TL;DR / 重點摘要
- 企業 WiFi 安全以身分為優先。裝置加入網路時，必須先透過身分識別提供者證明它屬於已知的使用者或資產，才能放行流量。
- 2026 年三種可靠的驗證模式：搭配 EAP-TLS 的 WPA3 Enterprise（受管理的員工裝置）、iPSK（IoT 與承包商）、搭配 RADIUS 的強制入口（訪客）。共用的預共用金鑰在任何一種模式中都沒有立足之地。
- 對多數組織而言，雲端 RADIUS 可取代本地端的 Windows NPS。例外情況是驗證必須在 WAN 故障時仍能運作的環境：分散式零售、偏遠據點、船舶與飛機。
- 身分識別提供者是唯一的真實來源。Entra ID、Okta 與 Google Workspace 的整合屬於一級支援；以 SCIM 驅動的群組同步，決定基地台上的 VLAN、ACL 與角色指派。
- 同一套控制措施即可滿足各項法規遵循要求（UK GDPR、PCI DSS 4.0、HIPAA、ISO 27001:2022）。只要建置一次，就能通過所有涉及無線網路的稽核。
多數企業 WiFi 網路仍在使用一套舊有的憑證模式，它設計於員工都在同一棟大樓上班、IoT 還只是一台有線印表機的年代：一組在全體員工之間共用、不定期更換、寫在櫃台附近白板上的預共用金鑰。
這套模式早在十年前就已過時。混合辦公、BYOD、大量承包商以及層出不窮的 IoT 裝置，使共用密碼本質上就是一組無人管理的憑證。光是離職員工帶來的風險，就足以讓它退場；PCI DSS 4.0 與 ISO 27001:2022 如今也已明確將無線驗證納入範圍。
本指南是取代共用密碼的技術與營運參考：受管理裝置採用 802.1X 與 EAP-TLS，IoT 與承包商採用 iPSK，訪客採用強制入口，再由一層雲端 RADIUS 將三者串回您的身分識別提供者。本指南的讀者是 IT 主管、資安架構師，以及負責實際部署的網路工程師。
安全企業 WiFi 的四項特性
無線網路必須做到四件事，才稱得上企業級。做到其中三項的網路很常見，四項全部做到的網路則很少見，也值得努力追求。
身分綁定驗證
每台加入網路的裝置都與已知的使用者或資產綁定，並透過您的目錄服務進行驗證。沒有共用憑證，也沒有匿名加入。
傳輸加密
至少採用 WPA3 Enterprise。啟用 AES-256、前向保密與受保護的管理訊框（802.11w）。僅在無法避免時，才保留過渡性的 WPA2 備援。
加入之後的授權
驗證授予網路存取權，授權則決定這份存取權的範圍。依 RADIUS 屬性指派動態 VLAN、ACL 或 SGT，而不是輸入密碼後就給予扁平的第二層信任。
可稽核的撤銷
當使用者離職、裝置遺失或合約結束時，網路存取會在數分鐘內終止。無論採用哪種模式，都可透過 JML 自動化、憑證撤銷或 iPSK 輪替來實現。
六種驗證模式
多數組織最終會同時運行其中兩到三種：一種用於受管理的員工裝置，一種用於 IoT 與承包商，一種用於訪客。為每個族群對應正確的驗證方式，是第一個要做的決定。
WPA3 Enterprise
目前的標準。敏感環境可採用 192 位元 Suite-B 模式，並預設提供前向保密。任何新建企業 SSID 的最終目標。
EAP-TLS
以憑證為基礎、無需密碼。這是目前最安全的方式，也是稽核人員最偏好的方式；一旦憑證佈建自動化，使用者體驗評分也最高。
iPSK
依身分核發的預共用金鑰，透過 RADIUS 查詢。不需要設定請求端（supplicant），並可依身分隔離與撤銷。在 802.1X 不切實際的情況下，這是正確的選擇。
PEAP-MSCHAPv2
在 TLS 通道內傳送使用者名稱與密碼。部署相當普遍，但只有在每個請求端都嚴格驗證伺服器憑證時才安全。應規劃淘汰。
強制入口 + RADIUS
經過驗證的訪客 WiFi。身分來自入口登入，RADIUS 則記錄工作階段，用於計費與政策套用。適合訪客，不適合員工。
Passpoint / OpenRoaming
裝置層級的憑證信任，連結至聯盟式身分識別提供者，加入網路完全自動。這是公共與大型場域 WiFi 的未來，與上述各種方式相輔相成。
RADIUS：雲端還是本地端？
上述每一種驗證模式都會經過一層 RADIUS。RADIUS 是協定，各廠商與部署模式之間的差異，在於 RADIUS 伺服器放在哪裡，以及它如何與您的身分識別提供者溝通。
主流的本地端實作，也就是 Microsoft 網路原則伺服器（NPS）與 FreeRADIUS，是為另一個時代所設計：當時透過專線的驗證延遲尚可接受，而身分識別提供者就是同一個機櫃裡的網域控制站。兩者至今仍支撐著大量企業 WiFi，但在 2026 年都不是理想的選擇。
雲端 RADIUS 以代管服務取代機櫃中的伺服器：採用 Anycast 或多區域雙活架構，任何地點的驗證延遲都低於 50ms，原生串接 Entra ID、Okta 與 Google Workspace，並自動處理 EAP-TLS 憑證。取捨在於，基地台與驗證伺服器之間如今隔著 WAN。
對多數中型企業以及越來越多的大型企業環境而言，這個取捨是值得的。例外情況是驗證必須在 WAN 故障時仍能運作的環境：回程網路品質不佳的分散式零售、偏遠工業據點、船舶與飛機。在這些情況下，本地端 RADIUS 或「本地端搭配雲端容錯移轉」的混合模式仍有其用武之地。請參閱 Purple RADIUS-as-a-Service。
從 NPS 遷移至雲端 RADIUS
- 匯出目前的 NPS 原則集，並轉換為雲端 RADIUS 的原則模型。
- 並行建置雲端 RADIUS，並綁定同一個身分識別提供者。
- 一次遷移一個 SSID，或一次遷移一個據點，並持續監看驗證延遲儀表板。
- 在淘汰 NPS 之前，將備援路由從 NPS 切換至本地備援（如有使用）。
- 在回復期結束後，正式停用 NPS。
風險全部集中在前三週。請規劃一段較長的觀察期，並保留回復選項。
身分識別提供者整合
身分識別提供者是唯一的真實來源。群組成員資格、在職狀態、裝置狀態與條件式存取原則，全都存放在這裡。RADIUS 層是基地台與 IdP 之間的橋樑，而整合的價值，在於 IdP 能針對每一次驗證嘗試做出哪些判斷。
Purple 原生整合：
SCIM 佈建是讓整合真正發揮作用的營運層。當人資將某位員工標記為離職時，SCIM 會將變更同步至 IdP，IdP 再同步至 RADIUS，使用者的 WiFi 存取權便會在數分鐘內移除。這正是 ISO 27001 稽核人員要查看的 JML 自動化，也讓服務台不必再手動處理。
條件式存取（Entra ID）與同類的原則引擎，會在加入 WiFi 的當下套用。裝置狀態（合規、健康、受管理）、位置與風險分數都是可用的訊號。善加運用，您無需撰寫任何一條 ACL，就能強制執行「此 SSID 僅限受管理的公司裝置」。
BYOD 上線與零信任區域網路
在多數企業 WiFi 網路中，個人裝置是第二大族群。能否在不開服務台工單的情況下，讓它們連上 WPA2/3 Enterprise，決定了資安政策是切實可行，還是會被使用者想辦法繞過。
可擴展的做法，是透過上線入口自助核發憑證。使用者以公司憑證登入，入口為每台裝置產生一張憑證，裝置再透過佈建描述檔（iOS、macOS）、群組原則 / Intune（Windows、Android）或 MDM（公司管理的裝置）安裝。憑證與使用者及裝置綁定，有效期短，並在使用者仍在職期間自動更新。
零信任的框架在此同樣適用。加入 WiFi 是第一個驗證時刻，但不是唯一的一個。裝置狀態、SSID 之後的網路分段以及持續驗證，構成了模式的其餘部分。現代 WiFi 架構無需以零信任為行銷口號，也能為零信任區域網路做出貢獻，其原則是身分優先的驗證、依角色進行微分段，以及預設明確拒絕。請參閱 WPA2 與 WPA3 Enterprise 及員工 WiFi。
法規遵循與稽核證據
在每個主要框架中，無線驗證都已從輔助性控制措施，轉變為明確納入範圍的要求。同一套架構即可滿足所有框架，只是證據必須能隨時提出。Pizza Express、AGS Airports 與 University of Sheffield 都在 Purple 上運行。
UK GDPR
同意蒐集、資料主體權利與外洩通報，全都經過訪客 WiFi 的資料路徑，而英國資訊專員辦公室（ICO）可以針對因共用憑證而導致的個人資料暴露採取行動。具備可稽核紀錄的身分綁定存取，才是站得住腳的立場。
參考資料 ›PCI DSS 4.0
無線相關要求：4.2.1（強式加密）、11.2（偵測非法基地台）、8.3（唯一使用者 ID：CDE WLAN 上不得使用共用密碼）。搭配 EAP-TLS 的 802.1X 是最乾淨俐落的控制措施。
參考資料 ›HIPAA Security Rule
§164.312(a)(1) 唯一使用者識別、§164.312(b) 稽核控制、§164.312(d) 人員或實體驗證。以憑證為基礎的 WiFi 可同時對應這三項。
參考資料 ›稽核人員依序會要求三項證據：一份最新的存取紀錄，顯示誰擁有 WiFi 存取權以及採用何種驗證方式；一份離職紀錄樣本，證明存取權已在文件記載的 SLA 內移除；以及一份 RADIUS 原則的組態匯出，顯示各族群如何區隔。無法在數分鐘內提出這些證據的 WiFi 架構，不論實際上有多安全，都稱不上已做好稽核準備。
硬體相容性
驗證層應該不受硬體限制。Purple 的企業安全架構可在您現有的基地台上運行。
所有當代企業級基地台都支援相關標準：WPA3 Enterprise、EAP-TLS（RFC 5216）、RADIUS（RFC 2865），以及透過廠商專屬屬性進行動態 VLAN 指派。較舊的設備（Wave 2 802.11ac 之前）可能不支援，在這些設備上推行 EAP-TLS 之前請先確認。
如何評估企業 WiFi 安全平台
供採購、資安與網路團隊使用的八項檢查清單。
直接透過 Entra ID、Okta 或 Google Workspace 進行驗證，而不是脆弱的 LDAP 轉接層。以 SCIM 驅動群組同步。
以 SCEP / EST / Intune 核發憑證。到期前 30 天自動更新，員工離職時自動撤銷。手動處理憑證在超過約 200 台裝置後便無法擴展。
Anycast 或多區域雙活架構，驗證延遲低於 50ms。發生 WAN 事件時仍能運作，不會讓 WLAN 停擺。
以 RADIUS VSA 決定 VLAN、ACL 或 SGT。授權必須真正發揮作用，光有身分是不夠的。
即使今天尚未部署，平台也應具備 Passpoint 能力。轉型已經開始。
每一次加入嘗試、每一個失敗原因、每一項原則決策。ISO 27001 與 SOC 2 證據直接呈現在儀表板中，而不是一份 CSV 匯出檔。
支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。驗證層的壽命應該比基地台的汰換週期更長。
在汰換 NPS 或舊有 RADIUS 期間支援並行運作。依 SSID 或依據點分批切換，而不是一次全部切換。
如何確保場域公共 WiFi 的安全
確保場域公共 WiFi 的安全，需要五個層次協同運作：網路隔離、工作階段可追溯性、內容過濾、加密與活動紀錄。每一層都針對不同的威脅，從橫向移動入侵業務系統，到未留紀錄的流量所帶來的法律責任。
- 網路分段。將訪客 SSID 放在專用的 VLAN 上，與您的 POS 終端機、CCTV 系統、員工網路，以及任何存有持卡人資料或個人資料的系統完全隔離。能連到您內部網路的訪客就不再是訪客，而是一起資安事件。多數企業級基地台原生支援此功能，VLAN 指派也可由 RADIUS 驅動，在訪客連線時自動套用。
- 具備同意紀錄的強制入口。在開放網際網路存取前要求登入。這會建立一份可稽核的工作階段紀錄（誰連線、何時連線、使用哪台裝置），並在處理任何個人資料之前，取得符合 GDPR 的同意。工作階段紀錄也能遏止濫用：匿名存取是公共網路上最大的單一法律責任風險。
- DNS 過濾與內容封鎖。在 DNS 解析器層級封鎖惡意軟體網域、命令與控制基礎設施、點對點流量與非法內容，讓任何封包都到不了開放網際網路。依類別設定的控制措施，讓您能允許一般業務瀏覽，同時封鎖會帶來法律責任或佔用過多頻寬的流量類別。
- 在訪客 SSID 上啟用 WPA2 或 WPA3 加密。WPA2 是最低要求；所有當代基地台都支援 WPA3，並能消除 iOS 與 Android 上損害訪客信任的「不安全的網路」警告。Passpoint（OpenRoaming）更進一步：訪客使用裝置憑證自動加入，無需輸入密碼，也沒有歡迎頁面的摩擦。
- 活動紀錄保存。依您所在司法管轄區要求的期限保存連線紀錄：依英國《調查權力法》為 12 個月。紀錄既是法律義務，也是您在需要協助調查時的責任保障。請確保紀錄包含工作階段的開始與結束時間、驗證身分以及指派的 IP 位址。
Purple 涵蓋全部五個層次：Purple 強制入口提供工作階段可追溯性與同意蒐集；Purple Shield 提供 DNS 過濾與內容控制；Purple SecurePass 提供以 Passpoint 為基礎的 WPA3 加入。三者皆不受硬體限制，支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。
常見問題
什麼是企業 WiFi 安全？
+
企業 WiFi 安全是一個統稱，涵蓋用於保護員工、承包商與受管理裝置所使用之無線網路的標準、協定與營運實務。它與消費級 WiFi 最大的差異在於身分：每位使用者或每台裝置都會透過目錄服務進行驗證，而不是共用同一組密碼。
WPA2 Personal 與 WPA2 Enterprise 有什麼不同？
+
WPA2 Personal 使用單一的預共用金鑰（PSK），也就是所有人共用的辦公室 WiFi 密碼。WPA2 Enterprise 則使用 802.1X，透過以您的身分識別提供者為後盾的 RADIUS 伺服器，驗證每位使用者或每台裝置。WPA3 是目前的標準；WPA3 Enterprise 消除了舊有 PSK 備援的弱點，並為敏感環境新增 192 位元 Suite-B 模式。
什麼是 802.1X？
+
802.1X 是 IEEE 制定的連接埠型網路存取控制標準。請求端（裝置）向驗證端（基地台）進行驗證，驗證端再將憑證傳遞給驗證伺服器（RADIUS）。它在有線與無線網路上的運作方式相同，但多數組織是在企業 WiFi 上接觸到它。EAP-TLS、PEAP 與 EAP-TTLS 則是在 802.1X 框架內運行的驗證方式。
EAP-TLS 就等於無密碼 WiFi 嗎？
+
實務上是的。EAP-TLS 以每位使用者或每台裝置專屬的憑證取代密碼。使用者從不需要輸入任何憑證，裝置會向網路出示其憑證，並透過核發憑證的 CA 進行驗證。多數「無密碼 WiFi」產品，其實就是在 EAP-TLS 之上加裝了受管理的憑證核發機制。
我們還應該使用 PEAP 嗎？
+
只能有條件地使用。PEAP-MSCHAPv2 雖然仍被廣泛部署，但存在已知弱點：如果請求端略過伺服器憑證驗證（常見的設定錯誤），非法基地台就能攔截憑證並進行離線暴力破解。PEAP 可作為遷移至 EAP-TLS 期間的權宜之計，但對重視資安的組織而言，不應是長期的目標。
什麼是雲端 RADIUS？
+
雲端 RADIUS 是由廠商代管的 RADIUS 驗證服務，基地台透過公用網際網路（以 TLS 保護並經過強化）連線。它免除了在本地端運行 Windows NPS 或 FreeRADIUS 的營運負擔。對多數中型企業以及越來越多的大型企業環境而言，這是正確的選擇；但若您需要驗證在 WAN 故障時仍能運作，則不適合。
如何將 WiFi 與 Entra ID、Okta 或 Google Workspace 整合？
+
透過一層能與 IdP 溝通的 RADIUS。以 Entra ID 為例，通常是由雲端 RADIUS 服務透過 OpenID Connect 或新式 Microsoft Graph 整合向 Entra ID 驗證，並搭配 Intune 核發的 EAP-TLS 憑證。Okta 與 Google Workspace 則以各自的目錄 API 採用相同模式。
什麼是 iPSK？它與 802.1X 有什麼不同？
+
iPSK（身分預共用金鑰）為每位使用者或每台裝置核發專屬的預共用金鑰，由基地台透過 RADIUS 查詢。它的部署比 802.1X 簡單（不需在每台裝置上設定請求端），同時仍能依身分隔離。iPSK 是 IoT 裝置、承包商 BYOD 與多租戶住宅 WiFi 的正確驗證方式；搭配 EAP-TLS 的 802.1X 則是受管理員工裝置的正確驗證方式。
WiFi 安全一定要納入零信任計畫嗎？
+
WiFi 驗證相當於零信任中「身分優先」原則在區域網路上的實踐。現代 WiFi 架構能貢獻的包括：加入網路時的身分驗證、作為持續訊號的裝置狀態、透過動態 VLAN 指派在 SSID 之後進行微分段，以及與 JML 流程連動的撤銷。不一定要稱之為「零信任」，但這四項必須做好。
這套架構如何滿足 HIPAA、PCI DSS 與 ISO 27001？
+
HIPAA 技術性保護措施要求唯一使用者識別與稽核控制，以憑證為基礎的 WiFi 原生即可同時提供兩者。PCI DSS 4.0 要求任何對持卡人資料環境的無線存取都必須經過驗證，並禁止共用帳戶，搭配 EAP-TLS 的 802.1X 是最乾淨俐落的做法。ISO 27001:2022 附錄 A.5.16（身分管理）與 A.8.5（安全驗證）也都能以同一套架構因應。本主題頁面另有連結一篇完整的控制措施對照文章。
如何確保場域公共 WiFi 的安全？
+
以五個層次確保場域公共 WiFi 的安全：(1) 網路分段：將訪客 SSID 放在獨立的 VLAN 上，與 POS、CCTV 及企業系統隔離。(2) 強制入口：要求登入，以建立可追溯的工作階段紀錄，並取得符合 GDPR 的同意。(3) DNS 過濾與內容封鎖：在解析器層級阻擋惡意軟體網域與點對點流量。(4) 在訪客 SSID 上啟用 WPA2 或 WPA3 加密；Passpoint 可消除新式裝置上的「不安全的網路」警告。(5) 依您所在的司法管轄區保存活動紀錄：依英國《調查權力法》為 12 個月。Purple Shield 負責 DNS 與內容過濾；Purple Connect 提供強制入口與同意流程；Purple SecurePass 則提供 Passpoint 與 WPA3。