为受管理的设备设置网络（Wi-Fi、以太网、VPN、移动网络）

要为您的 Chromebook 设置网络，请改为参阅这篇文章。

如果 ChromeOS 设备采用 Marvell Wi-Fi 芯片组，则不支持 WPA3。

支持此功能的版本：“Frontline Starter”和“Frontline Standard”；商务新手版、商务标准版和商务 Plus 版；企业标准版和企业 Plus 版；教育基础版、教育标准版、教与学升级版、教育 Plus 版和教育端点管理升级；Essentials、Enterprise Essentials和Enterprise Essentials Plus；G Suite 基本版和 G Suite 商务版；Cloud Identity 免费版和 Cloud Identity 专业版。 比较您的版本

作为管理员，您可以配置受管理的移动设备、ChromeOS 设备和 Google 会议室设备在单位或学校使用的网络。您可以控制 Wi-Fi、以太网和虚拟专用网 (VPN) 的访问权限，及设置网络证书。

添加网络配置时，您既可以对整个组织应用统一的网络设置，也可以针对不同的组织部门强制实施特定网络设置。

支持网络配置的设备平台

网络类型	支持的平台
WLAN	Android 和 iOS。需满足以下条件： 高级移动设备管理 多个 802.1x Wi-Fi 网络需要使用 Android 4.3 或更高版本。 iOS 支持以下可扩展身份验证协议 (EAP)：受保护的可扩展身份验证协议 (PEAP)、轻量可扩展身份验证协议 (LEAP)、传输层安全协议 (TLS) 和隧道传输层安全协议 (TTLS)。 ChromeOS 设备（按用户或按设备） Google 会议室设备
以太网	ChromeOS 设备（按用户或按设备） Google 会议室设备
VPN	受管理的 ChromeOS 设备

有关网络配置的重要注意事项

• 建议您为组织中的顶级组织部门设置至少一个 Wi-Fi 网络，并将该网络设为自动连接。这样可确保设备进入登录屏幕后即可访问 Wi-Fi 网络。
• 如果您在设置网络时将密码字段留空，那么用户可在自己的设备上设置密码。如果您指定了密码，则系统会在设备上强制使用该密码，且用户无法进行修改。
• 如果您需要在贵组织的 ChromeOS 设备上使用静态 IP 地址，则可以使用 DHCP 服务器上的 IP 地址预留功能。但是，DHCP 不提供身份验证。要在网络上跟踪 ChromeOS 设备的身份，请使用另外的身份验证机制。

展开所有部分   |    收起所有部分

设置网络

准备工作：要通过证书授权机构配置网络，请先添加证书，然后再配置网络。

添加 Wi-Fi 网络配置

您可以为移动设备和 ChromeOS 设备自动添加已配置的 Wi-Fi 网络。

针对移动设备的其他 Wi-Fi 网络要求：

• 对于 Android 设备，只有搭载 Android 4.3 及更高版本的设备才支持其他 802.1x Wi-Fi 网络。
• 受管理 iOS 设备支持以下可扩展的身份验证协议 (EAP)：受保护的可扩展身份验证协议 (PEAP)、轻量可扩展身份验证协议 (LEAP)、传输层安全 (TLS) 和隧道传输层安全 (TTLS)。

注意：移动设备始终会继承用户的 Wi-Fi 网络设置。因此，您只能按组织部门为移动设备配置网络设置。

添加 Wi-Fi 网络

准备工作：如果要将设置应用于部分用户，请将这些用户的帐号归入单独的单位部门。

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 要将设置应用于所有人，请将顶级单位部门保持为已选中状态。否则，请选择某个下级单位部门。
4. 点击创建 Wi-Fi 网络。如果您已设置 Wi-Fi 网络，请点击 Wi-Fi 添加 Wi-Fi。
5. 在平台访问权限部分，选择可使用此网络的设备平台。
6. 在详细信息部分，输入以下内容：
   1. 名称 - Wi-Fi 网络的名称，用于在管理控制台中标识此网络，不必与网络的服务集标识符 (SSID) 相同。
   2. 服务集标识符 (SSID) - Wi-Fi 网络的 SSID（区分大小写）。
   3. （可选）如果不希望此网络广播其 SSID，请选中不广播此 SSID 复选框。
   4. （可选）要在此网络可用时，自动将设备连接到此网络，请选中自动连接复选框。
   5. 安全类型 - 为此网络选择安全类型。

      注意：只有 ChromeOS 设备支持动态 WEP (802.1x)。对于与教育版搭配使用的 Android 平板电脑，您无法在配置学生平板电脑时使用 WPA/WPA2/WPA3 Enterprise (802.1x)，但可在平板电脑注册后进行手动设置。

      后续步骤取决于您所选择的安全类型。

7. （可选）对于 WEP（不安全）和 WPA/WPA2/WPA3 安全类型，请输入网络安全口令。
8. （可选）如果选择 WPA/WPA2/WPA3 Enterprise (802.1x) 或动态 WEP (802.1x)，请为此网络选择一个 EAP，并配置以下选项：
   1. PEAP：
      1. （可选）选择要使用的内部协议。自动选项适用于大多数配置。
      2. （可选）在外部身份部分，输入要向此网络的外部协议提供的用户身份。该身份支持使用用户名变量。
      3. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      4. （可选）输入密码。保存配置后，此值将不再明文可见。
      5. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      6. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到 Wi-Fi 网络。
   2. LEAP：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （可选）输入密码。保存配置后，此值将不再明文可见。
   3. EAP-TLS：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      3. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到 Wi-Fi 网络。
      4. （可选）选择要应用到此网络的 SCEP 配置文件。了解详情
      5. 输入客户端注册网址。
      6. 为颁发者格式或主题格式输入一个或多个值。
         您所指定的每个值都必须与证书中对应的值完全一致；否则，系统不会使用证书。您的服务器应通过 HTML5 keygen 标记提供证书。
   4. EAP-TTLS：
      1. （可选）选择要使用的内部协议。“自动”选项适用于大多数配置。
      2. （可选）在外部身份部分，输入要向此网络的外部协议提供的用户身份。该身份支持使用用户名变量。
      3. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      4. （可选）输入密码。保存配置后，此值将不再明文可见。
      5. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      6. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到 Wi-Fi 网络。
      7. （可选）选择要应用到此网络的 SCEP 配置文件。了解详情
   5. EAP-PWD：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （可选）输入密码。保存配置后，此值将不再明文可见。
9. 配置网络代理设置：
   1. 选择代理类型：
      • 直接连接到互联网 - 允许直接通过互联网访问所有网站，不使用代理服务器。注意：使用教育版的 Android 平板电脑上不支持“直接连接到互联网”。
      • 手动代理配置 - 为所有或部分网域或 IP 地址配置代理服务器：
        1. 选择 HTTP 代理模式。您可以只配置 SOCKS 主机，为所有协议配置同一 HTTP 代理主机，或为每个协议配置不同的 HTTP 代理主机。
        2. 为每个主机输入要使用的服务器主机 IP 地址和端口号。
        3. 要绕过代理服务器（不适用于 iOS 设备流量），不为某些网域或 IP 地址设置代理，请在不配置代理的网域字段中输入这些网域或 IP 地址（以逗号分隔，不留空格）。
           输入网域时，您可以使用通配符。例如，要添加 google.com 的所有变体，请输入 *google.com*。
           请采用 CIDR 格式（如 192.168.0.0/16）指定 IP 范围。不过，系统不支持将通配符和 CIDR 格式组合使用，例如 192.168.1.*/24。 
           按 IP 范围设定的代理绕过规则仅适用于网址中的 IP 地址字面量。
      • 自动代理配置 - 使用代理服务器自动配置 (.pac) 文件确定要使用的代理服务器。输入 PAC 文件网址。
      • 网络代理自动发现 (WPAD) - 允许设备发现要使用的代理。
   2. 如果您使用需进行身份验证的代理，请将这份列表中的所有主机名添加到您的许可名单中。
      注意：ChromeOS 仅支持浏览器流量使用需进行身份验证的代理，而不支持非用户流量或者来自 Android 应用或虚拟机的流量使用此类代理。
10. （可选）在 DNS 设置下，执行以下操作：
    1. 添加静态 DNS 服务器。
       每行请输入一个 IP 地址。如要使用 DHCP 的 DNS 服务器，请将字段留空。
    2. 配置自定义搜索网域。
       每行请输入一个域名。留空可使用 DHCP 中的值。
11. 点击保存。如果您配置了下级单位部门，则或许可以继承或覆盖上级单位部门的设置。

Wi-Fi 部分会显示您所添加的网络配置及其名称、SSID 和已启用的平台。在已启用的平台列，带有蓝色图标的平台已启用此配置，带有灰色图标的平台已停用此配置。您也可以将光标指向每个图标，查看其状态。

设置 Wi-Fi 网络时的其他注意事项

• 设置 Wi-Fi 网络后，如要更改密码，请先设置另一个网络，然后再进行更改，以便用户能够在自己的设备上获取更新后的 Wi-Fi 设置。
• 隐藏的网络可能需要过一段时间才会在 Android 设备上显示。

添加以太网网络配置

准备工作：如果要将设置应用于部分用户，请将这些用户的帐号归入单独的单位部门。

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 要将设置应用于所有人，请将顶级单位部门保持为已选中状态。否则，请选择某个下级单位部门。
4. 点击创建以太网。如果您已设置以太网，请点击以太网 添加以太网。
5. 在平台访问权限部分，选择可使用此网络的设备平台。
6. 在详细信息部分，输入以下内容：
   1. 名称 - 以太网网络名称，用于在管理控制台中标识此网络。
   2. 身份验证 - 选择要使用的身份验证方式，可以选择无或 Enterprise (802.1X)。
7. 如果选择 Enterprise (802.1X)，请选择一个 EAP 并配置以下选项：
   1. PEAP：
      1. （可选）选择要使用的内部协议。自动选项适用于大多数配置。
      2. （可选）在外部身份部分，输入要向此网络的外部协议提供的用户身份。该身份支持使用用户名变量。
      3. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      4. （可选）输入密码。保存配置后，此值将不再明文可见。
      5. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      6. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到以太网。
   2. LEAP：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （可选）输入密码。保存配置后，此值将不再明文可见。
   3. EAP-TLS：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      3. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到以太网。
      4. 输入客户端注册网址。
      5. 为颁发者格式或主题格式输入一个或多个值。
         您所指定的每个值都必须与证书中对应的值完全一致；否则，系统不会使用证书。您的服务器应通过 HTML5 keygen 标记提供证书。
   4. EAP-TTLS：
      1. （可选）选择要使用的内部协议。“自动”选项适用于大多数配置。
      2. （可选）在外部身份部分，输入要向此网络的外部协议提供的用户身份。该身份支持使用用户名变量。
      3. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      4. （可选）输入密码。保存配置后，此值将不再明文可见。
      5. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行）选择服务器证书授权机构。
         注意：对于 Android 13 或更高版本，系统默认证书授权机构和不检查（不安全）不受支持。
      6. （对于 Android 13 或更高版本，必须执行此操作，否则可选择执行，但建议执行）在服务器证书域名后缀匹配部分，输入一个或多个后缀。
         注意：只有当身份验证服务器的证书主体 CommonName 或 SubjectAlternativeName 的 DNS 名称与您指定的某个后缀匹配时，设备才会连接到以太网。
   5. EAP-PWD：
      1. 在用户名部分，输入用于管理此网络的用户名。该用户名支持使用用户名变量。
      2. （可选）输入密码。保存配置后，此值将不再明文可见。
8. 配置网络代理设置：
   1. 选择代理类型：
      • 直接连接到互联网 - 允许直接通过互联网访问所有网站，不使用代理服务器。注意：使用教育版的 Android 平板电脑上不支持“直接连接到互联网”。
      • 手动代理配置 - 为所有或部分网域或 IP 地址配置代理服务器：
        1. 选择 HTTP 代理模式。您可以只配置 SOCKS 主机，为所有协议配置同一 HTTP 代理主机，或为每个协议配置不同的 HTTP 代理主机。
        2. 为每个主机输入要使用的服务器主机 IP 地址和端口号。
        3. 要绕过代理服务器（不适用于 iOS 设备流量），不为某些网域或 IP 地址设置代理，请在不配置代理的网域字段中输入这些网域或 IP 地址（以逗号分隔，不留空格）。您可以使用通配符。例如，要添加 google.com 的所有变体，请输入 *google.com*。
      • 自动代理配置 - 使用代理服务器自动配置 (.pac) 文件确定要使用的代理服务器。输入 PAC 文件网址。
      • 网络代理自动发现 (WPAD) - 允许设备发现要使用的代理。
   2. 如果您使用需进行身份验证的代理，请将这份列表中的所有主机名添加到许可名单中。
      注意：ChromeOS 仅支持浏览器流量使用需进行身份验证的代理，而不支持非用户流量或者来自 Android 应用或虚拟机的流量使用此类代理。
9. （可选）在 DNS 设置下，执行以下操作：
   1. 添加静态 DNS 服务器。
      每行请输入一个 IP 地址。如要使用 DHCP 的 DNS 服务器，请将字段留空。
   2. 配置自定义搜索网域。
      每行请输入一个域名。留空可使用 DHCP 中的值。
10. 点击保存。如果您配置了下级单位部门，则或许可以继承或覆盖上级单位部门的设置。

以太网部分会显示您所添加的网络配置及其名称、SSID 和已启用的平台。在已启用的平台列，带有蓝色图标的平台已启用此配置，带有灰色图标的平台已停用此配置。您也可以将光标指向每个图标，查看其状态。

注意：由于配置限制，ChromeOS 仅支持一个以太网网络配置文件。

使用第三方 VPN 应用

从 Chrome 网上应用店中下载应用。第三方 VPN 应用的安装与配置方式与其他 Chrome 应用的安全与配置方式相同。有关详情，请参阅为应用设置 Chrome 政策。

添加 VPN 配置

适用于受管理的 ChromeOS 设备和其他运行 ChromeOS 的设备。

准备工作：如果要将设置应用于部分用户，请将这些用户的帐号归入单独的单位部门。

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 要将设置应用于所有人，请将顶级单位部门保持为已选中状态。否则，请选择某个下级单位部门。
4. 点击创建 VPN 网络。
5. 选择可以访问此 VPN 的平台。
6. 输入 VPN 的详细信息：
   1. 名称 - 用于在管理控制台中标识此 VPN 的名称。
   2. 远程主机 - 在“远程主机”字段中输入提供此 VPN 访问权限的服务器的 IP 地址或完整服务器主机名。
   3. （可选）要自动将设备连接到此 VPN，请选中自动连接复选框。
   4. VPN 类型 - 选择 VPN 类型。
      注意：管理控制台仅能推送某些 OpenVPN 配置。例如，它不能为使用传输层安全协议 (TLS) 身份验证的 OpenVPN 网络推送配置。
   5. 如果选择 L2TP over IPsec（预共享密钥）：
      1. 输入连接到 VPN 所需的预共享密钥。保存配置后，此值将不再明文可见。
      2. 输入用于连接到 VPN 的用户名。该用户名支持使用用户名变量。
      3. （可选）输入密码。如果您使用的是用户名变量，请勿输入密码。注意：保存配置后，此值将不再明文可见。
   6. 如果选择 OpenVPN:
      1. （可选）输入连接远程主机所用的端口。
      2. 选择 VPN 流量所用的协议。
      3. 选择对网络连接提供的证书进行身份验证时所要允许的授权机构。
         从您上传的证书中进行选择。
      4. 如果服务器要求使用客户端证书，请选中使用客户端注册网址复选框，然后为颁发者格式或主题格式输入一个或多个值。
         • 这些值必须与证书中的相应值完全一致。
         • 配置服务器，以通过 HTML5 keygen 标记提供证书。
7. 在用户名部分，输入 OpenVPN 用户名（支持使用用户名变量）；如果要求个人用户在登录时提供凭据，请将此字段留空。
8. 在密码部分，输入 OpenVPN 密码；如果要求个人用户在登录时提供凭据，请将此字段留空。
9. 配置网络代理设置：
   1. 选择代理类型：
      • 直接连接到互联网 - 允许直接通过互联网访问所有网站，而无需使用代理服务器。
      • 手动代理配置 - 为所有或部分网域或 IP 地址配置代理服务器：
        1. 选择 HTTP 代理模式。您可以只配置 SOCKS 主机，为所有协议配置同一 HTTP 代理主机，或为每个协议配置不同的 HTTP 代理主机。
        2. 为每个主机输入要使用的服务器主机 IP 地址和端口号。
        3. 要绕过代理服务器（不适用于 iOS 设备流量），不为某些网域或 IP 地址设置代理，请在“不配置代理的网域”字段中输入这些网域或 IP 地址（以逗号分隔，不留空格）。您可以使用通配符。例如，要添加 google.com 的所有变体，请输入 *google.com*。
      • 自动代理配置 - 使用代理服务器自动配置 (.pac) 文件确定要使用的代理服务器。输入 PAC 文件网址。
      • 网络代理自动发现 (WPAD) - 允许设备发现要使用的代理。
10. 点击保存。如果您配置了下级单位部门，则或许可以继承或覆盖上级单位部门的设置。

VPN 部分会显示您所添加的网络配置及其名称、SSID 和已启用的平台。在已启用的平台列，带有蓝色图标的平台已启用此配置，带有灰色图标的平台已停用此配置。您也可以将光标指向每个图标，查看其状态。

添加移动网络

适用于运行 ChromeOS 101 或更高版本的设备。

用户可以在 ChromeOS 设备上使用 eSIM 卡，而不必使用实体 SIM 卡。

准备工作

• 要将该设置应用于部分用户，请将这些用户的账号归入单独的组织部门。
• 注册 ChromeOS 设备
• 向您的移动运营商购买 eSIM 卡流量套餐。
• 与您的移动服务提供商联系，请对方提供激活网址，以便在设置期间在管理控制台中输入。如有需要，请下载您的 ChromeOS 设备列表并将其发送给移动服务提供商。您下载的 CSV 文件包含服务提供商需要的 MEID/IMEI 和 EID 详细信息。如需了解详情，请参阅查看 ChromeOS 设备详细信息。
• 只要原始设备制造商 (OEM) 在 SIM 卡槽中另外提供了塑料 eSIM 卡，即可在搭载 Qualcomm 7C 或 GL-850 平台的 ChromeOS 设备上使用 eSIM 卡。

操作方法

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 要将设置应用于所有人，请将顶级单位部门保持为已选中状态。否则，请选择某个下级单位部门。
4. 点击创建移动网络。
5. 在平台访问权限部分，为 Chromebook（按设备）勾选已启用复选框。
   • 如果您日后取消选中“已启用”复选框，与此配置关联的现有网络将变为非受管网络。使用“重置 eSIM 卡”可从设备中永久移除 eSIM 卡配置文件。了解 ChromeOS 设备详细信息。
6. 在详细信息部分，输入以下内容：
   • 名称：移动网络的名称，用于在管理控制台中标识此网络。
   • 从下列选项中选择一项：
     • SMDP+网址：用于激活设备 eSIM 卡配置文件的 eSIM 卡激活码（SMDP+ 网址）。请使用以下格式：LPA:1$SMDP_SERVER_ADDRESS$OPTIONAL_MATCHING_ID
     • SMDS 网址：用于激活设备 eSIM 卡配置文件的 eSIM 卡激活码（SMDS 网址）。请使用以下格式：LPA:1$SMDS_SERVER_ADDRESS$
7. 点击保存。

提示：保存网络后，您将无法将 SM-DP+ 更改为 SM-DS，反之亦然，也无法更改激活码。

SMDP+URL 政策只会用于激活，而不会用来标识移动网络配置文件本身。激活并配置设备的 eSIM 卡配置文件后，移除配置文件的唯一方法就是重置 eSIM 卡。了解 ChromeOS 设备详细信息。

根据政策配置网络凭据

您可以设定政策，让 Chrome 和 Android 设备使用指定的用户名或身份凭据自动尝试连接到安全网络。举例来说，您可以规定让设备使用已登录用户的用户名或完整电子邮件地址，这样用户只需提供密码即可进行身份验证。

如要在 ChromeOS 设备中使用此功能，在配置 Enterprise (802.1x)、WPA/WPA2/WPA3 Enterprise (802.1x)、Dynamic WEP (802.1x) 或 VPN 时，请在用户名或外部身份框中指定以下任一变量。

在运行 ChromeOS 的设备中配置 802.1x 时，如果“${PASSWORD}”变量已被指定，系统会使用用户当前的登录密码进行身份验证，否则就会提示用户输入登录密码。

输入变量时请严格遵照下表中“变量”列中的文本。例如，输入 ${LOGIN_ID} 即可令系统将此变量替换为实际的值 jsmith。

变量	值	受支持的设备
${LOGIN_ID}	用户的用户名（例如：jsmith）。 注意：在 ChromeOS 设备上，系统只会为“按用户”配置网络设置的网络替换此变量。	Android Chrome（用户和设备）
${LOGIN_EMAIL}	用户的完整电子邮件地址（例如：jsmith@your_domain.com）。 注意：在 ChromeOS 设备上，系统只会为“按用户”配置网络设置的网络替换此变量。	Android Chrome（用户和设备）
${CERT_SAN_EMAIL}	根据颁发者模式或主题模式，与此网络匹配的客户端证书中的首个 rfc822Name Subject Alternate Name 字段。 如果您通过非 Google 登录方式连接到无线网络，则该变量可能与 ${LOGIN_EMAIL} 不同。 Chrome 51 及更高版本支持此变量。	Chrome（用户和设备）
${CERT_SAN_UPN}	根据颁发者模式或主题模式，与此网络匹配的客户端证书中的首个 Microsoft User Principal Name otherName 字段。 Chrome 51 及更高版本支持此变量。	Chrome（用户和设备）
${PASSWORD}	用户的密码（例如：password1234）。	Chrome（用户和设备）
${DEVICE_SERIAL_NUMBER}	设备的序列号。	Chrome（设备）
${DEVICE_ASSET_ID}	管理员为设备分配的资产 ID。	Chrome（设备）

注意：

• ${CERT_SAN_EMAIL} 和 ${CERT_SAN_UPN} 仅读取证书中的 X509v3 Subject Alternate Name。具体来说，这两个变量不会读取“Subject Name”字段中的任何字段。
• 如果客户端证书缺少指定用于替换的字段，则不会发生任何替换，而且文字字符串变量仍会保留在标识字段中。
• 基于证书的替换仅在 Wi-Fi 环境下生效，不适用于 VPN。
• 所有运行 Chrome 68 及更高版本操作系统的设备都可使用“${PASSWORD}”变量自动连接网络并进行身份验证。如果是运行 Chrome 66 和 67 的设备，则只有已注册的设备可使用此变量。

更多网络设置选项

为 ChromeOS 设备设置自动连接

将 ChromeOS 设备自动连接到受管理的网络

您可以将 ChromeOS 设备或运行 ChromeOS 的其他设备配置为自动连接到网络。启用此选项后，ChromeOS 设备只能自动连接到您为组织配置的 Wi-Fi 网络。

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 要将设置应用于所有人，请将顶级单位部门保持为已选中状态。否则，请选择某个下级单位部门。
4. 点击常规设置 自动连接。
5. 选中只允许自动连接到受管理的网络复选框。
6. 点击保存。如果您配置了下级单位部门，则或许可以继承或覆盖上级单位部门的设置。

注意：即使启用了此设置，用户仍然可以通过向自己的设备插入以太网线缆，手动将 ChromeOS 设备连接到不受管理的网络。插入以太网线缆后，无论设备是否已登录受管理的配置文件，它都会自动连接到可用网络。

运行 Chrome 40 及更高版本的设备如何自动连接到 EAP-TLS 网络

将运行 Chrome 40 及更高版本的 ChromeOS 设备连接到某个 EAP-TLS（支持客户端证书的网络）后，ChromeOS 设备将执行以下操作：

• 在某个扩展程序安装客户端证书后，自动连接到 EAP-TLS（支持客户端证书的网络）。
• 首次登录（即使是暂存模式）后，如果存在设备证书和 EAP-TLS 网络，您将再次自动切换到支持证书的网络。
• 如果在管理控制台中配置了任何设备专属的受管理网络（不一定支持证书），则系统会在进入登录屏幕后自动连接到安全性“最高”的受管理网络。

运行 Chrome 40 及更高版本的设备如何自动连接到非 EAP-TLS 网络

如果某个 802.1X 网络不属于 EAP-TLS 网络，且与每位用户都关联了唯一凭据，那么每位用户首次登录设备时，都必须手动连接到此 802.1X 网络。即使您启用自动连接设置并使用变量配置凭据，用户也必须手动完成上述设置。用户首次手动连接到网络后，凭据会存储在设备的配置文件中。下次登录时，设备便会自动连接到网络。

设备如何选择自动连接到哪个网络

适用于 Chrome 72 及更高版本。

如果您启用了自动连接设置，并且有多个网络可供连接，那么您的 ChromeOS 设备会按照以下顺序应用优先级规则，从而选出要连接的网络。如果多个网络符合一项规则，则会根据是否符合下一项规则来判断，以此类推。

1. 技术 - 以太网网络优先于 Wi-Fi，而 Wi-Fi 优先于非移动网络。
2. 首选网络 - 设备会连接到用户设置的首选 Wi-Fi 网络。如需了解详情，请参阅管理 Wi-Fi 网络 > 首选某个网络。
3. 是否受管理 - 政策配置的受管理网络优先于用户/设备配置的不受管理的网络。
4. 安全级别 - 采用 TLS 加密的网络优先于 PSK 加密网络。仅当这两种可用网络均不存在时，设备才会选择开放网络。
5. 用户配置的网络优先于设备配置的网络。

使用代理进行安全搜索

如果您在网络流量中部署代理，则无论“搜索设置”页面的设置如何，您或许都可以为所有搜索启用严格的安全搜索功能。为此，请对代理进行配置，在发送至 Google 的所有搜索请求中附加 safe=strict。但是，此参数不适用于使用 SSL 搜索的搜索。了解如何防止 SSL 搜索绕过您的内容过滤器。

管理网络配置

您可以更改或删除现有的 VPN、Wi-Fi 或以太网网络配置。

1. 登录您的 Google 管理控制台。

   请使用您的管理员帐号（不是以“@gmail.com”结尾的帐号）登录。

2. 在管理控制台中，依次点击“菜单”图标  设备 网络。
3. 选择设置了相关网络配置的组织部门。
4. 点击要更改或删除的网络配置所属的类型。

   此部分包含该网络类型配置的表格，可供搜索。在已启用的平台列，带有蓝色图标的平台已启用此配置，带有灰色图标的平台已停用此配置。您也可以将光标指向每个图标，查看其状态。

5. 要修改现有配置，请点击相应网络并进行更改，然后点击保存。

6. 要移除组织部门的网络配置，请点击相应网络右侧的移除。此选项仅适用于直接添加到组织部门的配置。

   要移除下级组织部门从上级组织部门继承的网络配置，请选择下级组织部门，打开配置进行修改，然后取消选中所有平台。此配置仍会显示在列表中，但不会应用于下级组织部门中的任何设备。
7. 点击保存更改。

后续步骤

要详细了解如何部署适用于 ChromeOS 设备的 Wi-Fi 和网络（包括设置 TLS 或 SSL 内容过滤器），请参阅为 Chrome 设备设置企业网络。

辅助功能：网络管理设置可通过屏幕阅读器查看。了解 Google 无障碍中心和无障碍功能管理员指南。如要报告问题，请前往无障碍功能反馈页面。