企业网络中的 802.1X 认证详解

企业网络 802.1X 认证详解。Purple WiFi 智能简报。 欢迎阅读。如果您负责跨多场所组织的网络安全 - 无论是酒店集团、零售连锁、体育场馆还是公共部门资产 - 本简报都将为您提供帮助。在接下来的十分钟里，我们将涵盖您需要了解的有关 802.1X 认证的一切：它是什么、其底层工作原理、如何正确部署，以及大多数组织会遇到的陷阱。让我们深入了解。 第一部分：背景及为什么现在这至关重要。 企业 WiFi 的威胁格局已经发生了巨大变化。预共享密钥网络（即每个人都知晓 WiFi 密码的网络）在受监管的环境中已不再适用于员工网络。在 2024 年全面生效的 PCI-DSS 4.0 版本中，处理付款卡数据的组织必须在接触持卡人数据环境的任何网络上实施强访问控制。GDPR 对任何传输个人数据的网络也提出了类似的义务。随着混合办公的普及，员工从数十个地点的托管和非托管设备进行连接，旧的边界模型已不再适用。 802.1X 是解决这一问题的 IEEE 标准。它提供基于端口的网络访问控制 - 意味着设备在通过中央身份源进行身份验证之前，根本无法加入网络。这不仅是一个共享密码，而是一个真实经过验证的身份。这就是根本性的转变。 第二部分：技术深度剖析。 让我们来看看其架构。802.1X 定义了三种角色。申请者（Supplicant） - 即终端设备，如尝试连接的笔记本电脑或智能手机。认证者（Authenticator） - 即无线接入点或网络交换机。以及认证服务器（Authentication Server） - 在几乎所有的企业部署中，这都是一台 RADIUS 服务器。 以下是握手的工作原理。当设备尝试连接到受保护的 SSID 时，接入点会将该设备置于未授权状态。它无法访问网络。接入点向设备发送一个 EAP 请求身份帧。EAP 代表可扩展身份验证协议 - 它是承载实际凭据的框架。设备回应其身份。接入点将此身份封装在 RADIUS Access-Request 数据包中并转发给 RADIUS 服务器。然后 RADIUS 服务器向设备发起挑战 - 具体的挑战取决于您使用的是哪种 EAP 方法。设备回应其凭证。RADIUS 服务器根据您的身份源（Active Directory、LDAP 或云身份提供商）验证这些凭证，并返回 Access-Accept 或 Access-Reject。如果是 Accept，接入点将打开端口，设备获得网络访问权限。如果是 Reject，设备将保持受阻状态。整个交互过程耗时不到一秒。现在，EAP方法的选择是大多数架构师花费时间最多的地方。您有四个主要选项。EAP-TLS是黄金标准。它需要在每个设备上安装客户端证书，这意味着您需要PKI基础设施，但它提供了双向身份验证 - 服务器向客户端证明其身份，客户端也向服务器证明其身份。因为不涉及密码，所以无法通过钓鱼获取凭据。这是完全托管设备群的正确选择。 PEAP - Protected EAP - 是实际应用中部署最广泛的方法。它仅使用服务器证书创建TLS隧道，然后在该隧道内传输用户名和密码凭据。由于不需要客户端证书，它的部署比EAP-TLS简单得多，并且在每个主流操作系统上都得到原生支持。权衡之处在于，它依赖于用户对服务器证书的验证，而实际上他们通常不会这样做。正确的PEAP部署需要锁定客户端配置，使其仅信任您特定的RADIUS服务器证书。 EAP-TTLS与PEAP类似，但在内部身份验证方法上更具灵活性。它在拥有旧设备或非Windows终端的环境中特别有用。EAP-FAST是由Cisco开发的更快速的替代方案，它使用保护访问凭据代替证书，但在新建项目中部署较少。 RADIUS服务器本身也值得关注。两种占主导地位的开源选项是FreeRADIUS（为全球很大比例的企业部署提供支持）和Microsoft NPS（网络策略服务器，包含在Windows Server中并与Active Directory原生集成）。商业选项包括Cisco ISE、Aruba ClearPass和Portnox Cloud，后者提供云原生的RADIUS-as-a-Service模型，完全免去了对本地服务器基础设施的需求。 VLAN分配是配置良好的802.1X部署中功能最强大的特性之一。RADIUS服务器可以在Access-Accept响应中返回VLAN属性，从而动态地将已验证的设备分配到相应的网络段。员工进行身份验证并进入员工VLAN。承包商使用不同的凭据进行身份验证并进入访问受限的隔离VLAN。证书验证失败的设备将被放入隔离VLAN。这就是动态分段，它是一项重大的安全控制措施。 第三部分：实施建议以及要避免的陷阱。 让我为您提供一套行之有效的部署顺序。首先从网络审计开始。在动用任何配置之前，记录每一个需要身份验证的设备。这包括打印机、IP电话、楼宇管理系统、CCTV摄像头 - 任何连接到网络的设备。这些无机头设备没有客户端，无法进行802.1X。您需要为它们制定策略，通常是采用具有严格MAC地址白名单的MAC身份验证绕过，并将其放置在隔离的VLAN中。 第二步：建立您的RADIUS基础设施。为了保证弹性和容灾能力，您至少需要一个主RADIUS服务器和一个备RADIUS服务器。配置您的接入点以实现自动故障转移。导致所有员工无法接入网络的RADIUS中断属于P1级事件。不要因为只部署了单台服务器而让这种情况发生。 第三步：如果您要采用EAP-TLS，请部署您的PKI。使用您现有的Active Directory证书服务或云PKI提供商。通过组策略进行自动注册，可以让客户端证书的大规模部署变得易于管理。 第四步：配置您的网络策略。在RADIUS中定义您的身份验证策略 - 哪些用户或设备组分配到哪些VLAN、身份验证失败时如何处理、如何处理访客与员工的流量。这就是您在网络层实施最小权限原则的地方。 第五步：在全面推广前进行试点。选择一个地点、一个楼层、一个SSID。测试每种设备类型。测试故障场景。测试RADIUS服务器不可达时会发生什么。只有在这些测试完成后再进行扩展。 现在来看看那些陷阱。我最常见到的陷阱是PEAP部署中证书验证配置错误。如果您的客户端策略没有强制执行服务器证书验证，您就容易受到流氓AP攻击，即攻击者设置一个虚假的接入点并收集凭据。通过组策略或MDM锁定您的客户端配置文件。 第二个陷阱是在上线日之前忽略了非802.1X设备。如果您没有提前规划，IoT设备、打印机和遗留系统将会破坏您的推广计划。在这种情况下，MAC身份验证绕过是您的好帮手，但它需要在您切换开关之前配置完毕。 第三个陷阱是RADIUS中的单点故障。我曾见过一些企业部署了单个NPS服务器，结果在Windows Update重启期间，其整个员工网络全部瘫痪。请务必部署冗余的RADIUS基础设施。 第四部分：快速问答。 802.1X能与访客WiFi网络协同工作吗？当然可以。您的访客SSID是独立运行的 - 通常使用captive portal方法 - 而您的员工SSID则强制执行802.1X。它们是完全独立的SSID，拥有不同的VLAN。Purple的平台负责处理访客端，并在其上叠加分析和互动工具，而您的802.1X基础设施则负责保障员工端的安全。 802.1X 是否取代了 VPN？没有。802.1X 控制网络准入 - 即谁可以加入网络。而 VPN 则对传输中的流量进行加密，并将企业网络延伸到不受信任的连接上。它们的作用不同，通常结合使用。 对漫游性能有什么影响？在 802.1X 中，设备每次在接入点之间漫游时，都需要重新进行身份验证。对于大多数企业部署来说，这是微不足道的。PMK 缓存和 OKC（机会性密钥缓存）可以显著减少重新身份验证的开销。对于体育馆或会议中心等高密度环境，这值得进行显式配置。 WPA3-Enterprise 是 802.1X 的替代品吗？不是 - WPA3-Enterprise 使用 802.1X 进行身份验证。WPA3 改进了加密层，特别是针对最敏感的部署强制执行 192 位安全模式。802.1X 是底层的身份验证框架。 第五部分：总结和后续步骤。 以下是您应该从本次简报中汲取的要点。802.1X 是企业级企业 WiFi 唯一的身份验证机制。预共享密钥对于受监管的环境是不可接受的。根据您的设备群选择您的 EAP 方法 - 如果您有托管设备和 PKI，请选择 EAP-TLS；如果您需要更广泛的兼容性，请选择 PEAP。在部署之前而不是部署之后，为非 802.1X 设备做好规划。部署冗余的 RADIUS 基础设施 - 单个服务器就是一个单点故障。使用动态 VLAN 分配在身份验证时强制执行网络分段。并在整个园区推广之前进行彻底的试点。 如果您正在构建多站点部署并需要通盘考虑架构，Purple 的技术团队每天都与酒店、零售和公共部门的网络架构师通力合作。通过 802.1X 实现的安全员工 WiFi 与通过 Purple 平台实现的智能访客 WiFi 相结合，为您提供了一个完整的、分段的网络战略，既能满足您的安全义务，又能满足您的访客体验需求。 本次简报到此结束。感谢收听。