什麼是 RADIUS 驗證？其運作原理為何？

### 什麼是 RADIUS 驗證？其運作原理為何？ — Purple 技術簡報 **[引言 — 1 分鐘]** 歡迎收看 Purple 技術簡報。我是您的主持人。在接下來的十分鐘內，我們將為您揭開企業網路安全中最關鍵的技術之一：RADIUS 驗證的神秘面紗。如果您是 IT 經理、網路架構師，或是負責大型場域（如飯店、連鎖零售店、體育場或會議中心）WiFi 的 CTO，這場簡報正是為您量身打造。我們將捨棄繁複的專業術語，清晰解釋其架構，並提供您在本季度做出明智決策所需的實用見解。 讓我們從大局談起。為什麼這件事如此重要？ 如果您仍在使用單一共享密碼（即預共用金鑰，或稱 PSK）來運行訪客或員工 WiFi，您正處於顯著且不斷增加的安全風險之中。該密碼會被分享、寫在收據上、被拍下並留在白板上，或透過通訊軟體轉發。一旦密碼外洩，您就無法得知誰在您的網路上、無法在不影響其他人的情況下撤銷單一用戶的存取權限，且在發生問題時也無稽核軌跡可循。對於受 PCI DSS、GDPR 或 HIPAA 規範的組織而言，這不僅僅是技術問題，更是合規性責任。 RADIUS 是業界為了解決此問題而凝聚共識的解決方案。因此，讓我們來確切了解它到底是什麼，以及它是如何運作的。 **[技術深潛 — 5 分鐘]** RADIUS 代表遠端驗證撥號用戶服務（Remote Authentication Dial-In User Service）。這個名稱是早期撥接上網時代的歷史產物，但該協定已大幅演進，至今仍是企業網路存取控制的骨幹。從核心來看，RADIUS 是一個基於集中式伺服器的系統，它使用稱為 AAA（驗證、授權與計帳，Authentication, Authorization, and Accounting）的框架來管理網路存取。這三大支柱是我們今天討論的所有內容的基礎。 驗證（Authentication）是第一大支柱：驗證某人是誰。授權（Authorization）是第二大支柱：確定他們被允許做什麼。而計帳（Accounting）是第三大支柱：記錄他們實際做了什麼。讓我們逐一探討。 驗證。當使用者嘗試連線到以 WPA2-Enterprise 或 WPA3-Enterprise 保護的 WiFi 網路時，他們的裝置（我們稱為 Supplicant，用戶端）會向無線存取點發送連線請求。存取點（我們稱為 Authenticator，驗證器）本身並不做出驗證決定。它扮演中繼角色，將請求轉發給 RADIUS 伺服器。接著，RADIUS 伺服器會根據已設定的識別來源驗證使用者的身分。這可以是 Microsoft Active Directory、Azure Active Directory、Google Workspace、Okta 或本機使用者資料庫。識別來源是決定誰被允許進入您網路的唯一真實來源。 RADIUS 伺服器可以透過幾種方式驗證身分。在企業環境中，最常見的是基於憑證（credential-based）的方法（使用者提供使用者名稱和密碼），以及基於數位憑證（certificate-based）的方法（使用者的裝置提供數位憑證）。我們稍後會討論這兩種方法的安全性影響。 授權（Authorization）。使用者通過驗證後，RADIUS 伺服器不只是簡單地予以放行。它還會確切告知存取點（access point）該如何處理此使用者。它會傳回一組屬性（實質上是指令），用來定義該使用者的網路體驗。其中最關鍵的通常是 VLAN 分配。RADIUS 伺服器可能會指示：此使用者為公司員工群組成員，請將其分配至 VLAN 10，該網路可存取內部檔案伺服器和印表機。或者：此使用者為訪客，請將其分配至 VLAN 20，該網路僅具備網際網路存取權限，且與公司網路完全隔離。這種動態 VLAN 分配是 RADIUS 最強大的功能之一，也是實現妥善網路分段的關鍵機制。 計帳（Accounting）。第三個支柱常被忽略，但對於合規性與營運至關重要。在使用者工作階段進行期間，RADIUS 伺服器會記錄關鍵資訊：連線時間、中斷連線時間、總工作階段持續時間、傳輸的數據量以及其裝置的 MAC 位址。這為您網路上的每次連線建立了詳細的稽核軌跡。在 PCI DSS 4.0 規範下，此類記錄並非選配，而是強制性要求。且一旦發生安全性事件，這些記錄對於鑑識調查將是無價之寶。 現在，讓我們來談談讓這一切運作的技術標準：IEEE 802.1X。 802.1X 是定義基於連接埠之網路存取控制的標準。此協定允許存取點封鎖來自裝置的所有網路流量，直到 RADIUS 伺服器確認該裝置已獲得授權。使用者裝置與存取點之間的通訊使用稱為 EAP（可延伸驗證協定）的協定。EAP 本質上是一個支援多種驗證方法的框架。 企業 WiFi 中最常見的三種 EAP 方法為：PEAP（受保護的可延伸驗證協定）、EAP-TTLS 以及 EAP-TLS。 PEAP 和 EAP-TTLS 是基於憑證的方法。它們在裝置與 RADIUS 伺服器之間建立加密通道，然後在該通道內驗證使用者的使用者名稱和密碼。這兩種方法相對容易部署，非常適合尚未準備好建置完整數位憑證基礎架構的環境。 EAP-TLS 是黃金標準。它是基於憑證的，這意味著伺服器和用戶端裝置都會出示數位憑證來相互驗證。這完全不涉及密碼，徹底消除了憑證遭竊、網路釣魚攻擊和中間人攻擊的風險。對於企業裝置，EAP-TLS 是您應該努力實現的驗證方法。 **[實作與常見陷阱 — 2 分鐘]** 那麼，您實際上要如何部署這一切？讓我帶您瞭解關鍵步驟。 第一，選擇您的 RADIUS 伺服器。您可以部署地端伺服器（微軟的 Network Policy Server 是 Windows 環境中的常見選擇），或使用雲端 RADIUS 服務。雲端 RADIUS 平台（例如 Purple 提供的平台）提供完全託管、高可用性的基礎架構，且無需維運開銷。對於多據點企業，雲端方案幾乎總是正確的選擇。 第二，整合您的身分識別來源。將您的 RADIUS 伺服器連接到組織的身分目錄。大多數現代雲端 RADIUS 平台都支援與 Azure AD、Google Workspace 和 Okta 的直接整合。 第三，設定您的網路硬體。建立一個設定為 WPA2-Enterprise 或 WPA3-Enterprise 的新 SSID，並將其指向您的 RADIUS 伺服器。您還需要設定一個共用金鑰（Shared Secret）——這是一個用於加密無線基地台與 RADIUS 伺服器之間通訊的密碼。此共用金鑰在兩端必須完全一致。此處的不匹配是初始部署期間驗證失敗最常見的原因之一。 第四，定義您的授權原則。將使用者群組對應到網路原則——員工在 VLAN 10 上獲得完整存取權限，訪客在 VLAN 20 上僅獲得網際網路存取權限。 第五，引導您的使用者上線。對於企業員工，透過您的 MDM 平台部署 WiFi 設定檔。對於訪客，請使用 Captive Portal。Purple 的平台可自動化訪客上線流程，支援社群媒體登入、註冊表單和優惠券代碼。 **[快速問答 — 1 分鐘]** 讓我們針對最常聽到的問題進行快速問答。 第一：RADIUS 和 Captive Portal 有什麼區別？Captive Portal 是訪客連線時看到的登入頁面。它與 RADIUS 協同工作。Portal 是使用者介面；RADIUS 是後端引擎。 第二：我可以在有線網路中使用 RADIUS 嗎？當然可以。802.1X 標準同樣適用於有線乙太網路和無線網路。 第三：RADIUS 設定很困難嗎？它以複雜著稱，但現代雲端平台已徹底改變了這一點。透過像 Purple 這樣的託管服務，您可以快速建立並執行可用於生產環境的 RADIUS 部署。 **[總結與後續步驟 — 1 分鐘]** 總結來說：RADIUS 是支援企業級 WiFi 安全性的集中式協定。它實作了 AAA 架構，讓您能夠精細控制誰可以存取您的網路、他們可以執行什麼操作，並提供其活動的完整稽核軌跡。對於場域營運商、飯店業者、零售商和公共部門組織而言，部署 RADIUS 是建構安全、合規且經過專業管理的 WiFi 基礎設施之奠基步驟。 您的下一步非常明確：如果您仍在使用預共用金鑰（pre-shared keys），請從今天開始規劃您的遷移。審查您目前的硬體是否支援 WPA3-Enterprise、評估您的身分目錄整合選項，並探索可隨您的組織規模擴充的雲端 RADIUS 平台。 這就是本次 Purple 技術簡報的所有內容。感謝您的收聽。欲瞭解更多關於 Purple 如何協助您在各個場域部署安全、智慧的 WiFi，請造訪我們的網站 purple dot ai。我們下次見，請保持網路安全。