在多站点企业中将员工 WiFi 从共享密码迁移至 802.1X

在共享密码 SSID 的同时运行一个新的 WPA-Enterprise SSID，并分批迁移设备。托管设备可从您的 MDM 获取 EAP-TLS 证书。个人手机通过 Captive Portal 进行入网。无法保存证书的设备则在 xPSK 网络上使用专属密钥。当某个星期的身份验证日志显示不再有旧版设备时，即可在该站点关闭共享密码。

将员工 WiFi 从共享密码迁移到 802.1X 会带来什么变化？

共享的员工密码是每位同事、每台设备以及每一位离职同事共同掌握的一个秘密。有人离职时，他们依然掌握着该密码。更改该密码意味着需要在每个站点的每台收银机、平板电脑和笔记本电脑上重新输入密钥。

PCI DSS v4.0.1 要求 2.3.2 将其变成了一项强制性合规义务。它涵盖了连接到持卡人数据环境或传输账户数据的无线环境。每当知情人员离职或不再担任需要该密钥的岗位时，您必须更改无线加密密钥。当怀疑或已知密钥已被泄露时，也必须进行更改。对于人员流动率高的企业而言，严格执行这意味着几乎每周都要重新设置密钥。

IEEE 802.1X 删除了共享秘密机制。它是基于端口的网络访问控制标准。在接入点转发其流量之前，设备必须证明自己的身份。接入点通过 RADIUS 进行询问，RADIUS 是网络设备用于查询身份验证服务器的协议。

EAP-TLS（带有传输层安全的可扩展身份验证协议，RFC 5216）是最强效的响应方式。设备和服务器各自出示一份证书。不存在可以共享、网络钓鱼或写在后台白板上的密码。

然后，身份信息会决定 VLAN（虚拟局域网，一种逻辑上独立的网络网段）。RADIUS 使用 RFC 3580 中定义的隧道属性为每台设备返回一个 VLAN。财务部门的笔记本电脑和厨房的平板电脑可以加入同一个 SSID，但划分到不同的网段。

这在 Purple Access 上的应用定位

Purple Access 在同一个平台上运行三个网络：

• Open： Captive Portal，即设备在获取网络访问权限之前看到的网页。在此迁移过程中，它负责个人手机的入网。
• Secure： EAP-TLS、身份提供商集成、Passpoint 和云 RADIUS。员工的笔记本电脑、平板电脑和手机最终都会分配到这里。
• xPSK： 为每台设备分配独立的密钥，根据您的供应商不同，被称为 iPSK 或 PPSK。所有无法保存证书的设备最终都会分配到这里。

访客 WiFi 保持在其独立的网络上，不属于本项目的范围。访客网络安全：2026 年实用指南 涵盖了这方面内容。在这些网络中的任何一个上进行 DNS 过滤均属于 Shield 的功能。如需了解更广泛的信息，请参阅我们的 WiFi security 核心指南。

凭据模型对比

PEAP-MSCHAPv2（包含用户名和密码受保护的 EAP）是常见的折中方案，因此包含在本对比中。

凭据模型	各设备提供的凭据	离职员工可带走的内容	撤销单个人员或设备	对 PCI DSS 2.3.2 密钥更改的影响	适用场景
共享 PSK	所有人统一使用一个密码	所有星点的密钥	重新配置该 SSID 上的所有设备	每次离职人员知晓密钥时，均需为所有人更换密钥	无 WiFi 刷卡数据传输的单个小型站点
PEAP-MSCHAPv2	个人用户名和密码	自己的密码（直到账号被禁用）	禁用该账号	无共享密钥，但如果未验证服务器证书，密码可能被截获	尚未建立证书颁发机构的企业园区
EAP-TLS	每台设备或每个人独立证书	证书被撤销后无任何可用内容	撤销该证书或禁用该身份	无需更换共享密钥	受控笔记本电脑、平板电脑、手持终端及已入网的手机
xPSK	每台设备独立唯一密钥	仅限其个人输入的设备密钥	删除该设备的密钥	仅更换该离职人员处理过的密钥	收银机、刷卡终端、打印机、CCTV监控、电子标识

将共享 WiFi 密码迁移至 802.1X 前需要准备什么？

您无需购买新的无线接入点。Purple Access 与硬件无关，可以作为云端覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。在启动试点之前，您需要准备好以下六项内容。

1. 按站点划分的设备清单。 从每个站点的控制台导出员工 SSID 的客户端列表，至少涵盖过去 14 天的数据。将每台设备归类至以下三种类型之一：受控设备（已注册至您的 MDM 移动设备管理平台）；个人设备（员工自有的手机）；无头设备（收银机、刷卡终端、打印机、摄像头以及其他没有证书存储库的设备）。
2. 分组清晰的身份提供商。 使用 Microsoft Entra ID、Okta 或 Google Workspace。每个需要独立网络隔离的分组都会对应一条 VLAN 规则。Okta WiFi 认证：配置步骤、选项与排错指南 详细介绍了 Okta 端的操作。
3. 您的 MDM 可以发起请求的证书颁发机构。 Microsoft Intune、Jamf Pro 以及大多数其他 MDM 都会通过 SCEP（简单证书注册协议）或 PKCS 配置文件颁发证书。现在需要确定证书是用于识别设备还是识别个人。共享使用的平板电脑和手持终端需要配置设备证书。
4. 应用至每个站点的 VLAN 规划。 典型的规划包含五个网络隔离区：员工网络、受控企业设备、支付设备、其他无头设备以及受限的旧版网络。请确认通往每个无线接入点的交换机 Trunk 链路均已承载上述各个 VLAN。
5. 将 Purple Access 设置为安全 SSID 的 RADIUS 服务器。如果您的设备厂商使用 RADIUS 来管理单设备密钥，请同样将 xPSK 网络指向它。使用云端 RADIUS 意味着无需在各个站点安装、打补丁或部署集群。
6. 每个场所指定一名负责人。 您需要有人能够识别库存中的未知设备并批准关闭该网络。

如何在无需停机过渡周末的情况下将员工 WiFi 迁移至 802.1X？

三大原则帮助免去停机过渡周末。在旧网络旁构建新网络。按设备类型而非按场所迁移设备。根据身份验证日志的凭据，逐个场所关闭旧网络。

能否在迁移期间同时运行两个 SSID？

是的，而且您应该在整个项目期间同时运行它们。真正的焦点在于无线空口时间。每个广播 SSID 都会在每个射频上增加信标帧，因此包括 Cisco Meraki 在内的供应商设计指南都建议保持较低的 SSID 数量。

最整洁的解决方案是将现有旧版 SSID 转换为 xPSK 网络。保留其名称和安全模式。将旧的共享密码添加为每个设备密钥列表中的一个密钥，并映射到受限的旧版 VLAN。知道旧密码的设备可以在无感知的情况下重新连接。您迁移的每个设备都会获得自己的专属密钥。

当某个场所的旧版密钥不再有关联设备时，直接将其删除。此时共享密码即被禁用，且从未出现过新的 SSID。您的最终状态是三个 SSID：访客、安全员工网络和 xPSK。

首先在一个场所对此进行测试。一些供应商的单设备密钥功能是在 WPA2-Personal 而非 WPA3-SAE 上运行的，因此请检查供应商的文档。如果您的平台无法将旧密码保留为一个密钥，请在迁移期间运行四个 SSID，并在关闭时删除旧版 SSID。

阶段 1：一次构建，全网应用

配置一次安全 SSID 和 xPSK 网络，然后通过模板应用到每个场所。在托管设备群支持的情况下使用 WPA3-Enterprise，否则使用 WPA2/WPA3 过渡模式。

供应商	控制台	安全 SSID 设置	每设备密钥功能	应用至多场所的方式
Cisco Meraki	Meraki Dashboard	使用我的 RADIUS 服务器的 Enterprise	Identity PSK (iPSK)	配置模板
HPE Aruba	Aruba Central	Enterprise 安全级别	MPSK	组
Ruckus	SmartZone 或 RUCKUS One	802.1X EAP 身份验证	Dynamic PSK (DPSK)	区域或场所
Juniper Mist	Mist portal	Enterprise (802.1X) WLAN 安全	Multi PSK	WLAN 模板
Ubiquiti UniFi	UniFi Network	带有 RADIUS 配置文件的 WPA Enterprise	Private Pre-Shared Keys	逐场所的场所设置

固件版本之间的标签名称可能会有变化，请参阅供应商文档获取当前路径。更多配置操作指南请参见我们的 Access guides。

阶段 2：在两到三个代表性场所进行试点

选择不同的场所：一个大型场所、一个小型场所和一个拥有特殊交换机型号的场所。先在这些场所端到端地运行后续的每个阶段。试点旨在发现未传输 VLAN 的 Trunk 端口、仅支持 WPA2 的收银机以及安装顺序错误的 MDM 配置文件。

阶段 3：通过 MDM 将证书推送到托管设备

受管设备迁移速度最快，因为 MDM 可以同时覆盖每个站点。按顺序部署三个配置文件：受信任的根证书、设备证书，然后是 WiFi 配置文件。如果引用的证书缺失，大多数 MDM 会在部署 WiFi 配置文件时失败。

WiFi 配置文件指定安全 SSID，设置 EAP-TLS 并固定 RADIUS 服务器的证书名称和根证书。设备在安全 SSID 上完成认证后，推送一个删除旧网络的配置文件。否则，设备可能会飘移回其已经信任的旧 SSID。

阶段 4：将个人手机接入同一个 SSID

员工加入开放网络，通常是通过扫描张贴在后勤办公室的二维码。他们使用工作身份登录 Captive Portal 并接收安全网络配置文件。我们的 Captive portals 专栏涵盖了 Portal 门户的设计。

Passpoint (Hotspot 2.0) 配置文件对多站点分支机构帮助最大。Passpoint 允许手机通过凭据而非 SSID 名称来发现并加入网络。这样一次入网即可在每个站点通用。将个人手机映射到仅限访问互联网的员工 VLAN，远离支付和后勤网络段。按区域分批进行入网，以便服务台获得稳定的请求流，而不是面临突发峰值。

阶段 5：将所有无法保存证书的设备迁移到其专属密钥

为每个无头设备提供唯一的密钥，并按分类将密钥映射到 VLAN。刷卡终端划分至支付网络段，摄像头划分至摄像头网络段。记录设备、MAC 地址、站点、密钥以及录入人员。

打印机和摄像头录像机通常拥有 Web 界面，您可以远程重新设置密钥。收银机和终端可能需要供应商的管理平台或现场服务。PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist 详细涵盖了这一阶段。

多站点 802.1X 部署需要多长时间？

请将以下工期作为在试点中测试的规划假设，而非绝对基准。无头设备决定了整体进度，因为它们是唯一可能需要现场人工干预的类别。

阶段	执行内容	范围	规划工期
0. 准备阶段	资产盘点、身份组、VLAN 规划、证书颁发机构	整个机构，不更改设备	2 - 3 周
1. 构建阶段	在模板中构建安全 SSID 和 xPSK 网络	整个机构	1 周
2. 试点阶段	端到端测试每个阶段	2 - 3 个站点	3 - 4 周
3. 受管设备	MDM 推送证书和 WiFi 配置文件	所有站点同时进行	2 周（未完成设备额外加 2 周）
4. 个人手机	通过开放网络入网	每波 20 - 30 个站点	每波 2 周
5. 无头设备	每个设备分配唯一密钥	远程或现场服务	每个站点半天，并行推进
6. 停用阶段	删除旧密钥	按站点进行	每个站点至少观察 14 个正常无误的天数

阶段 3、4 和 5 会存在重叠。基于这些假设，50 个星点的部署计划为 10 到 14 周，200 个站点为 20 到 26 周。

实操案例：使用 Cisco Meraki 的 64 家连锁酒店集团

示例数据。每家酒店在大约 40 台设备上共享一个员工密钥。其中包括 22 台托管设备、6 台个人手机和 12 台无界面设备：刷卡机、收据打印机和电子标牌播放器。外包保洁人员也知道该密钥，因此每次外包人员轮换都会触发 PCI DSS 2.3.2 离职者合规条件。

团队将旧版 SSID 转换为 iPSK，并将旧密码保留为受限 VLAN 上的一个密钥。他们在配置模板中创建了 Enterprise SSID。试点后的第三周，Intune 向所有 1,408 台托管设备推送了证书。值班经理按区域逐步引导 384 台个人手机入网。工程师在计划维护期间为 768 台无界面设备重新配置了密钥。

结果：到第 9 周，旧版密钥仅用于无界面设备。最后一家酒店在第 16 周删除了该密钥，期间没有发生割接断网。现在员工离职只需禁用一个账号，而无需为 64 家酒店的 2,560 台设备重新配置密钥。

实操案例：使用 Juniper Mist 的 180 家门店零售商

示例数据。每家门店在共享密钥上运行 27 台设备：12 台手持扫描枪、3 台后勤 PC、4 台标签打印机、6 台摄像头和 2 台经理手机。由于没人能在同一天覆盖所有门店，员工离职后的密钥重置工作此前一直处于停滞状态。

扫描枪和 PC 通过 MDM 迁移到 EAP-TLS，共计 2,700 台设备。打印机和摄像头迁移到 Multi PSK，1,800 个唯一密钥映射到两个 VLAN。门店分 6 批进行迁移，每批 30 家。试点期间发现一种门店规格的交换机没有为摄像头 VLAN 设置 Trunk。团队在第一批迁移前修复了该模板。

结果：到第 22 周，所有 180 家门店的每店旧版设备计数均降至零。目前整个企业网络中已不存在任何共享的员工密钥。

如何按站点逐步验证迁移是否成功？

在试点中验证每个阶段

在规模化推广前，对每个试点站点运行四项测试：

• 关联测试： 全新的托管设备、已入网的手机和重新配置密钥的收银机均能首次连接成功。
• VLAN 测试： 每台设备都落入其身份或密钥所指定的网段。
• 漫游测试： 手持设备在 AP 之间移动时保持会话不断开。
• 离职者测试： 禁用一个测试身份并吊销其证书，然后确认下一次认证被拒绝。

通过认证日志测量每个星点的进度

每周根据认证日志和控制器的客户端列表报告每个星点的三个数据：

1. 在安全 SSID 上使用 EAP-TLS 进行认证的设备数。
2. 使用独立 xPSK 密钥的设备数。
3. 仍在使用旧版密钥的设备数。

进度计算公式为：前两类设备数量之和除以过去 14 天内出现的所有独立员工设备总数。按遗留密钥设备数量排序各个站点，并将改进精力集中在数量最多的站点。按身份（而非 MAC 地址）统计个人手机数量。iOS 和 Android 会针对每个网络随机化 MAC 地址，因此一部手机可能会被识别为两部。

何时关闭共享密码？

当某个站点同时满足以下所有四个条件时，即可删除遗留密钥：

• 遗留密钥设备数量连续 14 天为零，覆盖两个完整的轮班周期。
• 资产清单上的每台无头设备都拥有独立密钥。
• 该站点的服务台工单量已恢复至基线水平。
• 站点负责人已签字确认。

记录该日期。从此时起，不再存在需要您按照 2.3.2 规则进行更改的共享密钥。您的密钥登记簿和认证日志将成为符合该项要求的凭证。如果后续发现了遗漏的设备，为其分配专属密钥即可。绝对不要恢复共享密钥。

多站点 802.1X 部署中会出现哪些问题？如何解决？

设备自动连回遗留 SSID

设备会记住这两个网络，并可能优先连接旧网络。在安全 SSID 正常工作后，通过 MDM 配置文件移除遗留网络。对于个人手机，请在入网指引中包含“忽略旧网络”步骤。

设备连接时未校验服务器

跳过服务器证书校验的 WiFi 配置文件会信任广播相同 SSID 的伪造接入点。在每个配置文件中固定受信任根证书和 RADIUS 服务器名称。

客户端已通过认证但未获取到 IP 地址

RADIUS 分配了交换机 Trunk 未透传的 VLAN。在试点期间审计每种交换机型号的 Trunk 设置，然后统一修改模板，而非单独修复单个站点。

Windows 笔记本电脑在 PEAP 上失败

Microsoft 文档指出，Windows Defender Credential Guard 会阻止使用保存的凭据进行 MSCHAPv2 单点登录。将这些笔记本电脑迁移至 EAP-TLS 可消除对密码的依赖。

全公司证书同时过期

通过一次推送颁发的证书会在同一周过期。请在证书过期前很久就在 MDM 中设置自动续订；如果您的证书颁发机构支持，可以分批错开初始推送。

SSID 过多导致所有网络变慢

同时运行访客、遗留、安全和 xPSK SSID 会增加每个射频上的信标开销。如上所述，将遗留 SSID 转换为 xPSK 网络，以将 SSID 总数控制在三个以内。

802.1X 迁移成本如何？能带来什么收益？

成本主要是许可和人力，而非硬件。您需要为 Purple Access 付费，加上 MDM 配置文件配置工作、针对无头设备的现场服务以及入网高峰期的服务台支持时间。接入点、交换机和控制器保持原样即可。

收益体现在您无需再做的繁琐工作上。在零售场景中，在全公司范围内更换一次共享密钥意味着需要在 4,860 台设备上重新输入密码。假设每台设备耗时三分钟，每次更换就需要耗费 243 个小时的员工时间。迁移完成后，员工离职只需禁用其个人身份，并更改该员工曾输入过的设备密钥即可。

您还将获得一份身份验证日志，记录哪个身份或密钥何时接入了哪个站点。该日志是满足 PCI-DSS 2.3.2 以及 ISO 27001 附录 A 控制项 5.18 访问权限审查要求的证据。Purple 拥有 ISO 27001 和 Cyber Essentials 认证，并在超过 80,000 个实时场所保持 99.999% 的正常运行时间。当 RADIUS 决定员工能否正常工作时，这种正常运行时间至关重要。

常见问题解答

我们需要新的接入点来将员工 WiFi 迁移到 802.1X 吗？

不需要。802.1X 和单设备密钥可以运行在您现有的接入点上。Purple Access 独立于硬件，可作为云端覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。您只需配置一个指向 Purple 云端 RADIUS 的 Enterprise SSID，并利用网络厂商的自身功能配置一个单设备密钥网络。唯一需要进行的物理检查是确保每个交换机 Trunk 都承载了新的 VLAN。

我们能否同时运行共享密码 SSID 和 802.1X SSID？

可以，而且应该这样做，因为同时运行两者可以免去周末加班割接的麻烦。在平台支持的情况下，可将旧版 SSID 转换为 xPSK 网络。将旧密码保留为受限 VLAN 上的一个密钥，以便设备在迁移过程中继续工作。当某个站点的身份验证日志显示连续 14 天没有设备使用该密钥时，即可在该站点删除该密钥。

不支持 802.1X 的设备会怎样？

它们会迁移到 xPSK 网络，每个设备都拥有自己的密钥。收银机、刷卡机、打印机、摄像头和电子标牌播放器很少持有证书，但几乎都支持 WPA2 密码短语。每个密钥都会映射到其设备类型对应的 VLAN，因此您可以撤销单个设备而不会影响任何其他设备。请保留一份关于谁输入了每个密钥的记录，因为 PCI-DSS 2.3.2 仍然适用于离职人员所知晓的密钥。

多站点 802.1X 迁移需要多长时间？

对于 50 个站点，建议规划 10 到 14 周；对于 200 个站点，建议规划 20 到 26 周，然后在试点项目中验证这些假设。受管设备的迁移速度最快，因为 MDM 可以同时推送到每个站点。无头设备（Headless devices）决定了整体进度，因为有些设备需要现场服务。在关闭共享密码之前，每个站点都需要在身份验证日志中保持至少 14 天的无异常记录。

802.1X 能让我们的员工 WiFi 符合 PCI-DSS 标准吗？

没有单一的控制措施能做到这一点，您的评估师会做出判断。EAP-TLS 和单设备密钥可为您提供符合 PCI-DSS v4.0.1 中要求 2.3.2 的证据。一旦不存在共享密钥，员工离职就不再需要更改全网密钥。身份验证日志会显示哪个身份或密钥何时接入了哪个站点，这也为 ISO 27001 项下的访问权限审查提供了支持。

我们应该使用带有密码的 PEAP 而不是证书吗？

尽一切可能使用 EAP-TLS。PEAP-MSCHAPv2 虽然去除了共享密钥，但仍然依赖密码。如果设备未验证服务器证书，这些密码就可能被截获。Microsoft 也记录了 Windows Defender Credential Guard 会阻止使用保存的凭据进行 MSCHAPv2 单点登录。这会导致许多托管的 Windows 笔记本电脑上基于密码的 WiFi 无法正常工作。通过 MDM 推送的证书可以避免这两个问题，且无需员工进行任何操作。

我们是否需要用于 802.1X 的本地 RADIUS 服务器？

不需要。Purple Access 提供云端 RADIUS，因此无需在每个场所安装、补丁更新或实施容灾保护。您的无线接入点会将身份验证请求发送至 Purple。Purple 会检查证书或密钥，应用来自 Microsoft Entra ID、Okta 或 Google Workspace 的身份规则，并返回 VLAN。Purple 保持 99.999% 的正常运行时间，并拥有 ISO 27001 和 Cyber Essentials 认证。

员工可以在同一个 802.1X SSID 上使用个人手机吗？

可以，前提是您的策略允许。员工加入开放网络，在 Captive Portal 上使用工作身份登录，并接收安全网络配置文件。随后，Passpoint 配置文件会自动将手机连接到园区内每个场所的网络。您可以将个人手机映射到仅限访问互联网的员工 VLAN，使其远离支付和后勤办公网络段。请在试点测试中确认您的离职流程能够正常撤销其访问权限。