企業無線安全需如同纵深防禦體系，在多層面實施防護。核心三大支柱：身分驗證、加密傳輸、存取控制。傳統有線網路的帳號密碼機制 (CHAP/MS-CHAP/EAP-MD5) 在無線環境極易遭竊聽、字典攻擊、中間人攻擊、重放攻擊。IETF/IEEE 聯手廠商推出 IEEE 802.1X 作為無線驗證新標準。

802.1X 無線驗證架構優勢

• 用戶級驗證： 每人獨立 RADIUS 帳號，取代易偽造的 MAC 過濾與靜態 WEP。
• 集中管理： RADIUS 集中帳號/策略，免去各 AP 維護本地資料庫。
• 成熟技術： RADIUS 歷經多年驗證，相容性極佳。
• EAP 協定可擴展： 可選 EAP-TLS (雙向憑證、最高安全)、EAP-TTLS/PEAP (單向憑證、部署輕量)，隨安全需求升級。
• 分層部署： RADIUS 可樹狀擴展，支援大規模企業。
• TCO 更低： 對比獨立 AP 管理模式，總擁有成本更優。

EAP (可擴展驗證協定) 類型選擇指南

進階功能：動態 VLAN 指派與使用者策略

現代 RADIUS (如 Cisco ISE、Aruba ClearPass、FreeRADIUS) 可在驗證成功後，依使用者群組/角色下發：

• 動態 VLAN 指派 (Tunnel-Private-Group-ID)： 不同部門/角色自動進入對應 VLAN，實現「人隨網走」。
• 動態 ACL/防火牆規則 (Filter-ID)： 依角色下發精細存取控制 (如財務僅能存取 ERP、研發可存取 GitLab)。
• QoS 標記： 語音/視訊流量自動標記優先級。

部署關鍵檢查清單

1. 所有 AP 支援 802.1X 並設為 Authenticator 模式。
2. 部署企業級 RADIUS (雙節點高可用)，整合 AD/LDAP 身分來源。
3. 簽發/匯入伺服器憑證 (PEAP/TTLS) 或雙向憑證 (EAP-TLS)。
4. 用戶端裝置推送/手動設定 802.1X 設定檔 (SSID、EAP 類型、憑證信任)。
5. 啟用 RADIUS 記帳與日誌審計，滿足合規需求。
6. 定期演練憑證更新、RADIUS 故障切換、異常帳號鎖定流程。

結語

802.1X + RADIUS + EAP 是企業無線安全的工業標準基石。搭配動態 VLAN/ACL、雙因子驗證 (如 EAP-TLS + 智慧卡)、體質檢查 (NAC/Posture Assessment)，可構建符合零信任原則的無線存取體系。安全非一蹴而成，持續演進才能應對演化威脅。