跨多據點案場將員工 WiFi 從共用密碼轉移至 802.1X

在共用密碼 SSID 的旁側運行新的 WPA-Enterprise SSID，並分批遷移裝置。受控裝置會從您的 MDM 取得 EAP-TLS 憑證。個人手機則透過 Captive Portal 進行導入。無法持有憑證的裝置會在 xPSK 網路上取得專屬的金鑰。當每個據點的驗證記錄顯示不再有舊版裝置時，即可關閉該據點的共用密碼。

將員工 WiFi 從共用密碼遷移至 802.1X 會帶來哪些改變？

共用的員工密碼是每位同事、每台裝置以及每位離職同事所擁有的單一機密。當有人離職時，他們依然持有該密碼。若要變更密碼，意味著必須在每個據點的每台收銀機、平板電腦與筆記型電腦上重新輸入金鑰。

PCI DSS v4.0.1 規範 2.3.2 將此項要求轉變為強制義務。該規範涵蓋連接至持卡人資料環境或傳輸帳戶資料的無線環境。每當知悉金鑰的人員離職或離開需要該金鑰的職位時，您必須變更無線加密金鑰。當金鑰被懷疑或已知遭洩露時，您也必須進行變更。在人員流動率高的企業中，嚴格執行意味著幾乎每週都要重新設定金鑰。

IEEE 802.1X 存取控制標準消除了共用機密。它是基於連接埠的網路存取控制標準。在基地台轉發其流量之前，裝置必須證明自己的身分。基地台會透過 RADIUS 進行查詢，RADIUS 是網路設備用來查詢驗證伺服器的協定。

EAP-TLS（可擴充驗證協定搭配傳輸層安全性，RFC 5216）是最強大的回應方式。裝置與伺服器各自出示憑證。完全沒有可以共用、網路釣魚或寫在後勤白板上的密碼。

接著由身分決定 VLAN（虛擬區域網路，一種邏輯上獨立的網路區段）。RADIUS 會使用 RFC 3580 定義的通道屬性，為每台裝置傳回對應的 VLAN。財務部的筆記型電腦與廚房的平板電腦可以連線至相同的 SSID，但劃分至不同的網路區段。

這在 Purple Access 上如何運作

Purple Access 在單一平台上運行三個網路：

• Open： Captive Portal，即裝置取得網路存取權限前看到的網頁。在此遷移過程中，它負責導入個人手機。
• Secure： EAP-TLS、身分提供者整合、Passpoint 與雲端 RADIUS。員工筆記型電腦、平板電腦與手機最終都會整合至此處。
• xPSK： 為每台裝置提供獨立的金鑰，依您的設備供應商不同稱為 iPSK 或 PPSK。所有無法持有憑證的裝置最終都會整合至此處。

訪客 WiFi 保持在其獨立的網路中，不屬於本專案範圍。訪客網路安全性：2026 年實用指南 涵蓋了該部分的內容。上述任何網路上的 DNS 過濾皆屬 Shield 的範疇。如需瞭解更全面的資訊，請參閱我們的 WiFi 安全 核心指南。

憑證模式比較

PEAP-MSCHAPv2 (使用使用者名稱與密碼的受保護 EAP) 是常見的過渡方案，因此包含在此比較中。

憑證模型	每台裝置提供之內容	離職者可帶走之內容	撤銷單一員工或裝置	對 PCI DSS 2.3.2 金鑰變更之影響	適用對象
共用 PSK	全員共用一組密碼	每個據點的金鑰	重新設定 SSID 上每台裝置的金鑰	每當知道金鑰的員工離職時，必須為所有人變更金鑰	無 WiFi 刷卡資料的單一小型據點
PEAP-MSCHAPv2	個人使用者名稱與密碼	個人密碼，直到帳號被停用為止	停用該帳號	無共用金鑰，但若未驗證伺服器憑證，密碼可能會被擷取	尚未部署憑證授權單位 (CA) 的企業據點
EAP-TLS	每台裝置或每位員工一張憑證	憑證經撤銷後即無任何可用內容	撤銷該憑證或停用該身分	無共用金鑰需要變更	受控的筆記型電腦、平板電腦、手持設備與已完成 onboarding 的手機
xPSK	每台裝置一組獨特金鑰	僅有其親自輸入的裝置金鑰	刪除該裝置的金鑰	僅需變更該離職者處理過的金鑰	結帳機 (POS)、刷卡機、印表機、閉路電視 (CCTV)、數位看板

將共用 WiFi 密碼轉移至 802.1X 前需要準備什麼？

您不需要購買新的無線存取點。Purple Access 獨立於硬體，可作為雲端重疊層 (overlay) 運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 之上。在進行試點之前，您需要先準備好以下六件事項。

1. 每個據點的裝置清單。 從每個據點的控制台匯出員工 SSID 的用戶端清單，時間範圍至少涵蓋 14 天。將每台裝置歸類為三種類型之一。受控裝置為已註冊至 MDM (行動裝置管理平台) 的裝置；個人裝置為員工自備的手機；無頭裝置 (Headless devices) 則為結帳機、刷卡機、印表機、攝影機以及任何沒有憑證存放區的設備。
2. 具備乾淨群組設定的身分提供者 (IdP)。 使用 Microsoft Entra ID、Okta 或 Google Workspace。每個需要獨立網段的群組都會成為一個 VLAN 規則。Okta WiFi 驗證：設定步驟、選項與修復指南 詳細介紹了 Okta 端的操作。
3. 您的 MDM 可以發出請求的憑證授權單位 (CA)。 Microsoft Intune、Jamf Pro 和大多數其他 MDM 會透過 SCEP (簡單憑證註冊協定) 或 PKCS 設定檔發行憑證。現在即須決定憑證是用於識別裝置還是個人。共用的平板電腦與手持設備需要裝置憑證。
4. 延伸至每個據點的 VLAN 規劃。 典型的規劃包含五個網段：員工、受控企業裝置、支付設備、其他無頭裝置以及受限的舊版網段。請確認連接至每個無線存取點的交換器 Trunk 都有傳送這些 VLAN。
5. 將 Purple Access 設定為安全 SSID 的 RADIUS 伺服器。若您的設備廠商使用 RADIUS 來管理每台裝置的金鑰，請將 xPSK 網路也指向它。使用雲端 RADIUS 代表據點無需安裝、修補或建置叢集。
6. 每個站點指定一名負責人。 您需要有人能夠識別盤點清單上的神秘裝置並批准關閉作業。

您如何在不進行週末斷接切換的情況下，將員工 WiFi 遷移至 802.1X？

三個原則即可免除週末斷接切換。在舊網路旁建置新網路。按裝置類別而非按站點移動裝置。根據驗證記錄的證據，逐一關閉站點。

在遷移期間可以同時運作兩個 SSID 嗎？

可以，而且您應該在整個專案期間同時運作它們。真正的問題在於空中傳輸時間（airtime）。每個廣播的 SSID 都會在每個無線電頻段上增加信標幀（beacon frame），因此包括 Cisco Meraki 在內的設備商設計指南都建議保持較少的 SSID 數量。

最整潔的解決方案是將舊版 SSID 轉換為 xPSK 網路。保留其名稱與安全性模式。將舊的共用密碼新增為每台裝置金鑰清單中的其中一個金鑰，並對應至受限的舊版 VLAN。得知舊密碼的裝置會不知不覺地重新連線。您移動的每台裝置都會取得專屬的金鑰。

當舊版金鑰在某個站點不再有任何裝置使用時，您就可以將其刪除。共用密碼隨即關閉，且完全不需要出現新的 SSID。您的最終狀態是三個 SSID：訪客、安全員工與 xPSK。

請先在一個站點測試此操作。許多設備商會在 WPA2-Personal 而非 WPA3-SAE 上執行每金鑰功能，因此請檢查您設備商的文件。如果您的平台無法將舊密碼保持為單一金鑰，請在遷移期間運作四個 SSID，並在關閉時移除舊版 SSID。

第一階段：一次建置，全區套用

設定安全 SSID 與 xPSK 網路一次，然後透過範本套用至每個站點。在您管理的裝置陣列支援的情況下使用 WPA3-Enterprise，否則使用 WPA2/WPA3 過渡模式。

設備商	控制台	安全 SSID 設定	每裝置金鑰功能	套用至跨站點的方式
Cisco Meraki	Meraki Dashboard	使用我的 RADIUS 伺服器的 Enterprise	Identity PSK (iPSK)	設定範本
HPE Aruba	Aruba Central	Enterprise 安全層級	MPSK	群組
Ruckus	SmartZone 或 RUCKUS One	802.1X EAP 驗證	Dynamic PSK (DPSK)	區域或場館
Juniper Mist	Mist portal	Enterprise (802.1X) WLAN 安全性	Multi PSK	WLAN 範本
Ubiquiti UniFi	UniFi Network	帶有 RADIUS 設定檔的 WPA Enterprise	Private Pre-Shared Keys	各站點的站點設定

標籤名稱可能會因韌體版本而有所不同，因此請依據您的設備商文件以取得最新路徑。更多設定逐步說明請參閱我們的 存取指南。

第二階段：在兩到三個具代表性的站點進行試行

選擇不同的站點：一個大型站點、一個小型站點以及一個配有特殊交換器型號的站點。先在這些站點完整執行後續的每個階段。試行的目的是找出未傳送 VLAN 的中繼埠（trunk）、僅支援 WPA2 的收銀機，以及安裝順序錯誤的 MDM 設定檔。

第三階段：透過 MDM 將憑證推送到受控裝置

受控設備的進度最快，因為 MDM 能同時涵蓋每個據點。請依序部署三個設定檔：信任的根憑證、設備憑證，接著是 WiFi 設定檔。若 WiFi 設定檔所參照的憑證遺失，大多數 MDM 都會部署失敗。

WiFi 設定檔會指定安全 SSID、設定 EAP-TLS，並固定 RADIUS 伺服器的憑證名稱與根憑證。設備在安全 SSID 上完成驗證後，請推播一個移除舊版網路的設定檔。否則設備可能會漂移回其已信任的舊 SSID。

第 4 階段：將個人手機註冊至相同的 SSID

員工加入開放網路，通常是透過掃描張貼在後勤辦公室的 QR code。他們在 Captive Portal 上使用工作身分登入，並接收安全網路設定檔。我們的 Captive Portal 專題涵蓋了 Portal 的設計說明。

Passpoint (Hotspot 2.0) 設定檔對多據點物業的幫助最大。Passpoint 讓手機可以透過憑據而非 SSID 名稱來尋找並加入網路。只要完成一次註冊，就能在每個據點使用。請將個人手機對應至僅限網際網路的員工 VLAN，隔絕於支付與後勤辦公室網段之外。按區域分批執行註冊，讓技術支援中心維持穩定的處理量，避免流量暴增。

第 5 階段：將所有無法持有憑證的設備轉移至專屬金鑰

為每台無介面設備（Headless device）提供唯一的金鑰，並按類別將金鑰對應至 VLAN。刷卡機轉移至支付網段，攝影機則轉移至攝影機網段。請記錄設備、MAC 地址、據點、金鑰以及輸入該資訊的人員。

印表機和攝影機錄影機通常具備可透過遠端重新設定金鑰的 Web 介面。收銀機（POS）和終端機可能需要廠商的管理平台或安排人員現場存取。適用於零售門市設備的 PPSK：Cisco Meraki 與 Juniper Mist 上收銀機、掃描器和 CCTV 的部署檢核表 詳細涵蓋了此階段的內容。

多據點 802.1X 上線部署需要多久時間？

請將以下時程視為可在概念驗證（Pilot）中測試的規劃假設，而非標準基準。無介面設備決定了整體進度，因為它們是唯一可能需要現場人工操作的類別。

階段	執行內容	範圍	規劃時程
0. 準備	資產盤點、身分群組、VLAN 規劃、憑證授權單位	整個物業，無設備變更	2 到 3 週
1. 建置	範本中的安全 SSID 與 xPSK 網路	整個物業	1 週
2. 概念驗證（Pilot）	端到端執行每個階段	2 到 3 個據點	3 到 4 週
3. 受控設備	MDM 推播憑證與 WiFi 設定檔	所有據點同時進行	2 週，另加 2 週處理未完成者
4. 個人手機	透過開放網路進行註冊	每波段 20 到 30 個據點	每波段 2 週
5. 無介面設備	每台設備使用唯一金鑰	遠端或現場存取	每個據點半天，平行執行
6. 停用舊網路	刪除舊版金鑰	按據點執行	每個據點至少觀察 14 天無異常

階段 3、4 和 5 會重疊進行。在這些假設下，50 個據點的預計時程為 10 到 14 週，200 個據點則為 20 到 26 週。

實例情境：採用 Cisco Meraki 的 64 家飯店集團

以下為示範數據。每家飯店約有 40 台裝置共用同一個員工金鑰，包含 22 台受控裝置、六支個人手機以及 12 台無頭裝置（Headless Devices）：刷卡機、收據印表機和數位看板播放器。由於外包清潔人員也知道該金鑰，因此每次外包人員輪調都會觸發 PCI DSS 2.3.2 離職者條款。

團隊將舊版 SSID 轉換為 iPSK，並將舊密碼保留為受限 VLAN 上的一個金鑰。他們在組態範本中建置了 Enterprise SSID。在試行計畫後的第三週，Intune 將憑證推送到所有 1,408 台受控裝置。值班經理按區域為 384 支個人手機辦理註冊。工程師則在預定的維護巡檢期間，為 768 台無頭裝置重新設定金鑰。

結果：到了第九週，舊版金鑰僅剩無頭裝置在使用。最後一家飯店在第 16 週刪除了該金鑰，期間完全沒有經歷過切換斷線夜。現在有人離職時，只需停用單一帳戶，而不需要重新設定 64 家飯店共 2,560 台裝置的金鑰。

實例情境：採用 Juniper Mist 的 180 家門市零售商

以下為示範數據。每家門市有 27 台裝置共用同一個金鑰：12 台手持掃描機、三台後勤辦公室 PC、四台標籤印表機、六支攝影機和兩支經理的手機。由於無法在同一天聯絡到所有門市，員工離職後的重設金鑰工作一度停擺。

掃描機和 PC 透過 MDM 移至 EAP-TLS，總計 2,700 台裝置。印表機和攝影機移至 Multi PSK，將 1,800 個唯一金鑰對映到兩個 VLAN。門市分為六波進行，每波 30 家。試行計畫發現有一種門市規格的交換器沒有將攝影機 VLAN 設定為 Trunk。團隊在第一波實施前修正了範本。

結果：到了第 22 週，所有 180 家門市的單店舊版裝置數量均降至零。現在整個企業環境中都不再存在任何共用的員工金鑰。

您要如何逐一確認每個據點的轉移是否成功？

在試行階段驗證每個步驟

在擴大規模之前，於每個試行據點執行四項測試：

• 連線測試： 全新的受控裝置、已註冊的手機和已重設金鑰的收銀機都能在第一次成功連線。
• VLAN 測試： 每台裝置都能進入其身分或金鑰所設定的正確區段。
• 漫遊測試： 手持裝置在基地台之間移動時能保持連線階段。
• 離職者測試： 停用測試身分並撤銷其憑證，然後確認下一次驗證遭到拒絕。

從驗證紀錄中量化每個據點的進度

每週根據驗證紀錄和控制器端點清單，回報每個據點的三個數據：

1. 在安全 SSID 上使用 EAP-TLS 進行驗證的裝置數量。
2. 使用專屬 xPSK 金鑰的裝置數量。
3. 仍在使用舊版金鑰的裝置數量。

進度為前兩者相加，除以過去 14 天內看到的指定所有員工裝置數量。按舊有金鑰數量對據點進行排序，並優先處理數量最高的據點。依身分識別計算個人手機，而非 MAC 地址。iOS 和 Android 會針對每個網路隨機化 MAC 地址，因此一台手機可能會顯示為兩台。

何時該關閉共享密碼？

當符合以下所有四個條件時，即可刪除該據點的舊有金鑰：

• 舊有金鑰數量已連續 14 天為零，涵蓋兩個完整的輪班週期。
• 清單上的每一台無頭裝置都有自己的專屬金鑰。
• 該據點的服務台工單已恢復到基準線。
• 據點負責人已簽署確認。

記錄該日期。從那時起，就不再存在需要您變更的 2.3.2 共享金鑰。您的金鑰登記冊和驗證記錄將成為符合需求的證明。如果稍後出現遺漏的裝置，請給予其獨立的金鑰。切勿復原共享金鑰。

多據點 802.1X 上線過程中會出現什麼問題？該如何修復？

裝置漂移回舊有 SSID

裝置會記住這兩個網路，且可能會優先選擇舊網路。一旦安全的 SSID 開始正常運作，請透過 MDM 設定檔移除舊有網路。在個人手機上，請在入網說明中包含「忘記舊網路」。

裝置在未驗證伺服器的情況下加入

略過伺服器憑證驗證的 WiFi 設定檔會信任廣播相同 SSID 的偽造基地台。請在每個設定檔中釘選受信任的根憑證和 RADIUS 伺服器名稱。

用戶端已通過驗證但未取得 IP 地址

RADIUS 指派了交換器 Trunk 未傳送的 VLAN。請稽核試點中每個交換器型號的 Trunk，然後修復範本，而非修復單一據點。

Windows 筆記型電腦在 PEAP 上失敗

Microsoft 文件指出，Windows Defender Credential Guard 會封鎖使用已儲存認證進行的 MSCHAPv2 單一登入。將這些筆記型電腦轉移到 EAP-TLS 可消除對密碼的依賴。

憑證在整個園區內同時過期

一次推播發行的憑證將在同一週內過期。請在 MDM 中於過期前儘早設定自動更新，如果您的憑證頒發機構允許，請分階段進行初始推播。

過多的 SSID 會減慢每個網路的速度

同時執行訪客、舊有、安全和 xPSK SSID 會增加每個無線電的信標開銷。如上所述，將舊有 SSID 轉化為 xPSK 網路，以將總數維持在三個。

802.1X 遷移的成本是多少？您可以獲得什麼回報？

成本是授權和人力，而非硬體。您需要支付 Purple Access 的費用，加上 MDM 設定檔工作、無頭裝置的現場存取以及入網高峰期的服務台時間。基地台、交換器和控制器保持原樣。

回報是您不必再做的事。在零售場景中，全園區旋轉一次共享金鑰意味著需要在 4,860 台裝置上重新輸入該金鑰。假設每台裝置需要 3 分鐘，每次旋轉就需要 243 個小時的員工時間。遷移後，員工離職意味著停用一個身分，並變更該人員輸入的所有裝置金鑰。

您還能獲得一份驗證記錄，載明哪個身份或金鑰在什麼時間加入了哪個據點。該記錄可作為 PCI DSS 2.3.2 以及 ISO 27001 附錄 A 控制措施 5.18 存取權限審查的證明。Purple 擁有 ISO 27001 與 Cyber Essentials 認證，並在 80,000 多個實體場域維持 99.999% 的正常運行時間。當 RADIUS 決定員工能否正常工作時，這樣的正常運行時間至關重要。

常見問題

我們需要購買新的無線存取點才能將員工 WiFi 移至 802.1X 嗎？

不需要。802.1X 與單一設備金鑰皆可在您現有的無線存取點上運行。Purple Access 獨立於硬體之外，能以雲端覆蓋（cloud overlay）方式運作於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。您只需設定一個指向 Purple 雲端 RADIUS 的 Enterprise SSID，並利用硬體廠商的原生功能設定單一設備金鑰網路。唯一的實體檢查是確認每個交換器 Trunk 都有傳輸新的 VLAN。

我們可以同時運行共用密碼 SSID 與 802.1X SSID 嗎？

可以，而且強烈建議您這麼做，因為同時運行兩者能消除系統切換過渡期（cutover weekend）的風險。在您的平台支援的情況下，請將舊有的 SSID 轉換為 xPSK 網路。將舊密碼保留為限制性 VLAN 上的一個金鑰，這樣設備在轉移過程中就能保持連線。當某據點的驗證記錄顯示連續 14 天都沒有設備使用該金鑰時，即可在該據點刪除該金鑰。

不支援 802.1X 的設備會怎麼樣？

這些設備會轉移至 xPSK 網路，且每台設備都有各自的金鑰。收銀機、刷卡機、印表機、攝影機和數位看板播放器通常不具備憑證，但幾乎所有設備都支援 WPA2 複雜密碼。每個金鑰都會對應至其設備類別的 VLAN，因此您可以撤銷單一設備而完全不影響其他設備。請保留由誰輸入每個金鑰的登記紀錄，因為 PCI DSS 2.3.2 依然適用於離職人員所知曉的金鑰。

多據點的 802.1X 轉移需要多久時間？

跨 50 個據點建議規劃 10 到 14 週，跨 200 個據點規劃 20 到 26 週，並在試行階段測試這些假設。託管設備的轉移速度最快，因為 MDM 可以一次推送至所有據點。無顯示介面的設備（headless devices）則決定了整體的進度，因為有些需要現場專人處理。在關閉共用密碼之前，每個據點的驗證記錄至少需要維持 14 天的無異狀記錄。

802.1X 是否能讓我們的員工 WiFi 符合 PCI DSS 規範？

沒有單一控制措施可以做到這一點，最終須由您的評估人員進行判定。EAP-TLS 與單一設備金鑰可為 PCI DSS v4.0.1 的 2.3.2 要求提供證明。一旦不再存在共用金鑰，離職人員就不會再迫使整個企業進行全區金鑰更換。驗證記錄會顯示哪個身份或金鑰在什麼時間加入了哪個據點，這也有助於符合 ISO 27001 的存取權限審查要求。

我們應該使用帶有密碼的 PEAP 來代替憑證嗎？

盡可能使用 EAP-TLS。PEAP-MSCHAPv2 雖然移除了共用金鑰，但仍依賴密碼。如果裝置未驗證伺服器憑證，這些密碼就可能被側錄。Microsoft 的官方文件也指出，Windows Defender Credential Guard 會封鎖使用已儲存認證的 MSCHAPv2 單一登入。這會導致許多受管理的 Windows 筆記型電腦無法連接基於密碼的 WiFi。透過 MDM 推送憑證可同時避免這兩個問題，且員工無需進行任何操作。

執行 802.1X 需要地端 RADIUS 伺服器嗎？

不需要。Purple Access 提供雲端 RADIUS，因此無需在每個據點安裝、套用補丁或建立高可用性架構。您的基地台會將驗證請求傳送到 Purple。Purple 會檢查憑證或金鑰，套用來自 Microsoft Entra ID、Okta 或 Google Workspace 的身分規則，並回傳指定的 VLAN。Purple 的運作正常率達 99.999%，且擁有 ISO 27001 和 Cyber Essentials 認證。

員工可以在同一個 802.1X SSID 上使用個人手機嗎？

可以，前提是您的政策允許。員工加入開放網路，在 Captive Portal 上使用工作身分登入，即可收到安全的網路設定檔。接著，Passpoint 設定檔會在全公司範圍內的每個據點自動將手機連線上網。您可以將個人手機對應至僅限網際網路的員工 VLAN，與支付和後勤作業區段進行隔離。請在試行階段測試離職流程是否能正確移除其存取權限。