網路。他們對員工裝置使用 PEAP-MSCHAPv2。在審查過程中，您注意到推送到 iPad 的 MDM 設定檔未勾選「驗證伺服器憑證」。直接風險是什麼？
提示：思考一下如果攻擊者架設了一台廣播醫院 SSID 的裝置會發生什麼事。
查看標準答案
直接風險是流氓無線存取點（Evil Twin）攻擊。由於 iPad 沒有驗證伺服器憑證，它們將嘗試與任何廣播正確 SSID 的 AP 進行驗證。攻擊者可以攔截 MSCHAPv2 握手並嘗試離線破解員工密碼，從而導致憑證遭竊。
Q2. 一家大學 IT 部門正計劃將其學生網路從預共享金鑰 (PSK) 遷移至 802.1X。他們希望使用 EAP-TLS 以獲得最大安全性，但面臨服務台團隊的反對。為什麼在這種情況下 PEAP-MSCHAPv2 可能是更切合實際的選擇？
提示：考量大學環境中的裝置所有權模式。
查看標準答案
在大學環境中，裝置屬於未受控管的個人裝置 (BYOD)。部署 EAP-TLS 需要在每位學生的個人筆記型電腦、手機和平板電腦上發行並安裝獨一無二的用戶端憑證。這會為技術支援中心帶來極大的維護負擔。PEAP-MSCHAPv2 僅要求學生輸入現有的大學帳號與密碼，讓新裝置加入變得極為簡單，同時比 PSK 提供更大幅度的安全性升級。
Q3. 您組織的 RADIUS 伺服器憑證將在 14 天內過期。該憑證是由公用 CA 所發行。您必須採取哪些步驟來確保 PEAP-MSCHAPv2 無線網路不會中斷服務？
提示：請想想 Supplicant 目前被設定信任什麼。
查看標準答案
您必須向公用 CA 取得新憑證，並將其安裝於 RADIUS 伺服器上。關鍵在於您必須檢視 MDM 無線設定檔。若設定檔釘選了特定的舊憑證，則必須在舊憑證過期之前更新為信任新憑證。若設定檔僅釘選根 CA，且新憑證是由相同的根 CA 發行，轉移過程應該會非常順暢，但仍必須進行測試。
常見問題
PEAP 的安全性是否足以符合 PCI DSS 規範？
是的，當您設定正確時，PEAP 符合 PCI DSS 規範。PCI DSS v4.0 的要求 4.2.1.2 期望連接至持卡人資料環境的無線網路驗證採用強加密。PEAP 僅在每台裝置皆驗證 RADIUS 憑證且您強制執行 TLS 1.2 或更新版本時才符合此要求。許多評估人員更傾向於使用 EAP-TLS，因為擷取到的 MSCHAPv2 交換資訊可能會被破解。無論如何，請將付款裝置保留在隔離的 VLAN 上。
PEAP 可以搭配 Microsoft Entra ID 使用嗎？
不支援，無法直接搭配純雲端 Microsoft Entra ID 帳號運作。MSCHAPv2 需要 Entra ID 未提供給 RADIUS 伺服器的密碼雜湊，因此 PEAP-MSCHAPv2 仰賴地端的 Active Directory。如果您正將身分驗證搬遷至雲端，請使用結合 Microsoft Intune 發行憑證的 EAP-TLS，或使用結合雲端 RADIUS 的 iPSK。Purple 的 Identity-Based Networks 可直接與 Microsoft Entra ID、Okta 及 Google Workspace 整合。
從 PEAP 移轉至 EAP-TLS 需要更換新的基地台嗎？
不需要，您現有的基地台即可運作。EAP 方法是在裝置與 RADIUS 伺服器之間執行，基地台僅負責傳送封包。任何支援 802.1X 的企業級基地台均可處理這兩種方法。這包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。主要的設定工作集中在您的 PKI、MDM 設定檔以及 RADIUS 原則，而非您的硬體。
運作 PEAP 需要任何費用嗎？
通訊協定本身沒有授權費用。Windows、macOS、iOS、Android 與 ChromeOS 均包含 PEAP 請求者（supplicant），無需額外費用。您的成本來自其他地方：RADIUS 伺服器、來自公用或內部 CA 的伺服器憑證，以及推送鎖定設定檔的 MDM 工具。您還需要負擔憑證更新的維運成本。如果更新出現問題，所有進行驗證的裝置將會同時斷線。
訪客或住戶應該使用 PEAP 連線嗎？
不需要，請勿讓訪客存取您的 802.1X 目錄。將訪客帳戶新增至 Active Directory 會增加管理負擔，並將外部人員置於您的身分儲存庫中。飯店住客、顧客與乘客應透過 Captive Portal 連線至獨立的網路。多租戶建築的住戶則適合使用 iPSK，為每個家庭提供專屬金鑰。Purple 的 Guest WiFi 可與您的員工 PEAP 網路在相同的基地台上並行運作。
Windows 11 會導致我的 PEAP 網路停止運作嗎？
這可能會阻止使用已儲存憑證進行登入。自 Windows 11 版本 22H2 起，符合條件的裝置會預設開啟 Credential Guard。Microsoft 官方文件指出，這會阻擋 PEAP-MSCHAPv2 使用已儲存憑證進行單一簽署（SSO）。受影響的筆記型電腦可能會提示輸入憑證或無法自動連線。Microsoft 建議改用基於憑證的方法，例如 EAP-TLS。停用 Credential Guard 會失去防範憑證竊取的安全保護。
Purple 可以與我現有的 RADIUS 和 PEAP 架構並行運作嗎？
是的，Purple 可以作為雲端覆蓋層，與您現有的員工網路並行運作。您的 PEAP 網路名稱、RADIUS 伺服器和 Active Directory 均保持原樣。Purple Guest WiFi 可在相同的基地台上新增獨立的訪客網路，並提供 Captive Portal 註冊流程與 WiFi Analytics。當您準備好將員工從 MSCHAPv2 移轉時，Purple 的雲端 RADIUS 與 Identity-Based Networks 可直接連線至 Microsoft Entra ID、Okta 或 Google Workspace。
參考來源
- RFC 2865: Remote Authentication Dial In User Service (RADIUS)
- RFC 2759: Microsoft PPP CHAP Extensions, Version 2
- RFC 8996: Deprecating TLS 1.0 and TLS 1.1
- Microsoft [MS-PEAP]: Protected Extensible Authentication Protocol
- Microsoft Security Advisory 2743314
- Microsoft Learn: Credential Guard overview
- PCI Security Standards Council document library (PCI DSS v4.0)
繼續閱讀本系列
適用於 WiFi 的 Microsoft Cloud PKI：搭配 Intune 與 Microsoft Entra ID 部署 EAP-TLS 憑證
您將能夠評估 Microsoft Cloud PKI、Cloud PKI 根憑證或自建 CA (BYOCA) 是否適合您的環境。接著，您可以在不需要 NDES 的情況下，將 EAP-TLS WiFi 憑證部署至 Intune 管理的裝置。本指南亦涵蓋如何讓 RADIUS 信任憑證鏈、透過 CRL 撤銷憑證，以及修復最常見的八大失敗原因。
在 Juniper Mist 上使用雲端 RADIUS 設定 802.1X
您將能在 Juniper Mist 上設定與雲端 RADIUS 進行驗證的 WPA2 或 WPA3-Enterprise WLAN、在 UDP RADIUS、RadSec 與 Mist Edge 代理伺服器之間做出選擇，並將 RADIUS 屬性對映至動態 VLAN。您也將瞭解 Mist 的用戶端洞察時間軸和 Marvis 在何處精確顯示驗證失敗的斷點。
iOS 與 macOS 802.1X 疑難排解：Intune、Jamf 與 Microsoft Entra ID 的部署檢查清單
使用此檢查清單診斷 iPhone、iPad 與 Mac 在 Intune 或 Jamf Pro 上無法通過 802.1X 驗證的原因。每種失敗皆對應到四種原因之一：伺服器信任、身分識別憑證、macOS 模式或 Microsoft Entra ID 群組範圍。您將透過 eapolclient 和 RADIUS 紀錄確認原因，套用修正程式，並為未來的憑證輪替做好準備。
對於您的特定設置有任何疑問嗎？
我們的團隊與超過 80,000 個場域的場域營運商、IT 經理和網路工程師合作。立即預約 20 分鐘的通話，我們將向您展示其他與您相似的用戶是如何解決此問題的。