网络设备策略

Last published : Oct 21, 2026
网络设备策略允许您通过定义以下各项来管理用户如何将其设备连接到 Wi-Fi 网络：
  • 网络名称和类型
  • 身份验证和安全策略
  • 代理服务器使用
  • 其他 Wi-Fi 相关详细信息
要添加或配置此策略，请转至配置 > 设备策略。有关详细信息，请参阅设备策略。
Related information
设备策略

先决条件

在创建策略之前，请完成以下操作：
  • 创建您计划使用的任何交付组。
  • 了解网络名称和类型。
  • 了解您计划使用的任何身份验证或安全类型。
  • 了解您可能需要的任何代理服务器信息。
  • 安装所有必需的 CA 证书。
  • 拥有所有必需的共享密钥。
  • 创建用于基于证书的身份验证的 PKI 实体。
  • 配置凭据提供程序。
有关详细信息，请参阅身份验证及其子文章。

iOS 设置

设备策略配置屏幕
  • 网络类型： 在列表中，选择标准、旧版热点或Hotspot 2.0以设置您计划使用的网络类型。
  • 网络名称： 键入设备可用网络列表中显示的 SSID。不适用于Hotspot 2.0。
  • 隐藏网络： 选择网络是否隐藏。
  • 自动加入此无线网络： 选择设备是否自动加入网络。如果设备已连接到其他网络，则不会加入此网络。用户必须先断开与上一个网络的连接，设备才能自动连接。默认值为开。
  • 禁用强制网络检测： 强制网络助手可帮助用户访问订阅或 Wi-Fi 热点网络。您通常会在咖啡馆、酒店和其他公共场所找到这些网络。如果设置为开，设备仍可连接到强制网络，但用户必须打开浏览器并手动登录。默认值为关。
  • 使用静态 MAC 地址： MAC 地址是设备在网络中传输的唯一标识符。为了提高隐私性，iOS 和 iPadOS 设备每次连接到网络时都可以使用不同的 MAC 地址。如果设置为开，设备在连接到此网络时始终使用相同的 MAC 地址。如果设置为关，设备每次连接到此网络时都会使用不同的 MAC 地址。默认值为关。
  • 安全类型： 在列表中，选择您计划使用的安全类型。不适用于Hotspot 2.0。
    • 无 - 无需进一步配置。
    • WEP
    • WPA/WPA2/WPA3 个人
    • 任意 (Personal)
    • WEP 企业版
    • WPA/WPA2/WPA3 企业版：对于最新版本的 Windows 10，配置简单证书注册协议 (SCEP) 以使用 WPA-2 企业版。Citrix Endpoint Management 随后可以将证书发送到设备以向 Wi-Fi 服务器进行身份验证。要配置 SCEP，请转至设置 > 凭据提供程序的“分发”页面。有关详细信息，请参阅凭据提供程序。
    • 任何 (企业版)
    以下各节列出了您可以为上述每种连接类型配置的选项。
  • 代理服务器设置
    • 代理配置： 在列表中，选择无、手动或自动以设置 VPN 连接如何通过代理服务器路由，然后配置任何其他选项。默认值为无，无需进一步配置。
    • 如果选择手动，请配置以下设置：
      • 主机名或 IP 地址： 键入代理服务器的主机名或 IP 地址。
      • 端口： 键入代理服务器端口号。
      • 用户名： 键入可选用户名以向代理服务器进行身份验证。
      • 密码： 键入可选密码以向代理服务器进行身份验证。
    • 如果选择自动，请配置以下设置：
      • 服务器 URL： 键入定义代理配置的 PAC 文件的 URL。
      • 如果 PAC 不可达，则允许直接连接： 选择当 PAC 文件不可达时是否允许用户直接连接到目标。默认值为开。
  • Fast Lane QoS 标记： 如果您不限制支持 Cisco Fast Lane QoS 的 Wi-Fi 网络的 QoS 标记，则所有应用程序都允许使用 L2 和 L3 标记。如果您限制 QoS 标记，请指定可以使用 L2 和 L3 标记的应用程序。
    • 启用 QoS 标记： 如果您限制 QoS 标记，请使用此设置将其完全禁用或仅标记某些应用程序。如果设置为“关”，则完全禁用 QoS 标记。如果设置为“开”，请配置可使用 QoS 标记的应用程序列表。默认值为“开”。
    • 允许 Apple 音频/视频通话： 选择音频和视频通话应用程序是否可以使用 QoS 标记。如果设置为“关”，视频和音频通话的质量可能会受到影响。
    • 允许特定应用程序： 将应用程序包 ID 添加到此列表，以允许该应用程序使用 QoS 标记。
  • Hotspot 2.0 设置
    • 显示的运营商名称： Hotspot 设备广播的友好名称。用户在其可用 Wi-Fi 网络列表中会看到此名称。
    • 域名： 用于 Hotspot 2.0 协商的域名。
    • 允许连接到漫游合作伙伴网络： 如果设置为“开”，则脱离其家庭网络漫游的设备可以连接到合作伙伴网络。
    • 漫游联盟组织标识符 (OI)： 添加设备可以访问的组织标识符列表。漫游联盟 OI 属于具有共享身份验证方法的组织。如果您配置的 Hotspot 不可用，设备将连接到此处列出的漫游联盟 OI。
    • 网络访问标识符 (NAI) 领域名称： 配置用于向漫游网络识别用户的领域名称列表。NAI 以 user@realm 形式传输。
    • 移动国家/地区代码 (MCC) 和移动网络配置 (MNC)： 移动国家/地区代码由三位数字组成，用于标识网络的国家/地区。移动网络代码由 2 或 3 位唯一数字组成。当它们一起使用时，MCC/MNC 唯一标识移动网络运营商或载波。
  • 策略设置
    • 删除策略： 选择一种计划策略删除的方法。可用选项包括“选择日期”和“删除前持续时间（小时）”
      • 选择日期： 单击日历以选择具体的删除日期。
      • 删除前持续时间（小时）： 键入一个数字（以小时为单位），直到策略删除发生。
    • 允许用户删除策略： 您可以选择用户何时可以从其设备中删除策略。从菜单中选择“始终”、“需要密码”或“从不”。如果选择“需要密码”，请在“删除密码”字段中键入密码。iOS 不可用。

WPA、WPA 个人、任意 (个人) iOS 设置

密码： 键入可选密码。如果将此字段留空，用户登录时可能会被要求输入密码。

WEP 企业、WPA 企业、WPA2 企业、WPA3 企业、任意 (企业) iOS 设置

选择这些安全类型中的任何一种时，EAP 设置将显示在 QoS 设置之后。
重要提示：
如果选择 WPA2 Enterprise 安全类型，则必须至少允许一个 EAP 协议。
  • 允许的 EAP 协议： 启用要支持的 EAP 类型，然后配置相关设置。默认情况下，每个可用 EAP 类型都处于关闭状态。
  • 内部身份验证 (TTLS)： 仅在启用 TTLS 时需要。在列表中，选择要使用的内部身份验证方法。选项包括：PAP、CHAP、MSCHAP 或 MSCHAPv2。默认值为 MSCHAPv2。
  • EAP-FAST with PAC： 选择是否使用受保护的访问凭据 (PAC)。
    • 如果选择使用 PAC，请选择是否使用预配 PAC。
      • 如果选择预配 PAC，请选择是否允许最终用户客户端与 Citrix Endpoint Management 之间进行匿名 TLS 握手。
        • 匿名预配 PAC
  • 身份验证：
    • 用户名： 键入用户名。
    • 每次连接密码： 选择是否要求用户每次登录时都输入密码。
    • 密码： 键入可选密码。如果将此字段留空，用户登录时可能会被要求输入密码。
    • 身份凭据（密钥库或 PKI 凭据）： 在列表中，选择身份凭据的类型。默认值为 无。
    • 外部身份： 仅当您启用 PEAP、TTLS，或 EAP-FAST 时才需要。键入外部可见的用户名。您可以通过键入“匿名”等通用术语来提高安全性，这样用户名就不会可见。
    • 需要 TLS 证书： 选择是否需要 TLS 证书。
  • 信任
    • 受信任的证书： 要添加受信任的证书，请单击“添加”，然后对要添加的每个证书执行以下操作：
      • 应用程序： 在列表中，选择要添加的应用程序。
      • 单击“保存”以保存证书，或单击“取消”。
    • 受信任的服务器证书名称： 要添加受信任的服务器证书通用名称，请单击“添加”，然后对要添加的每个名称执行以下操作：
      • 证书： 键入服务器证书的名称。您可以使用通配符指定名称，例如 wpa.*.example.com。
      • 单击“保存”以保存证书名称，或单击“取消”。
  • 允许信任例外： 选择当证书不受信任时，证书信任对话框是否显示在用户设备上。默认值为 开。

macOS 设置

设备策略配置屏幕
  • 网络： 在列表中，选择您计划使用的网络选项。默认值为 Wi-Fi。
    • 无线局域网
    • 全局以太网
    • 第一个活动以太网
    • 第二个活动以太网
    • 第三个活动以太网
    • 第一个以太网
    • 第二个以太网
    • 第三个以太网
  • 网络类型： 在列表中，选择标准、旧版热点或热点 2.0以设置您计划使用的网络类型。
  • 网络名称： 键入设备可用网络列表中显示的 SSID。不适用于热点 2.0。
  • 隐藏网络： 选择网络是否隐藏。
  • 自动加入此无线网络： 选择是否自动加入网络。如果设备已连接到其他网络，则不会加入此网络。用户必须先断开与上一个网络的连接，设备才能自动连接。默认设置为开。
  • 安全类型： 在列表中，选择您计划使用的安全类型。不适用于热点 2.0。
    • 无 - 无需进一步配置。
    • WEP
    • WPA/WPA2 个人
    • 任意（个人）
    • WEP 企业版
    • WPA/WPA2 企业版
    • 任意（企业版）
    以下各节列出了为上述每种连接类型配置的选项。
  • 优先级： 对于多个网络，键入一个数字以定义网络连接的优先级。设备将首先连接到优先级数字最低的网络。负数是可接受的。默认值为 0。
  • 代理服务器设置
    • 代理配置： 在列表中，选择无、手动或自动以设置 VPN 连接如何通过代理服务器路由，然后配置任何其他选项。默认值为无，无需进一步配置。
    • 如果选择手动，请配置以下设置：
      • 主机名或 IP 地址： 键入代理服务器的主机名或 IP 地址。
      • 端口： 键入代理服务器端口号。
      • 用户名： 键入可选的用户名以向代理服务器进行身份验证。
      • 密码： 键入可选密码以向代理服务器进行身份验证。
    • 如果选择自动，请配置以下设置：
      • 服务器 URL： 键入定义代理配置的 PAC 文件的 URL。
      • 如果 PAC 不可达，则允许直接连接： 选择当 PAC 文件不可达时是否允许用户直接连接到目标。默认值为开。
  • 热点 2.0 设置
    • 显示的运营商名称： 热点设备广播的友好名称。用户在其可用 Wi-Fi 网络列表中看到此名称。
    • 域名： 用于热点 2.0 协商的域名。
    • 允许连接到漫游伙伴网络： 如果为“开”，则脱离其家庭网络漫游的设备可以连接到伙伴网络。
    • 漫游联盟组织标识符 (OI)： 添加设备可以访问的组织标识符列表。漫游联盟 OI 属于具有共享身份验证方法的组织。如果您配置的热点不可用，设备将连接到此处列出的漫游联盟 OI。
    • 网络访问标识符 (NAI) 领域名称： 配置用于向漫游网络识别用户的领域名称列表。NAI 以 user@realm 形式传输。
    • 移动国家/地区代码 (MCC) 和移动网络配置 (MNC)： 移动国家/地区代码由三位数字组成，用于标识网络的国家/地区。移动网络代码由 2 或 3 位唯一数字组成。当它们一起使用时，MCC/MNC 唯一标识移动网络运营商或运营商。
  • 策略设置
    • 删除策略： 选择一种计划策略删除的方法。可用选项包括“选择日期”和“距离删除的持续时间（小时）”
      • 选择日期： 单击日历以选择要删除的具体日期。
      • 距离删除的持续时间（小时）： 键入一个数字（以小时为单位），直到策略删除发生。
    • 允许用户删除策略： 您可以选择用户何时可以从其设备中删除策略。从菜单中选择“始终”、“需要密码”或“从不”。如果选择“需要密码”，请在“删除密码”字段中键入密码。
    • 配置文件范围： 选择此策略是应用于“用户”还是整个“系统”。默认值为“用户”。此选项仅适用于 macOS 10.7 及更高版本。

macOS 的 WPA、WPA 个人版、WPA 2 个人版、任意（个人版）设置

  • 密码： 键入可选密码。如果将此字段留空，用户登录时可能会提示他们输入密码。

WEP 企业版、WPA 企业版、WPA2 企业版、任意 (企业版) 的 macOS 设置

  • 连接模式： 如果为开，请选择用户加入网络时要使用的连接模式。默认值为关。
    • 系统： 如果选中，设备将使用系统凭据对用户进行身份验证。默认情况下未选中。
    • 登录窗口： 如果选中，设备将使用在登录窗口输入的相同凭据对用户进行身份验证。默认情况下未选中。
当您选择这些安全类型中的任何一种时，EAP 设置将显示在QoS 设置之后。
重要提示：
如果您选择 WPA2 企业版安全类型，则必须至少允许一个 EAP 协议。
  • 允许的 EAP 协议： 启用您要支持的 EAP 类型，然后配置相关设置。对于每个可用的 EAP 类型，默认值为关。
  • 内部身份验证 (TTLS)： 仅当您启用 TTLS 时才需要。在列表中，选择要使用的内部身份验证方法。选项包括：PAP、CHAP、MSCHAP 或 MSCHAPv2。默认值为MSCHAPv2。
  • 带 PAC 的 EAP-FAST： 选择是否使用受保护的访问凭据 (PAC)。
    • 如果您选择使用 PAC，请选择是否使用预配 PAC。
      • 如果您选择预配 PAC，请选择是否允许最终用户客户端与 Citrix Endpoint Management 之间进行匿名 TLS 握手。
        • 匿名预配 PAC
  • 身份验证：
    • 使用 Active Directory 身份验证： 选择是否启用 Active Directory 身份验证。适用于 macOS 10.7 及更高版本。要使此选项可用，请完成以下操作：
      • 将 PEAP 设置为 EAP 协议。
      • 将配置文件范围设置为 系统。仅当将策略应用于整个系统时，才能使用此设置选项。
    • 用户名： 键入用户名。
    • 每次连接密码： 选择是否要求用户每次登录时输入密码。
    • 密码： 键入可选密码。如果将此字段留空，用户登录时可能会被要求输入密码。
    • 身份凭据（密钥库或 PKI 凭据）： 在列表中，选择身份凭据的类型。默认值为 无。
    • 外部身份： 仅当您启用 PEAP、TTLS 或 EAP-FAST 时才需要。键入外部可见的用户名。您可以通过键入“匿名”之类的通用术语来提高安全性，从而使用户名不可见。
    • 需要 TLS 证书： 选择是否需要 TLS 证书。
  • 信任
    • 受信任的证书： 要添加受信任的证书，请单击 添加，然后对要添加的每个证书执行以下操作：
      • 应用程序： 在列表中，选择要添加的应用程序。
      • 单击 保存 以保存证书，或单击 取消。
    • 受信任的服务器证书名称： 要添加受信任的服务器证书通用名称，请单击 添加，然后对要添加的每个名称执行以下操作：
      • 证书： 键入要添加的服务器证书的名称。您可以使用通配符指定名称，例如 wpa.*.example.com。
      • 单击 保存 以保存证书名称，或单击 取消。
  • 允许信任例外： 选择当证书不受信任时，是否在用户设备上显示证书信任对话框。默认值为 开。

安卓企业版设置

设备策略配置屏幕
  • 网络名称： 输入用户设备上可用网络列表中的 SSID。
  • 身份验证： 在列表中，选择用于 Wi-Fi 连接的安全类型。
    • 开放
    • 共享
    • WPA
    • WPA-PSK
    • WPA2
    • WPA2-PSK
    • 802.1x EAP
以下各节列出了为上述每种连接类型配置的选项。默认值为开放。

开放式，Android Enterprise 的共享设置

  • 加密： 在列表中，选择已禁用或 WEP。默认值为 WEP。
  • 密码： 输入可选密码。
  • 隐藏网络： 选择网络是否隐藏。

适用于 Android Enterprise 的 WPA、WPA-PSK、WPA2、WPA2-PSK 设置

  • 加密： 在列表中，选择 TKIP 或 AES。默认值为 TKIP。
  • 密码： 键入可选密码。
  • 隐藏网络： 选择网络是否隐藏。

适用于 Android Enterprise 的 802.1x 设置

  • EAP 类型： 在列表中，选择 PEAP、TLS 或 TTLS。默认值为 PEAP。
  • 密码： 键入可选密码。
  • 身份验证阶段 2： 在列表中，选择 无、PAP、MSCHAP、MSCHAPPv2 或 GTC。默认值为 PAP。
  • 身份： 键入可选的用户名和域。
  • 匿名： 键入可选的、外部可见的用户名。您可以通过键入“anonymous”之类的通用术语来提高安全性，这样用户名就不会显示。
  • CA 证书： 在列表中，选择要使用的证书。
  • 域： 键入所需的域名。有关详细信息，请参阅 域。
    注意：
    在运行 Android 13 或更高版本的设备上配置 Wi-Fi 策略时，必须强制更新 CA 证书和 域字段。如果未更新，则配置将失败。
  • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为 无。
  • 隐藏网络： 选择网络是否隐藏。

Android（旧版设备管理员）设置

设备策略配置屏幕
  • 网络名称： 键入用户设备上可用网络列表中的 SSID。
  • 身份验证： 在列表中，选择用于 Wi-Fi 连接的安全类型。
    • 开放
    • 共享（仅限 Android Enterprise）
    • WPA（仅限 安卓企业版）
    • WPA-PSK（仅限 安卓企业版）
    • WPA2
    • WPA2-PSK
    • 802.1x EAP
以下各节列出了为上述每种连接类型配置的选项。

Android 的开放、共享设置

  • 加密： 在列表中，选择禁用或 WEP。默认值为 WEP。
  • 密码： 键入可选密码。
  • 隐藏网络：选择网络是否隐藏。

适用于 Android 的 WPA、WPA-PSK、WPA2、WPA2-PSK 设置

  • 加密：在列表中，选择 TKIP 或 AES。默认值为 TKIP。
  • 密码：键入可选密码。
  • 隐藏网络：选择网络是否隐藏。

适用于 Android 的 802.1x 设置

  • EAP 类型：在列表中，选择 PEAP、TLS 或 TTLS。默认值为 PEAP。
  • 密码：键入可选密码。
  • 身份验证阶段 2：在列表中，选择 无、PAP、MSCHAP、MSCHAPPv2 或 GTC。默认值为 PAP。
  • 身份：键入可选的用户名和域。
  • 匿名：键入可选的、外部可见的用户名。您可以通过键入“anonymous”之类的通用术语来提高安全性，这样用户名就不会显示。
  • CA 证书：在列表中，选择要使用的证书。
  • 身份凭据：在列表中，选择要使用的身份凭据。默认值为 无。
  • 隐藏网络：选择网络是否隐藏。

Windows 桌面/平板电脑设置

设备策略配置屏幕
  • 网络名称： 在可用网络列表中看到的 SSID。
  • 身份验证： 单击下拉列表中要用于 Wi-Fi 连接的安全类型。
    • 开放
    • WPA 个人
    • WPA-2 个人
    • WPA 企业
    • WPA-2 企业：对于最新版本的 Windows 10，请配置 SCEP 以使用 WPA-2 企业版。SCEP 配置使 Citrix Endpoint Management 能够将证书发送到设备以对 Wi-Fi 服务器进行身份验证。要配置 SCEP，请转到设置 > 凭据提供程序的分发页面。有关详细信息，请参阅凭据提供程序。
以下各节列出了为上述每种连接类型配置的选项。

适用于 Windows 10 和 Windows 11 的开放设置

  • 隐藏网络： 选择网络是否隐藏。
  • 自动连接： 选择是否自动连接到网络。

适用于 Windows 10 和 Windows 11 的 WPA 个人、WPA-2 个人设置

  • 加密： 在列表中，选择 AES 或 TKIP 以设置加密类型。默认值为 AES。
  • 共享密钥： 提供所选方法的加密密钥。
  • 隐藏网络：选择是否隐藏网络。
  • 自动连接：选择是否自动连接到网络。

WPA-2 企业版设置适用于 Windows 10 和 Windows 11

  • 加密：在列表中，选择 AES 或 TKIP 以设置加密类型。默认值为 AES。
  • EAP 类型：在列表中，选择 PEAP-MSCHAPv2 或 TLS 以设置 EAP 类型。默认值为 PEAP-MSCHAPv2。
  • 隐藏网络：选择是否隐藏网络。
  • 自动连接：选择是否自动连接到网络。
  • 启用 SCEP？：选择是否使用 SCEP 将证书推送到用户设备。
  • SCEP 凭据提供程序：在列表中，选择 SCEP 凭据提供程序。默认值为 无。