基于证书的 WiFi 身份验证：EAP-TLS 指南
Published
有人即将离职，您的团队正在决定是否再次更改员工 WiFi 密码。更改密码意味着需要重新连接笔记本电脑、手机、前台平板电脑以及没人记得配置过的设备。而不作更改则意味着接受组织外部人员仍然知道如何接入网络。
基于证书的 WiFi 身份验证为您提供了更好地识别受信任设备的方法。但它也改变了您团队的工作内容：您不再需要分发密码，而是需要管理信任链、证书更新、吊销以及存放在仓库中长达数月的设备。安全性的提升是显而易见的。要实现可靠运行，仅仅在无线配置文件中选择 EAP-TLS 是远远不够的。
目录
- 基于证书的身份验证的含义WiFi
- 逐步了解 EAP-TLS 握手的工作原理
- 证书与共享密码及 PEAP 的对比
- 通过 MDM 构建 CA 和配置证书
- 管理从颁发到续订的证书生命周期
- 在设备丢失或人员离职时撤销访问权限
- 设备合规性与例外规划
- 在部署前确认您的证书计划
基于证书的 WiFi 身份验证的含义
基于证书的 WiFi 身份验证使用独立的数字证书取代了共享的 WiFi 密码，网络会在授予访问权限之前对其进行检查。可以将其比作共享的办公室门禁码与员工工牌的区别。使用门禁码时，每个人只能证明他们知道同一个秘密；而使用工牌时，安保人员可以识别特定凭据并单独注销该凭据。
假设一台托管的笔记本电脑需要访问员工网络。其证书可识别设备或其分配的用户，且其受保护的私钥能证明其拥有该凭据。证书本身并非保密密码，仅复制公钥证书并不能提供相应的私钥。
该图展示了个人凭据如何替代公共密码。
各组件的适配位置
底层框架为 IEEE 802.1X，最初针对有线以太网开发，后改用于无线局域网。Microsoft 关于 IEEE 802.1X 身份验证的概述说明了该框架以及通过 RADIUS 进行集中身份验证的作用。
无线接入点控制准入，而 RADIUS 服务负责评估身份验证请求。EAP-TLS 是在该机制下执行的基于证书的身份验证方法。设备和身份验证服务器在建立连接密钥材料之前会相互验证。
区分以下组件：
- 设备证书：用于识别终端或用户，并配合设备持有的私钥共同工作。
- 身份验证服务器证书：允许设备验证其正在与经批准的身份验证服务进行通信。
- 证书颁发机构（CA）：颁发证书，双方均可通过受明确信任的证书链对其进行验证。
设备和服务器并不一定需要来自同一个颁发机构的证书。关键在于双方都信任相应的颁发者，并应用正确的验证策略。
实用准则： 将证书视为网络身份识别系统，而非复杂的密码。
这种区别改变了处理笔记本电脑丢失的方式。您可以撤销其凭据，而无需更换其他所有人设备上的凭据。但是，拥有有效证书仅能确定身份，并不代表拥有无限权限。您的访问策略仍需决定该身份可以访问哪些内容。
EAP-TLS 握手协议的分步工作原理
连接涉及设备的请求方、充当验证者的无线接入点以及身份验证服务器。请求方是处理企业网络身份验证的操作系统组件。
此简化流程展示了主要的交接环节，而非每个协议消息。
跟踪交互过程及其故障点
该交互背后的双向身份验证和密钥派生定义在 EAP-TLS 规范 RFC 5216 中。
设备关联到接入点。 它启动企业身份验证交换并提供身份标识。仅凭关联并不能授予正常的网络访问权限。无线安全设置不正确可能会导致设备完全无法进行证书身份验证。
接入点将 EAP 消息转发给 RADIUS。 它在终端与身份验证服务之间传递交换信息，而不是自己颁发设备证书。RADIUS 连接问题或注册不正确的接入点可能会使交换在此中断。
服务器出示其证书。 设备检查证书链、有效性和预期的服务器身份。不受信任的颁发者、不完整的证书链或非预期的服务器名称都应当导致设备拒绝连接。
设备出示其客户端证书。 服务器验证该凭据，检查适用的吊销信息并评估身份。丢失证书或无法访问私钥在用户看来可能是通用的连接失败，即使服务器日志显示了特定原因。
TLS 交换建立共享密钥材料。 终端必须证明拥有其私钥，而不仅仅是出示证书文件。即使两个证书均有效，不兼容的密码学设置也可能阻止完成交换。
RADIUS 返回身份验证结果和策略属性。 接受结果可以包含 VLAN 分配或其他支持的授权属性。身份验证成功但连接不可用，可能表示存在 VLAN 或下游策略问题，而非证书问题。
配置客户端以验证服务器
在请求方配置文件中，明确选择 EAP-TLS，配置受信任的 CA 并指定预期的 RADIUS 服务器名称。保持启用服务器证书验证。切勿让用户仅为了上网而绕过警告。
与团队讨论交互过程时，可结合协议流程参考此视频。
每次连接均取决于身份验证时凭据的存在性、可访问性和可接受性。因此，排错工作需要来自请求方和 RADIUS 的证据，而不仅仅是显示客户端未能接入的接入点仪表板。
证书与共享密码及 PEAP
的对比WiFi 基于相同的标准对身份验证方法
| 方法 | 设备上的凭据 | 吊销范围 | 可追溯性 | 配置工作量 |
|---|---|---|---|---|
| 共享 WPA2 或 WPA3-Personal 密码短语 | 每个用户共用的同一个密码短语 | 更改所有人的密钥 | 共享凭据本身无法提供可追溯性 | 低 |
| 带 PEAP-MSCHAPv2 的 WPA2-Enterprise | 每个用户的用户名和密码 | 禁用单个账户 | 按用户 | 中等 |
| WPA2 或 WPA3-Enterprise 上的 EAP-TLS | 每台设备唯一的客户端证书和私钥 | 吊销单个证书 | 映射时按设备和用户 | 高，需要 PKI 和托管式配置 |
| 带 EAP-TLS 的 192 位 WPA3-Enterprise | 符合配置文件密码学要求的证书 | 吊销单个证书 | 映射时按设备和用户 | 高，此外还需要加密套件兼容性检查 |
EAP-TLS 并不等同于 WPA3。 WiFi Alliance 认证记录 在支持的企业身份验证方法中标识了 EAP-TLS。证书身份验证是一种企业身份验证选择，而 WPA 配置文件还决定了无线安全要求。
对比凭据本身，而非仅看标签
共享密码短语只能证明掌握了公共密钥，但无法确认是哪位员工提供的，即使网络设备仍能记录连接详情。员工离职会变得很棘手，因为更换凭据意味着需要更新使用该凭据的所有设备。
PEAP-MSCHAPv2 转向使用独立的用户名和密码。它通过服务器身份验证的 TLS 隧道来保护内部身份验证交互，因此正确的服务器验证仍然至关重要。它可以提供有用的每用户记录，但密码更改和账户问题仍属于无线技术支持的一部分。
在采用 EAP-TLS 的情况下，终端在身份验证期间使用的是其证书和私钥，而非账户密码。只要资产清单将证书正确映射到终端和所有者，这就为管理员提供了一个特定于设备的凭据来进行管理。
请选择您的团队能够实际运维其凭据生命周期的身份验证方式，而不仅仅是控制器菜单中安全级别最高的选项。
针对不同群体采用相应的方法
在注重个体权限撤销和责任归属的受控员工接入场景中，共享密码并非良好的默认选择。即便对于访客和低风险设备，通用密码也需要明确的分发和更换策略。
证书非常适合托管的笔记本电脑和手机，因为您可以通过现有的管理系统为其进行配置。更高安全保障的企业配置文件会增加兼容性工作；它并不会消除任何生命周期管理责任。PEAP 在存在独立账户但证书配置尚未就绪的情况下，仍可作为一个过渡选项，而不是无限期推迟基于身份的访问设计规划的理由。
通过 MDM 构建 CA 并配置证书
易于管理的部署始于所有权明确的公钥基础设施 (PKI)。常见的层级结构是将根证书颁发机构保持脱机状态，并使用签发 CA 进行日常证书颁发。托管 PKI 服务可以履行这些角色，而无需您的团队在本地操作每个组件。
颁发 CA 签署设备和服务器证书。RADIUS 必须信任客户端证书链，而终端必须信任适当的服务器链。请勿假设安装根证书就会自动配置其余的无线策略。
在颁发证书前选择配置文件
设备模板需要客户端身份验证用途、您的策略可以解析的设备或用户身份，以及由您的续订和恢复设计所管理的有效期。
按安全级别划分的证书配置文件
| 配置文件 | 密钥与算法 | 典型有效期 | 适用场景 |
|---|---|---|---|
| 标准托管笔记本电脑或手机 | 整个设备库支持的组织批准算法 | 根据更新与恢复策略设置 | 运行 WPA2-Enterprise 的混合设备库 |
| 更严格的托管设备 | 端点测试后批准的更强模板 | 根据策略与更新能力设置 | 运行最新固件的现代设备库 |
| WPA3-Enterprise 192 位 | ECDSA P-384 或 RSA 3072 或更高版本 | 根据策略与更新能力设置 | 兼容性测试后的高保证场所 |
| 无头设备或传统设备 | 通常不支持 | 厂商支持的生命周期或例外到期时间 | 例外路径 |
WiFi Alliance 部署指南 明确规定，WPA3-Enterprise 192 位模式将身份验证限制为 EAP-TLS，并使用带有 P-384 椭圆曲线参数或至少 3072 位 RSA/DH 模数大小的 AES-256-GCM 套件。因此，必须根据所选的完整套件核对表格中安全性更高的配置文件，而不仅仅是凭证书的密钥标签。
证书模板、RADIUS 软件、请求程序和加密提供程序必须保持一致。支持普通 EAP-TLS 的端点在此类更严格的配置文件下仍可能验证失败。
组合交付信任关系、凭据和配置信息
借助 SCEP，管理配置文件会指示设备生成密钥对并请求证书。CA 会对该请求进行签名；设备则将其私钥保留在受保护的存储空间中。请勿将相同的客户端证书和私钥分发给多台机器。
按受控顺序部署依赖项：
- 信任优先：安装所需的受信任 CA 证书。
- 凭据次之：交付 SCEP 配置并确认成功颁发。
- 无线配置文件最后：引用预期的客户端凭据和服务器验证设置。
在依赖的配置文件之间保持组定位的一致性。在标准化推广之前，使用 MDM WiFi 证书配置文件对比 来审查平台差异。此外，请提供一个不依赖于设备仍试图获取的证书的注册连接。
管理从颁发到续订的证书生命周期
一台今天成功接入的笔记本电脑，在放入柜子度过续订期后可能会接入失败。无线接入点可能正常运行，密码未更改，用户也没有做错任何事。原因在于该终端不再拥有可接受的凭据。
NIST 的 EAP 要求指南 说明了在身份验证之前配置证书、在交换期间可用且可验证（包括吊销状态）的必要性。这些要求使得生命周期依赖项成为网络可用性的一部分。
此时间线有助于在初始部署完成后指派责任人。
为每个阶段建立操作控制措施
| 阶段 | 控制措施 | 可防范的故障 |
|---|---|---|
| 注册 | 监控 MDM 注册与配置文件推送目标 | 设备未收到注册指令 |
| 颁发 | 校验模板权限与请求结果 | CA 拒绝请求或颁发不可用的证书 |
| 部署 | 验证安装及受保护的私钥访问权限 | 证书存在但请求方无法使用 |
| 续订 | 尽早启动，监控完成情况并允许经测试的重叠期 | 设备到期前未获取替换证书 |
| 到期 | 提醒所有者并提供受限的恢复途径 | 到期设备无法进行恢复 |
| 退役 | 撤回凭据并清除陈旧的资产条目 | 退役设备仍保留已被信任的身份信息 |
证书更新需要完成证明，而不仅是开启自动化设置。跟踪新证书是否已颁发、安装并成功使用。在交叠期间，请确认申请方选择的是合适的凭据，而不是重复选择已废弃的凭据。
为未在线的设备做好预案
根据实际设备行为设置更新窗口。季节性使用或作为备件保留的设备，可能需要与每日打卡的笔记本电脑不同的恢复流程。请勿假设离线终端可以更新证书，仅仅是因为其旧证书仍列在 MDM 中。
维护一份将证书序列号、终端标识符、所有者、颁发者、过期时间和续订状态关联起来的资产清单。包含颁发 CA 和身份验证服务器证书，因为它们的更换可能会影响更大范围的人群。
成功运行的续订作业并不等同于设备能够使用其替换证书进行身份验证。
测试系统时钟错误、操作系统重建和 CA 链变更。重建可能会删除私钥；时钟错误会使有效证书显示为尚未生效；链变更可能会导致端点失去所需的信任关系。
为涉及 MDM、PKI 和网络服务的故障指定明确的负责人。否则，每个团队都可能报告自己的系统正常，而终端设备却依然处于断开状态。EAP-TLS 将中断风险转化为库存、自动化和依赖关系管理问题，但它并没有消除这种风险。
当设备丢失或人员离职时撤销访问权限
离职人员的目录账户已被停用，但其笔记本电脑仍保留着未过期的证书。该设备能否重新连接取决于您的授权集成和吊销控制。停用账户与吊销证书属于不同的操作，除非您配置的工作流明确将它们关联起来。
从运维角度界定离职/注销结果：新的身份验证必须失败，注册过程不得颁发替代凭据，且现有会话必须通过受支持的机制结束。已完成的 HR 工单并不能证明实现了上述任何结果。
了解状态检查
证书吊销列表（CRL）用于发布颁发者已撤销的证书。在线证书状态协议（OCSP）允许验证者向响应程序请求证书状态。
验证证书的组件会应用相关的状态检查策略。对于客户端证书，通常由身份验证服务而非接入点（AP）负责处理。如果无法获取状态信息，故障阻断（fail-closed）策略可能会阻止原本有效的设备，而故障开放（fail-open）策略则可能会接受无法确认撤销状态的凭据。
明确做出该选择。在测试中包含缓存的状态信息、发布延迟和响应程序可用性，而不是假定点击“撤销”就能立即改变每一次身份验证决策。
使用完整的设备丢失处理流程
对于丢失的笔记本电脑，应协调各项应对操作，而不是将其视为各个团队各自独立的最后步骤：
- 识别并撤销凭据。 将端点与其对应的实际证书序列号进行匹配，并撤销相关凭据。
- 阻止替代证书签发。 禁用设备的注册资格，并应用适当的 MDM 退役或删除流程。
- 终止活动接入。 在基础架构支持的情况下，使用支持的会话断开控制（包括 RADIUS 授权变更）。
- 验证结果。 确认会话已结束且新的身份验证尝试已被拒绝。
仅凭吊销证书并不一定能终止已建立的无线会话。在不支持断开连接机制的设备上，会话可能会持续到重新连接、重新身份验证或触发其他强制会话边界。请在事件处理程序中记录这一限制。
您的审计记录应包含：
- 凭据标识： 设备标识符、证书序列号及相关所有者。
- 决策依据： 撤销原因、操作人员和执行时间。
- 执行证据： 会话终止时间及后续的拒绝结果。
- 残留风险暴露： 无法强制终止的任何会话以及所采取的遏制措施。
计划定期进行撤销演练。在身份验证策略变更后以及日常运维测试期间运行演练，以免在发生实际设备丢失事件时，才首次尝试验证整条撤销路径。
设备合规性与例外情况规划
设备类别及其与 EAP-TLS
的适配度| 设备类型 | EAP-TLS 契合度 | 典型替代方案 | 关键问询问题 |
|---|---|---|---|
| 托管笔记本电脑和手机 | 强 | 无需替代，直接 MDM 注册 | MDM 注册是否可靠？ |
| 企业平板电脑和自助终端 | 经 MDM 托管时良好 | 仅凭自助终端专用密钥 SSID | 私钥能否存放于安全存储中？ |
| 无界面 IoT 传感器 | 缺乏合适固件时较差 | 隔离 VLAN 上的单设备密钥 | 固件是否支持 802.1X？ |
| 会议室系统、AV 和视频会议设备 | 取决于供应商特定支持 | 带有单设备密钥的专用 SSID | 供应商能否安装和更新证书？ |
| 医疗设备 | 通常受限 | 采用供应商批准方法的隔离网络 | 设备是否通过该方法的认证？ |
| 旧版操作系统终端 | 缺少所需功能时不支持 | 带有限时特例的隔离 VLAN | 何时复核该特例？ |
根本约束在于每一个EAP-TLS客户端都需要自己的证书，而不仅仅是对服务器的信任。NIST 的无线网络指南 将此客户端证书要求与仅限服务器的证书身份验证区分开来。
因此，设备需要一个可正常工作的请求方、适当的私钥保护以及受支持的凭据接收和更换方式。写有“支持企业级 WiFi”的规格说明书不足以证明具备这些能力。
测试整个设备生命周期
对于会议系统，要求供应商演示恢复出厂设置后的证书安装、更新和恢复流程。支持证书上传的 Web 界面可能只解决了入网问题，却未能解决后续的运维维护问题。
对于医疗和生产运营设备，请保留供应商的技术支持要求。切勿仅仅因为同一制造商的另一款产品支持某种身份验证方式，就去更改生产设备的身份验证方式。
个人设备需要单独的资格判定。您的 BYOD 引导接入设计 应在要求用户注册之前，明确哪些管理或配置文件安装是可以接受的。
确保例外情况范围明确且责任到人
无法使用证书的设备不应继承受控员工笔记本电脑的访问权限。应为其替代凭据指定明确的负责人，并严格限制网络访问仅限于必要的目的地址。
记录每项例外情况的以下信息：
- 技术原因： 缺失的功能或厂商限制，并附有配置检查支持。
- 补偿性控制： 网络分段、允许的服务以及可单独撤销的替代方案。
- 复核日期： 计划好的续订、变更或消除该例外的决策日期。
- 替代计划： 能够结束该例外的固件升级、支持的入网方法或硬件更换。
避免将临时隔离网络变成未知设备的长久归宿。没有所有者或退出条件的特例会变成未经记录的访问策略。可防御的方法并不是不惜一切代价使用证书；而是在提供强受控设备身份验证的同时，提供精心设计的受限替代方案。
在全面部署前确认您的证书计划
成功的演示表明健康的笔记本电脑可以正常连接。而有价值的试点项目则会展示当注册失败、凭据过期、设备被撤回以及依赖项不可用时会发生什么。请批准整个运营模式，而不仅是关注第一次成功的握手。
在更改生产访问权限之前，请选择试点站点并确定范围内的设备类别。盘点接入点功能、客户端行为和固件版本。在需要更高保证级别的配置文件时，请针对代表性端点验证所选证书模板、证书链检查和扩展密钥用法。
落实本周的就绪状态审查
使用此核对清单，找出缺失的负责人和未经测试的假设。
- 确认设备支持： 验证范围内每台设备均可存储并使用受保护的私钥，而非仅仅能导入证书。
- 确认信任与续订： 指定 CA 链、注册服务、续订监控和恢复途径的负责人。
- 测试强制执行： 演示接受、拒绝、吊销以及支持的活动会话终止。
- 批准特例： 为每个不支持的类型提供受限的替代方案、明确的负责人和复核日期。
- 设置可执行的告警： 将即将到期和续订失败事件发送给有能力解决该问题的人员。
请使用可重复的 RADIUS 身份验证测试程序，以便工程师收集具有可比性的证据。请记录客户端状态、预期结果、实际结果和相关的错误代码。
依据可支持性评估试点项目
在现有网络旁运行证书路径，并制定明确的回滚程序。测试范围应包含远程注册、重建的终端、离线备用设备以及您的服务台支持的操作系统。切勿仅选择最新配置的笔记本电脑。
结合身份验证日志审查服务台工单。将证书故障与无线覆盖、地址分配以及 VLAN 问题区分开来，以免团队为了解决无关的故障而重新设计 PKI。
试点验收应意味着受控设备通常无需用户干预即可接入，失败有明确的原因，且撤销访问权限的过程可以得到验证。请保留成功和被拒绝尝试的证据，并提供充分的身份上下文以解释相应决定。
在试点开始前设置其审查日期。本周确认试点站点、设备类别、所有者和验收标准，仅在团队解决故障并证明具备恢复能力后再进行扩展。具有可靠续订和吊销机制的小规模部署，比无人能有把握修复的大规模部署是更好的基础。
Purple Access 可以在您现有的无线接入点上，通过 MDM 分发的 EAP-TLS 提供基于证书的员工 WiFi，以及访客和按设备划分的访问权限。请访问 Purple Access，在一个站点规划试点，验证证书和异常路径，并在扩大推广范围之前，根据支持工单和审计凭证评估成果。
