WiFi 访问控制详解：方法与策略
Published
如果一个长 WiFi 密码就足够安全，为什么一次密码泄露仍然能让现场的每一台收银机、摄像头和访客笔记本电脑暴露在外？许多团队将加密视为全部工作。加密只是隐藏了空中传输的流量。它并不能决定谁可以连接、可以访问哪些资源，或者您如何收回该权限。WiFi 访问控制才是第二项核心工作，而共享密码通常是其中最薄弱的环。
目录
- WiFi 访问控制究竟决定了什么
- WiFi 访问控制方法一览与对比
- WPA2 和 WPA3 如何确立加密基线
- 802.1X 和 EAP-TLS 如何将访问权限与身份绑定
- Captive Portal、单设备专属密钥与 Passpoint 对比
- 用于策略和隔离的身份驱动 VLAN
- 评估网络隔离是否真正奏效
- 选择您的 WiFi 访问控制方案
WiFi 访问控制究竟决定了什么
当有人加入您的 WiFi 时，正在检查什么，又是由谁在检查？许多人脑海中会浮现出一个密码输入框。而用一栋大楼来比喻，图像会更加清晰。
加密好比上锁的走廊。它可以防止站在走廊里的任何人偷听对话。访问控制则是门禁规则。它决定了谁能拿到钥匙、可以进入哪些楼层以及钥匙何时失效。健身房采用 二维码和 PIN 码健身房入场选项 也是同样的逻辑：门锁本身并不是决定哪位会员可以进入以及停留多长时间的规则。
每个网络都会做出三个决策。
身份验证解决的是“谁或什么设备可以连接”的问题。个人、笔记本电脑、支付终端或摄像头都必须证明其合法性。
授权解决的是“该连接可以访问哪些资源”的问题。员工应用、仅限互联网访问以及摄像头子网都是不同的通道。
吊销用于确定权限持续多久。会话限制、过期的登录信息以及可针对单个设备作废的密钥均属于此范畴。
共享密码只能回答第一个问题，而且是对所有人一次性回答。
同一栋大楼内的访客、员工、支付终端、摄像头、客房设备和承包商需要不同的访问权限。然而，只要知道密码，任何人都会被“允许”接入。您无法将收银机隔离到不同的区域，也无法在不更改整个场所密码的情况下单独注销某个承包商的权限。接下来的方法将从身份识别开始，而不是依赖堆砌网络名称。
WiFi 访问控制方法一览对比
适用于小型场所的 WPA3-Personal，适用于企业级环境的带证书的 802.1X，适用于物联网和多租户场所的单设备密钥，适用于访客接入的 Captive Portal，以及适用于漫游用户的 Passpoint。
| 验证方式 | 检查内容 | 典型安全级别 | 最佳适用场景 | 如何撤销访问权限 |
|---|---|---|---|---|
| WPA2-Personal | 共享密码短语 | 中等 | 家庭和小微办公室 | 为所有人更改密码短语 |
| WPA3-Personal | 通过 SAE 交换的密码短语 | 抗密码猜测能力强 | 现代家庭和小微办公室 | 为所有人更改密码短语 |
| 带有 802.1X 的 WPA2/WPA3-Enterprise | 通过 RADIUS 验证用户/设备证书或凭据 | 高 | 企业和园区 | 撤销单个身份或证书 |
| xPSK 或单设备密钥 | 每个设备、用户或租户的唯一密钥 | 对于物联网和共享场所而言较高 | 酒店、住宅、特许经营店和物联网设备群 | 撤销单个密钥而不影响其他密钥 |
| Captive Portal | 通过 SSO、社交账号登录或短信一次性验证码并经同意登录 | 中等；可识别用户，但不对每条链路加密 | 访客和 BYOD 入网引导 | 使会话或登录过期 |
| Passpoint 和 OpenRoaming | 漫游身份凭据 | 高，无需 Portal 页面 | 大型场馆和漫游用户 | 在身份提供商处撤销凭据 |
请将这些评估级别视为典型情况，而非绝对保证
这些层级描述的是精心设计的部署方案，并非每一种边缘情况。如果企业级的配置不够严谨，保留了弱 EAP 方法且缺乏证书吊销流程，其安全性可能还不如酒店楼层中运行良好的单设备密钥系统。空中传输的加密算法并不是能在凌晨 2 点保障您系统安全的控制手段。
吊销速度往往比加密类型更能决定方案选择。如果丢失一部手机意味着要为整个办公室重新打印密钥，那么这种方法就不适合多租户大楼。在最后选择设计方案时，请根据实际情况匹配相应的配置。
WPA2 和 WPA3 如何奠定加密基线
WiFi 密码虽然可以保护无线链路，但作为控制访问权限的方式仍然不够稳固。WEP 追溯至 1997年。其设计缺陷导致了 2003年 WPA 的推出，随后在 2004年 推出了 WPA2，符合 IEEE 802.11i 标准，并采用了 AES 加密（而非 WEP 较弱的方法），这一点在 退伍军人事务部技术参考 中有相关记载。
WPA2 和 WPA3 奠定了加密基线，但密码仍然至关重要。WPA3-Personal 使用 SAE，能够抵御离线密码猜测。WPA3 企业版还为敏感环境提供了更强大的安全选项。
过渡模式允许 WPA2 和 WPA3 设备使用同一个网络。当场所内包含混合设备时，这种桥接方式会带来帮助，但它会让 WPA2 设备继续使用较弱的安全选项。网络采用更新的标签，并不能保护仍然使用 WPA2 连接的老旧客户端。
在更改模式前，请检查每个站点：
- 安全模式：确认每个 SSID 使用的是 WPA2 还是 WPA3，以及它是个人级还是企业级。
- 传统网络：检查 WEP 以及不带 Captive Portal 的开放网络是否已不再使用。
- 客户端兼容性：在强制要求使用 WPA3 之前，请先确认手机、收银机和摄像头是否支持 WPA3。
加密可以保护空中传输的流量，而访问控制则决定允许哪个人或设备进行连接。共享密码模糊了这一区别：更改密码会影响所有知道它的人，而仅靠更强大的加密算法无法识别每个具体用户。
802.1X 和 EAP-TLS 如何将访问权限与身份进行绑定
将其想象为办公门禁卡。无线接入点就是大门。RADIUS 服务器是前台安保。而目录服务或证书颁发机构则是员工名单。
入门四步法
- 设备发起关联并提供身份信息（通常为证书或用户名）。
- 无线接入点不作决策，而是将请求转发给 RADIUS。
- 服务器根据目录或证书颁发机构核对该凭证。
- RADIUS 返回 Accept（允许）或 Reject（拒绝），以及用于塑造会话的属性（如 VLAN 或角色）。
EAP-TLS 是使凭证难以复制的方法。NIST 的 EAP 指南 将 TLS 视为基于隧道 EAP 的保护隧道，并指出 EAP-TLS 双向认证需要对等方证书。客户端证明其持有有效证书，同时客户端也会检查认证服务器。密码方式仅要求用户知道密钥。而证书可以由您的 MDM 颁发，指定较短的有效期，可以进行更新，并在单台笔记本电脑丢失时单独撤销。将该证书与目录分组绑定，以便 RADIUS 返回匹配的策略。其他所有人都能保持在线。
在客户端允许的情况下，请关闭 PEAP-MSCHAPv2、CHAP 和 PAP。当前的企业级 WLAN 指南建议使用结合 AES-256-GCM 和现代椭圆曲线或足够大的 RSA 参数的 EAP-TLS。在以“以防万一”为由保留旧方法之前，值得阅读一下 EAP-TLS 与 PEAP 的对比。
可能导致整个办公室遭锁定的陷阱
最常见的故障是信任链从未下发到设备。每次登录都会同时失败，IT 服务台听到的不是“证书不受信任”，而是“WiFi 断了”。请使用下发证书的相同 MDM 推送信任链，并在停用密码之前在全新的笔记本电脑上进行测试。
在部署前确定故障应对路径。如果 RADIUS 或证书颁发机构无法访问，现有的会话是否保持连接？新设备是否会被分配到受限的引导网络？缓存的凭据保持有效的时间是多久？请测试每条路径。一个在发生故障时直接关闭且没有备用计划的门禁系统，会在首次网络波动时导致整栋大楼陷于瘫痪。
对交互过程进行简要梳理，可以让“办公桌与门”的比喻更加具体：
Captive Portals、单设备密钥与 Passpoint 对比
酒店或咖啡馆的访客不会去安装证书。Captive Portal允许他们通过社交账号登录、SSO或短信一次性密码进行登录，并且可以记录针对 GDPR 和 CCPA 等隐私法规的同意信息。您可以了解是谁登录了网络，但无需为该手机提供强效的单链路密钥。开放网络仍然需要短会话，以及无法访问收银机或摄像头的 VLAN。当访问结束时，使该登录失效即可。
一机一密
每设备密钥（xPSK，以及厂商名称 iPSK、DPSK、MPSK 或 PPSK）为每个设备、用户或租户提供其专有的密钥。房间电视、温控器、收银机、租户路由器和摄像头都符合这种模式，因为没有人会每周在这些设备上输入密码。撤销一个密钥，其他密钥仍可继续工作。在支持它的接入点上，RADIUS 授权变更（CoA）还可以直接结束实时会话，而无需等待设备漫游。这就是“我们今晚会更改 WiFi”与“该摄像头现在已切断网络”之间的区别。
Passpoint 和 OpenRoaming 为已携带漫游身份的人员跳过了 Portal 页面。手机使用来自身份提供商的凭据进行身份验证，这非常适合机场、园区以及同一人会在多个站点出现的场所。其故障模式在于信任：如果身份提供商或漫游关系中断，则没有本地密码可以退守使用。在停用 Portal 之前，请先公布该故障应对策略。Hotspot 2.0 是您将在设备设置中看到的客户端名称。
为什么 MAC 地址无法保障策略有效性
随机 MAC 地址使硬件列表变得不可靠。Help Net Security 对无线宽带联盟研究结果的报道 指出，随机 MAC 地址使网络管理和威胁检测变得复杂，而团队仍需要区分访客、受管终端和运营设备。该地址可能会在会话之间发生变化，因此基于昨天 MAC 构建的允许列表会漏掉今天的手机。持久身份必须建立在证书、联合凭据、设备管理姿态或每设备密钥之上。
用相同的四个测试标准来衡量这三种选择：撤销速度有多快、该方法暴露了多少信息、是否支持漫游，以及日志记录的是个人姓名还是仅有无线电地址。当策略挂钩于凭据时，隐私和控制可以共存。而当策略挂钩于 MAC 地址时，两者则会相互冲突。
用于策略和隔离的身份驱动型 VLAN
一道大门，多种手环。访客办理入住后，手环可以打开游泳池，但打不开机房。在 802.1X 或其他 RADIUS 身份验证成功后，无线接入点可以将该客户端分配至 Access-Accept 中指定的 VLAN，从而覆盖 SSID 的默认 VLAN。
Fortinet 的 RADIUS VLAN 文档 中详细介绍了您需要配置的标准属性：将 Tunnel-Type 设置为 VLAN，将 Tunnel-Medium-Type 设置为 802，并在 Tunnel-Private-Group-ID 中包含 VLAN 标识符。当这些属性返回时，RADIUS 分配的 VLAN 优先级将高于 WLAN 的本地 VLAN。只要更改用户的分组，其下一次身份验证就会被划分到其他区域。一旦注销身份，后续访问就会停止。这能让您在保持较少 SSID 数量的同时，将员工、访客、支付系统、摄像头、居住者以及 IoT 设备进行隔离。在决定需要精简到多少个 SSID 时，参考 WiFi 网络设计 的实战指南会很有帮助。
| 身份分组 | 身份源 | VLAN 示例 | 策略 |
|---|---|---|---|
| 访客 | Portal 登录或同意 | 10 | 仅限互联网，无内部访问权限 |
| 员工 | 通过 MDM 下发的设备证书 | 20 | 内部应用和文件共享 |
| 房间或物联网设备 | 单设备密钥 | 40 | 独立子网，仅限对厂商服务的出站访问 |
| 支付终端 | 证书或单设备密钥 | 30 | PCI-DSS 范围内的隔离网段 |
| 摄像头 | 单设备密钥 | 50 | 仅限视频上传，无其他东西向访问权限 |
信任手环前需要进行的项三检查
安全默认设置。 如果属性缺失或无效，客户端必须落入一个几乎无法访问任何资源的 VLAN。切勿因为代码漏洞遗漏了字段，就“故障放行”到员工网络上。
路径，而不仅仅是 AP。 从无线接入点到交换机的每条干线（trunk）都必须承载所有这些动态 VLAN。一个存在于 RADIUS 中但未在干线上配置的 VLAN，会导致成功登录后出现无网络响应的情况。
日志。 记录包含身份、VLAN 和星期的每一次 Access-Accept。没有这行日志，您就无法证明是哪个手环打开了哪扇门。
因此，策略会跟随人员或设备记录，而不是跟随他们偶然连接的无线接入点。
评估网络隔离是否真正发挥作用
更更多的 SSID 并不意味着更好的隔离。正是因为这种假设，某些场所广播了十几个无线网络名称，却依然发现访客笔记本电脑连接在了收银机所在的 VLAN 上。
每个额外的 SSID 都会增加信标和空口开销、更多配置、更多需要测试的漫游行为，以及站点偏离标准的更高风险。Cisco 无线网络现状报告 将网络分段和动态身份验证列为减少无线暴露的核心措施，并指出了混合世代客户端、庞大 IoT 群体以及对跨射频和频段更紧密可见性的需求。隔离不足则会导致相反的失败：受感染的访客设备可能会向收银机、摄像头、住户或员工共享资源进行横向移动。
可顺利运营的生命周期管理
- 根据身份和风险定义细分，而不是根据手机 WiFi 列表能容纳多少个名称。
- 通过认证结果动态分配策略，这样组变更就不需要新建 SSID。
- 为每个例外情况记录文档，指定所有者和到期日期。没有结束日期的例外情况会演变成新的网络。
- 测量失败的认证、未授权的东西向流量和撤销时间，并每季度测试一次紧急备用通道。
请根据四个结果来评估设计：控制范围、撤销时间、审计证据以及运维工作量。SSID 数量并不在该列表中。随着客户端世代混杂以及设备数量不断攀升，Wi-Fi 7 和高密度 IoT 使这些指标变得更加紧迫，跨频段的可见性必须保持一致。
断开一个身份，确认下一次身份验证被拒绝，并确认日志中显示了该拒绝记录。如果您无法对单个摄像头做到这一点，说明该网络隔离尚未真正生效。
选择适合您的 WiFi 访问控制方案
根据具体场景进行选择，而不是盲目追求最新的加密密码。
- 咖啡馆或有访客的家庭：私有侧使用 WPA3-Personal，外加针对访客的 Captive Portal。
- 拥有约 200 个工位且使用托管笔记本电脑的办公室：采用带有来自 MDM 证书的 802.1X，以及单独的访客 Portal。
- 酒店、住宅楼或特许经营地产：按设备分配密钥，为房间、租户和固定设备提供基于身份的 VLAN。
- 人们频繁漫游的园区或场馆：采用 Passpoint 或 OpenRoaming，配合员工设备的证书。
我们将复杂的网络精简为三个 SSID：供访客和 BYOD 使用的 Open，供员工和受信任用户使用的 Secure，以及供物联网、租户和社区使用的 xPSK。规划工具可让您勾选当前的连接需求，并查看各个组如何归类到这三个网络中。
天花板上现有的无线接入点通常决定了您可以启用哪些方法。在承诺某个硬件无法完成的设计之前，请先检查证书、单设备密钥和 CoA 支持情况。
- 列出每个设备组，包括容易被忽略的那些：外包人员、借用笔记本电脑、房间电视。
- 为每个组指定身份源和 VLAN，使用与访客、员工、IoT、支付和摄像头相同的映射。
- 在每个组的一台设备上运行断开连接并验证的测试。
- 一周后查看日志。寻找无法解释的接受日志，以及阻碍正常工作的拒绝日志。
- 在上线前与网络工程师共同审阅计划，特别是当 RADIUS 无法访问时的故障应对路径。
具备针对单个设备撤销权限能力的身份驱动型控制才是能够实现大规模扩展的设计。而共享密码根本无法做到这一点。
Purple Access 为访客、员工和设备在您现有的接入点上赋予独立的身份或密钥，因此 WiFi 访问控制不再是一个改头换面的共享密码。您可以清晰查看每个组的归属，在不影响其他设备的情况下撤销单个设备，并将策略保留在 RADIUS 中，而不是维护冗长的 SSID 列表。请访问 Purple Access 来规划您的站点，并与网络工程师深入讨论具体配置。
