安全访客接入：针对非托管设备实施 NAC

安全访客接入：面向未托管设备部署 NAC。Purple WiFi 智能简报。 引言与背景。 欢迎。如果您负责酒店、零售连锁店、体育场馆或公共部门场所的网络安全，您正在面临一个日益严峻的问题：如何在不为您的企业基础设施敞开大门的情况下，为访客、游客和承包商提供快速、便利的 WiFi 接入？ 这正是我们今天将要探讨的核心。这并非理论上的概述。我们将涵盖架构、部署决策、合规性要求，以及部署成功与失败的真实应用场景。 核心挑战在于：未托管设备。您的访客使用的是个人智能手机、笔记本电脑、平板电脑，以及越来越多的 IoT 设备，这些设备均不受您的控制，没有任何一个安装了您的 MDM 代理，而且如果未进行适当的隔离与身份验证，它们都代表着潜在的安全风险。网络访问控制（即 NAC）是解决这一问题的框架。让我们深入了解。 技术深度解析。 首先，让我们精确定义什么是 NAC。网络访问控制（NAC）是一种在授予访问权限之前，强制执行基于策略的网络资源访问的安全框架。它评估连接者的身份、他们使用的设备，以及该设备是否满足您的安全姿态要求。对于未托管的访客设备，姿态检查必然是轻量级的，但身份和隔离组件至关重要。 该架构分为三个功能层。第一层是身份验证层。对于托管的企业设备，您通常会使用带有 EAP-TLS 的 IEEE 802.1X，其中证书通过 SCEP 由您的 MDM 推送。但对于未托管的访客设备，802.1X 并不实用 - 访客没有证书，您也无法推送它们。因此，访客的身份验证层依赖于 Captive Portal：一个基于 Web 的身份验证页面，它会拦截初始的 HTTP 或 HTTPS 请求，并将用户重定向到登录或注册流程。这就是像 Purple 的访客 WiFi 解决方案这样的平台发挥作用的地方 - 通过社交媒体登录、电子邮件、短信验证或表单注册来捕获身份，并将该身份传递给 NAC 策略引擎。 第二层是策略引擎。这是做出访问决策的地方。NAC 系统会根据您的访问策略评估经过身份验证的身份，并将设备分配到相应的网络段。对于访客，这通常意味着一个专用的、仅限访问互联网且无法路由到您企业子网的访客 VLAN。对于使用已知设备的承包商，您可能会将其分配到限制访问特定内部资源的受限 VLAN。策略引擎还可以强制执行基于时间的访问 - 会议代表在活动期间获得访问权限，酒店访客在其住宿期间获得访问权限。 第三层是执行。这在网络边缘进行处理 - 即您的无线接入点、交换机和防火墙。NAC系统通过 RADIUS（远程用户拨号认证系统协议）与这些设备进行通信。当访客进行身份验证时，RADIUS 服务器会返回一个带有 VLAN 分配属性的 Access-Accept 消息，接入点随后将设备置于正确的 VLAN 中。如果身份验证失败，RADIUS 服务器将返回 Access-Reject，设备将保留在预身份验证隔离 VLAN 中，仅能访问 Captive Portal。 现在，我们来谈谈 WPA3。如果您正在部署或更新您的无线基础设施，WPA3 应该在您的规划蓝图中。WPA3-SAE（对等实体同时验证）取代了 WPA2-PSK，并消除了易受离线字典攻击的漏洞。特别是针对访客网络，WPA3-OWE（机会性无线加密）尤为重要。OWE 无需密码即可提供加密，这意味着访客无需任何额外操作即可获得加密连接。与传统的、以明文传输数据的开放式访客 SSID 相比，这是一项重大的改进。 在我们要讨论的大多数垂直行业中，合规性是不可逾越的红线。如果您经营的酒店设有销售点系统，PCI-DSS 要求在持卡人数据环境与访客网络之间进行严格的网络隔离。该要求非常明确：访客 WiFi 必须位于独立的网络段上，且不指向 PCI 范围的路由。NAC 在网络层强制执行此操作，而您的防火墙策略则在边界处执行。GDPR 增加了另一个维度 - 如果您通过 Captive Portal 收集访客身份数据，您需要获得明确的同意、合法的处理依据以及数据保留政策。Purple 的平台原生处理符合 GDPR 的同意捕获，并具有可配置的保留期和审计追踪。 我们还要解决 MAC 地址随机化的问题，因为这确实是一个运营上的难题。自 iOS 14、Android 10 和 Windows 10 以来，设备默认会针对每个 SSID 随机化其 MAC 地址。这破坏了任何依赖 MAC 地址作为持久标识符的 NAC 策略。正确的应对措施是将您的身份模型转移到已验证的用户，而不是设备 MAC。当访客通过您的 Captive Portal 进行身份验证时，您将他们的会话绑定到其已验证的身份（例如电子邮件、电话号码或社交平台个人资料），而不是他们的 MAC 地址。Purple 的分析平台可以正确处理此问题，即使 MAC 地址发生变化，也能在不同会话之间保持用户级别的身份。对于需要对非托管设备进行更严格设备状态评估的组织，有基于代理和无代理的方法。无代理状态评估使用操作系统指纹识别、开放端口扫描和 HTTP 用户代理分析等技术对设备进行分类并评估基本合规性。这适用于访客网络，在这些网络中，您希望识别设备类型以进行分析，或应用差异化策略 - 例如，阻止已知的物联网设备访问某些服务。基于代理的状态评估要求用户安装临时代理，这适用于承包商或合作伙伴访问场景，但会给临时访客带来不便。 实施建议和常见陷阱。 让我为您介绍在实践中行之有效的部署顺序。在触及 NAC 配置之前，先从网络分段开始。定义您的 VLAN：一个仅能访问 Captive Portal 和 DNS 的预身份验证 VLAN，一个具有互联网访问权限且无内部路由的访客 VLAN，以及一个可选的具有受限内部访问权限的承包商 VLAN。配置好您的防火墙 ACL。这是基础 - 其他一切都构建在其之上。 第二步，部署您的 RADIUS 基础设施。对于大多数中端市场部署，将云托管的 RADIUS 服务与您的 Captive Portal 平台集成是正确的选择。它消除了管理本地 RADIUS 服务器的运营开销，并为您生产环境中的访客网络提供了所需的冗余。确保您的 RADIUS 共享密钥足够强大且定期更换。 第三步，配置您的 Captive Portal。该门户需要能够从预身份验证 VLAN 访问 - 这意味着门户域名的 DNS 解析必须在身份验证之前正常工作。在预身份验证 VLAN 上配置您的 DHCP 作用域，使其指向能够解析门户域名的 DNS 服务器。仔细测试这一点 - DNS 配置错误是 Captive Portal 故障最常见的原因。 第四步，进行端到端的 VLAN 分配测试。连接测试设备，完成身份验证流程，并验证设备是否进入了正确的 VLAN 并应用了正确的访问策略。使用数据包捕获来确认 RADIUS 属性是否正确传递。检查访客 VLAN 是否没有通往您企业子网的路由 - 从访客 VLAN 运行 traceroute 到企业 IP，并确认其失败。现在，我们来看看其中的陷阱。最常见的故障模式是分流隧道配置错误 - 由于配置错误的防火墙规则或缺失的 ACL，访客 VLAN 意外拥有了指向内部资源的路由。在上线前审计您的防火墙规则。第二个常见故障是 RADIUS 超时处理 - 如果您的 RADIUS 服务器无法访问，会发生什么？请确保您的接入点配置为故障关闭（fail-closed），而不是故障开放（fail-open）。故障开放意味着即使 RADIUS 宕机，访客也能获得网络访问权限，这存在安全风险。故障关闭意味着如果 RADIUS 无法访问，则无法访问，这才是安全部署的正确姿态。第三个陷阱是 Captive Portal 上的证书过期。如果您的 Portal 的 TLS 证书过期，访客将看到浏览器安全警告，且您的身份验证率将降至接近于零。使用 Let's Encrypt 或您的证书管理平台实现证书自动更新。 快速问答。 访客网络是否需要 802.1X？不需要。802.1X 适用于受管的公司设备。对于非受管的访客，使用基于 RADIUS 的 VLAN 分配的 Captive Portal 才是正确的架构。 我是否可以对访客和公司设备使用单一 SSID？技术上是可以的，可以通过基于身份验证结果的动态 VLAN 分配来实现。但在运营上，独立的 SSID 更易于管理和审计。请保持它们独立。 如何处理无法完成 Captive Portal 流程的 IoT 设备？对于已预先注册 MAC 地址的已知 IoT 设备，请使用基于 MAC 的身份验证旁路（MAB）。对于未知的 IoT 设备，请将它们放入隔离 VLAN 并进行手动审查。 访客访问的合适会话超时时间是多少？对于酒店行业，请与访客的入住时长保持一致。对于零售行业，通常为两到四个小时。对于活动，请与活动日程保持一致。务必设置空闲超时 - 30分钟无活动是一个合理的默认值。 我应该记录访客流量吗？是的，出于法律和合规性目的。将连接日志（源 IP、时间戳、已验证的身份）保留至少 90 天，如果您的司法管辖区有要求，则保留更长时间。Purple 平台原生提供了此审计追踪。 总结和后续步骤。 归纳一下：针对非受管设备的安全访客访问是一个已解决的问题，但它需要深思熟虑的架构。三大支柱是身份 - 谁在连接；隔离 - 他们可以去哪里；以及执行 - 您如何确保策略得以实施。NAC 将这些联系在一起，并使用 RADIUS 作为您的身份验证平台与您的网络基础设施之间的通信协议。 对于您的后续步骤：如果您还没有这样做，请审计您当前的访客网络隔离。确认从您的访客 VLAN 到您的公司子网没有路由。审查您的 Captive Portal 的 GDPR 同意流程和数据保留配置。如果您正在使用带有开放访客 SSID 的 WPA2，请将 WPA3-OWE 列入您的基础设施更新路线图中。 Purple 的平台与该架构直接集成 - 在您的 NAC 基础设施之上提供 Captive Portal、身份捕获、GDPR 合规层以及分析功能。如果您想了解这如何映射到您的特定场所环境，Purple 团队可以为您演示适用于您的用例的参考架构。 感谢您的收听。以上是关于“安全访客接入：为非托管设备实施 NAC”的 Purple WiFi 简报。