構建企業級安全無線網絡，核心在於「802.1X + RADIUS (IAS/NPS) + PKI (EAP-TLS/PEAP-MSCHAPv2) + AD域認證」的黃金組合。本文為部署系列首篇，聚焦基礎架構拓撲、組件選型與憑證基礎設施規劃。

目標架構：高可用、可擴展、標準化

無線客戶端 (Win10/11, Win2019/2022)
       │  802.1X (EAP-TLS / PEAP-MSCHAPv2)
       ▼
多無線AP (Cisco/Aruba/H3C/Ruckus) ── RADIUS客戶端
       │                                     │
       │          主/備 NPS/IAS 叢集        │
       ▼                                     ▼
Active Directory 域控制器 ←→ 企業PKI (根CA離線 → 策略CA → 簽發CA)

關鍵組件版本基線（2024年生產環境建議）

組件	最低版本	建議版本	關鍵特性
無線客戶端OS	Win10 21H2	Win11 23H2 / Win10 22H2	WPA3-Enterprise、EAP-TLS硬件憑證、TLS 1.3
RADIUS服務器	Win2016	Win2022 Datacenter	NPS高可用叢集、EAP-TLS/PEAP/MSCHAPv2、RADIUS協議擴展
域控制器	Win2016	Win2022	Kerberos AES、DC影子防護、LDAPS強制
PKI簽發CA	Win2016	Win2022 Enterprise	憑證模板V4、自動註冊、CTL/OCSP、CRL分發點高可用
無線AP	Wi-Fi 5 (802.11ac)	Wi-Fi 6E/7 (802.11ax/be)	WPA3、OWE、802.11r/k/v漫遊、RADIUS負載均衡

憑證基礎設施設計決策樹

認證方式選型

方式	客戶端憑證	服務器憑證	CA需求	適用場景
EAP-TLS	機器憑證 + 用戶憑證（或智能卡）	NPS機器憑證	企業PKI（三層離線根）	最高安全、設備預先佈署、智能卡環境
PEAP-MSCHAPv2	無（用戶名/密碼）	NPS機器憑證 + 根CA信任鏈	商業CA或企業PKI	密碼認證、BYOD、快速部署、無客戶端憑證管理
EAP-TEAP	機器憑證（隧道外）+ 用戶憑證/密碼（隧道內）	NPS機器憑證	企業PKI	機器+用戶雙因子、單次認證完成雙驗證、Win10 1709+

PKI拓撲建議：三層離線根架構

離線根CA (Root CA, Offline, HSM保護私鑰)
    │ 簽發 → 離線策略CA (Policy CA, Offline)
    │           │ 簽發 → 企業簽發CA (Issuing CA, Online, Win2022 Ent)
    │           │         ├─ 機器憑證模板 (Computer v4, 自動註冊)
    │           │         ├─ 用戶憑證模板 (User v4, 自動註冊/智能卡)
    │           │         ├─ NPS服務器憑證模板 (Web Server v4 / RAS and IAS Server v4)
    │           │         └─ 域控制器憑證模板 (Domain Controller v4 / Kerberos Authentication)
    │           └─ CRL/OCSP 發布點 (HTTP + LDAP, 多CDP高可用)
    └─ 根CA憑證 → 群策略部署至「受信任的根憑證頒發機構」

關鍵憑證模板配置要點

• 機器憑證：主體名稱=DNS FQDN、SAN=DNS+UPN、EKU=客戶端認證+服務器認證、私鑰可導出=否、模板版本=V4（Win2019+）、自動註冊=啟用。
• 用戶憑證：主體名稱=UPN、SAN=UPN+Email、EKU=客戶端認證+EFS+安全郵件、智能卡登錄=可選、私鑰存儲=CSP/KSP、強私鑰保護=啟用（需PIN）。
• NPS服務器憑證：主體=FQDN、SAN=FQDN+IP、EKU=服務器認證、私鑰可導出=是（備份需求）、模板=RAS and IAS Server v4 或 Web Server v4。

客戶端信任錨部署

• 企業PKI根CA憑證 → 群策略「電腦配置→Windows設置→安全設置→公開金鑰策略→受信任的根憑證頒發機構」部署。
• 商業CA簽發NPS憑證時，確認客戶端OS內置信任該CA根（Win10/11內置主流商業CA根），否須同樣群策略部署商業CA根憑證。

下篇預告

《Windows安全802.11企業級無線部署指南（二）：NPS叢集配置、AP 802.1X/RADIUS對接、無線網絡策略群策略下發、客戶端EAP-TLS/PEAP-MSCHAPv2/TEAP詳細配置、故障排查與日志分析》。