为细粒度网络访问控制配置 RADIUS 策略

欢迎收听 Purple 技术简报。我是您的主持人。今天我们将深入探讨企业网络架构师和 IT 总监非常关注的一个核心话题：为细粒度网络访问控制配置 RADIUS 策略。 如果您正在管理酒店连锁、零售网络或大型公共场所的基础设施，您一定知道，仅靠一个简单的预共享密钥的时代早已过去。安全性、合规性和用户体验都需要更先进的方法。今天，我们将剖析上下文感知访问的架构，探索实施策略，并讨论如何避免最常见且代价高昂的陷阱。 让我们先从背景说起。我们为什么要谈论 RADIUS 和 802.1X？因为网络边界已经不复存在。企业笔记本电脑、访客智能手机、承包商平板电脑以及海量的 IoT 设备都在连接相同的物理接入点。您需要一种机制来动态隔离这些流量、强制执行合规性，同时仍能提供无缝的用户体验。这正是 RADIUS 策略的用武之地。通过利用 802.1X，您从“谁知道密码”的模型转变为“你是谁、你使用的是什么设备、你的上下文是什么”的模型。这种转变是根本性的。 该架构依赖于三个组件。首先是 客户端 (supplicant) - 即终端用户设备上的客户端软件。其次是 认证器 (authenticator) - 通常是您的无线接入点或交换机。第三是 认证服务器 (authentication server) - 即您的 RADIUS 服务器。当设备连接时，认证器将 EAP 消息传递给 RADIUS 服务器。RADIUS 服务器根据您的身份源（例如 Active Directory、LDAP 或诸如 Entra ID 等云端提供商）检查凭据。 但这里是最关键的部分：配置合理的 RADIUS 服务器不仅会返回简单的“是”或“否”。它还会返回厂商特定属性 - VSA - 告诉网络基础设施如何具体处理该特定会话。其中最强大的应用就是动态 VLAN 分配。 设想一下体育场或大型会议中心等高密度环境。为不同的用户群广播多个 SSID 会产生巨大的信标开销并降低射频性能。您广播的每个 SSID 都会消耗宝贵的空口时间。而使用 RADIUS，您只需广播一个安全的 SSID。当财务经理进行身份验证时，RADIUS 会通知接入点将其流量划分到 VLAN 10。当 POS 终端连接时，它会被划分到 VLAN 20。当承包商进行身份验证时，他们会进入具有受限访问权限的 VLAN 30。这既干净又高效，并且极大地减少了您的受攻击面。 现在，让我们深入技术细节。您将在 RADIUS 强制策略中配置的关键属性包括 Tunnel-Type（设置为 VLAN）、Tunnel-Medium-Type（设置为 802）以及 Tunnel-Private-Group-Id（即您的实际 VLAN ID）。这三个属性在 Access-Accept 消息中一并返回，指示认证器将该会话放入正确的网络段中。 对于认证协议，您有多种选择。EAP-TLS 是黄金标准。它使用客户端证书进行身份验证，从而彻底消除了凭据窃取和密码疲劳的风险。对于您拥有 MDM 平台来自动执行证书配置的公司托管设备来说，这是正确的选择。PEAP-MSCHAPv2 是 BYOD 场景的可靠选择，在这些场景中部署证书是不切实际的 - 它使用服务器证书建立 TLS 隧道，然后在该隧道内传输用户名和密码凭据。请彻底避免使用 LEAP 或 EAP-MD5 等遗留协议；它们的加密性很弱，不应在任何现代部署中使用。 让我们谈谈实施。我总是建议采用分阶段的方法。 第一阶段是身份源集成。您的 RADIUS 策略的效果取决于您的底层目录。确保您的 Active Directory 或 Entra ID 组是合乎逻辑的、结构良好的，并直接映射到您预期的网络段。在开始之前审计您的组。删除过期账户，整合重叠的组，并建立清晰的访问层级：高管、员工、承包商、访客和 IoT。对于面向公众的网络，Purple 等平台充当身份提供商，弥补公共访客访问与安全认证框架之间的差距。 第二阶段是策略配置。构建评估多个上下文因素（而不仅仅是凭据）的策略。评估 NAS-IP-Address（即认证器的 IP），以了解请求来自哪个物理位置。评估包含 SSID 名称的 Called-Station-Id，以了解用户正在连接哪个网络。评估一天中的时间。承包商在凌晨两点的访问配置应该与他们在早上九点的访问截然不同。将这些条件分层，以构建真正具有上下文感知能力的策略。 第三阶段是部署。而且我怎么强调都不为过：绝不要在整个企业中同时部署 802.1X 强制实施。从监控模式开始。在监控模式下，身份验证失败会被记录，但仍然允许访问。这让您可以看清配置错误的请求者、证书过期的设备以及不支持 802.1X 的遗留设备。在监控模式下运行两到四周，解决发现的问题，然后开始逐个位置强制执行策略。 现在，让我们谈谈最佳实践以及让团队防不胜防的陷阱。 在 802.1X 环境中，导致灾难性身份验证失败的第一大原因就是证书过期。无论是 RADIUS 服务器证书过期，还是根 CA 证书过期，一旦发生这种情况，所有验证服务器证书的设备都将无法连接。请实施强大的证书生命周期管理。在过期前 90 天、60 天和 30 天设置自动警报。让证书更新成为一项有计划的日常运维任务，而不是应对式的紧急事件。 第二个主要挑战是物联网。许多设备 - 打印机、摄像头、医疗设备、楼宇管理系统 - 根本不支持 802.1X。对于这些设备，您必须使用 MAC 身份验证绕过（即 MAB）。设备的 MAC 地址将被用作其凭据。但请记住这条规则：永远不要信任 MAC。MAC 地址极易被伪造。仅在绝对必要时使用 MAB，并始终将这些设备放入受到严格限制、隔离的 VLAN 中，同时配合严格的 ACL，仅允许这些设备运行所需的特定流量。 第三个陷阱是 supplicant（客户端）配置错误。终端用户设备可能配置为验证服务器证书，但其信任存储中缺少必要的根 CA。这会导致设备拒绝服务器证书并连接失败。解决方法是使用 MDM 将标准化的无线配置文件推送到所有企业设备，确保受信任的是正确的根 CA 并配置了正确的 EAP 方法。 最后，请考虑您的网络路径。认证器与 RADIUS 服务器之间的高延迟会导致 EAP 超时，从而导致连接失败。对于拥有众多分支机构的分布式企业，请确保您的 WAN 架构能够为您的集中式 AAA 服务提供低延迟连接。 让我们来看看投资回报率（ROI）和业务影响。 为什么要付出这么多努力？首先，减少了运维开销。通过动态 VLAN 分配将多个 SSID 合并为一个 802.1X 网络，可以提高无线性能并降低管理复杂度。更少的 SSID 意味着更少的信标开销、更多的可用空口时间以及为用户提供更好的吞吐量。 其次是合规性。如果您从事零售业，严格的网络隔离是 PCI DSS 的要求。如果您从事医疗保健行业，则是 HIPAA 的要求。RADIUS 策略提供了通过合规性审计并避免重大经济处罚所需的、可验证且可审计的控制措施。 第三是用户体验。无缝、安全的身份验证 - 特别是通过 EAP-TLS 或 OpenRoaming - 为重返校园/公司的企业用户和贵宾客户消除了 Captive Portal 的摩擦。在酒店和交通环境中，这直接影响到客户满意度评分和回头率。 现在进入我们的快速问答环节。 问题：‘我们有很多老旧设备。为了简单起见，我们应该坚持使用 WPA2-PSK 吗？’ 答：不。请将支持该协议的设备过渡到 802.1X，并对传统设备使用 MAB，将其放置在隔离的网络段中。单个泄露的 PSK 就会让您的整个网络面临风险。这种折中是不值得的。 问：“Purple 如何融入 RADIUS 部署？” 答：Purple 提供关于认证趋势、会话时长和漫游行为的深度分析，这对于优化您的部署至关重要。此外，作为 OpenRoaming 的身份提供商，它为访客简化了安全访问，而没有传统 Captive Portal 的繁琐。 问：“对于刚刚开始这一旅程的团队来说，最快取得成效的方法是什么？” 答：本周以监控模式部署 RADIUS。您将立即获得对认证环境的可见性，并在强制执行策略之前识别出需要关注的设备和用户。了解是第一步。 总而言之，为细粒度的网络准入控制配置 RADIUS 策略，是对您网络安全、性能和合规态势的一项战略投资。从一个干净、结构良好的身份目录开始。利用动态 VLAN 分配来整合您的 SSID 并优化您的射频环境。优先为企业设备采用基于证书的认证。对物联网设备谨慎且安全地使用 MAB。并且始终分阶段推出，从监控模式开始。 感谢您参加本次 Purple 技术简报。欲了解更详细的指南、实施策略，并探索 Purple 的访客 WiFi 和分析平台如何与您的网络准入控制架构相集成，请访问 purple.ai。