配置 RADIUS 策略以实现细粒度网络访问控制

欢迎阅读 Purple 技术简报。我是您的主持人，今天我们将深入探讨企业网络架构师和 IT 总监关注的一个核心话题：为细粒度网络访问控制配置 RADIUS 策略。 如果您正在管理连锁酒店、零售网络或大型公共场所的基础设施，您一定知道，仅依靠简单预共享密钥的时代早已过去。安全、合规和用户体验需要更先进的方法。今天，我们将拆解上下文感知访问的架构，探索实施策略，并讨论如何避免最常见且代价高昂的陷阱。 让我们先从背景说起。我们为什么要讨论 RADIUS 和 802.1X？因为网络边界已经消失了。您有企业笔记本电脑、访客智能手机、承包商平板电脑，以及大量涌入的 IoT 设备，它们都在接入相同的物理接入点。您需要一种机制来动态细分这些流量，强制执行合规性，同时仍能提供无缝的用户体验。这正是 RADIUS 策略的用武之地。通过利用 802.1X，您将从“谁知道密码”的模式转变为“您是谁、您使用的是什么设备，以及您的上下文是什么？”这种转变是根本性的。 该架构依赖于三个组件。首先是 客户端 (supplicant) - 即终端用户设备上的软件客户端。其次是 认证器 - 通常是您的无线接入点或交换机。第三是 认证服务器 - 即您的 RADIUS 服务器。当设备连接时，认证器将 EAP 消息传递给 RADIUS 服务器。RADIUS 服务器会根据您的身份库（例如 Active Directory、LDAP 或诸如 Entra ID 之类的云端提供商）验证凭据。 但这里是关键部分：配置得当的 RADIUS 服务器不仅会返回简单的“是”或“否”。它还会返回厂商特定属性 - VSA - 这些属性会告诉网络基础设施具体如何处理该特定会话。这方面最强大的应用就是动态 VLAN 分配。 想象一下体育场或大型会议中心等高密度环境。为不同的用户群体广播多个 SSID 会产生巨大的信标开销并降低射频性能。您广播的每个 SSID 都会消耗宝贵的空口时间。而通过 RADIUS，您只需广播一个安全的 SSID。当财务经理进行身份验证时，RADIUS 会通知接入点将其流量划分到 VLAN 10。当 POS 终端连接时，它会被分配到 VLAN 20。当承包商进行身份验证时，他们会进入受到限制访问的 VLAN 30。这既干净又高效，并且极大地减少了您的受攻击面。现在，让我们深入探讨技术细节。您将在 RADIUS 强制策略中配置的关键属性是 Tunnel-Type（设置为 VLAN）、Tunnel-Medium-Type（设置为 802）以及 Tunnel-Private-Group-Id（即您的实际 VLAN ID）。这三个属性在 Access-Accept 消息中一并返回，用于指示认证器将该会话放入正确的网络细分段中。 在认证协议方面，您有几种选择。EAP-TLS 是黄金标准。它使用客户端证书进行认证，从而彻底消除了凭据被盗和密码疲劳的风险。对于拥有 MDM 平台来自动执行证书配置的企业托管设备来说，这是最正确的选择。PEAP-MSCHAPv2 是 BYOD 场景的稳妥选择，在这些场景中部署证书并不实用 - 它使用服务器证书来建立 TLS 隧道，然后在该隧道内传递用户名和密码凭据。请完全避免使用 LEAP 或 EAP-MD5 等传统协议；它们在密码学上很脆弱，不应在任何现代部署中使用。 让我们来谈谈实施。我始终建议采用分阶段的方法。 第一阶段是身份源集成。您的 RADIUS 策略质量完全取决于您底层目录的质量。确保您的 Active Directory 或 Entra ID 组具有逻辑性、结构良好，并直接映射到您预期的网络细分段。在开始之前审计您的组。删除过期账户，合并重叠的组，并建立明确的访问层级：高管、员工、承包商、访客和 IoT。对于面向公众的网络，Purple 等平台可充当身份提供商，弥补公共访客访问与安全认证框架之间的差距。 第二阶段是策略配置。构建评估多个上下文因素而不仅是凭据的策略。评估 NAS-IP-Address（即认证器的 IP），以了解请求来自哪个物理位置。评估包含 SSID 名称的 Called-Station-Id，以了解用户正在连接哪个网络。评估时间。承包商在凌晨两点的访问配置文件应该与他们在上午九点的访问配置文件截然不同。通过分层叠加这些条件来构建真正具备上下文感知能力的策略。 第三阶段是部署。我必须强调这一点：绝不要同时在整个企业中部署 802.1X 强制实施。先从监控模式开始。在监控模式下，认证失败会被记录，但仍会授予访问权限。这让您可以清晰掌握配置错误的 supplicant 客户端、证书已过期的设备以及不支持 802.1X 的旧设备。在监控模式下运行两到四周，解决发现的问题，然后开始逐个区域强制执行策略。 现在，让我们谈谈最佳实践以及让团队踩坑的常见陷阱。 在 802.1X 环境中，导致灾难性认证失败的首要原因是证书过期。要么是 RADIUS 服务器证书过期，要么是根 CA 证书过期。一旦发生这种情况，每个验证服务器证书的设备都将无法连接。因此，请实施完善的证书生命周期管理。在过期前 90 天、60 天和 30 天设置自动警报。将证书更新作为一项计划内的日常运维任务，而不是作为应对紧急状况的被动响应。 第二个主要挑战是物联网。许多设备 - 打印机、摄像头、医疗设备、楼宇管理系统 - 根本不支持 802.1X。对于这些设备，您必须使用 MAC 认证绕过（即 MAB）。设备的 MAC 地址将被用作其凭据。但请记住这条规则：永远不要信任 MAC。MAC 地址极易被欺骗。仅在绝对必要时使用 MAB，并始终将这些设备放入受到严格限制、隔离的 VLAN 中，配合使用严格的 ACL，仅允许这些设备运行所需的特定流量。 第三个陷阱是客户端配置错误。终端用户设备可能被配置为验证服务器证书，但其信任存储中缺少必要的根 CA。这会导致设备拒绝服务器证书并无法连接。解决方案是使用 MDM 将标准化的无线配置文件推送到所有企业设备，确保受信任的是正确的根 CA，并且配置了正确的 EAP 方法。 最后，考虑您的网络路径。认证器与 RADIUS 服务器之间的高延迟会导致 EAP 超时，从而导致连接失败。对于拥有多个远程分支机构的分布式企业，请确保您的 WAN 架构能够为您的集中式 AAA 服务提供低延迟的连接。 让我们来看看投资回报率和业务影响。 为什么要付出这些努力？首先，降低运营开销。通过动态 VLAN 分配将多个 SSID 合并为一个 802.1X 网络，可以提高 WiFi 性能并降低管理复杂度。更少的 SSID 意味着更少的信标开销、更多的可用空口时间以及为您的用户提供更好的吞吐量。 其次是合规性。如果您处于零售行业，严格的网络分段是 PCI-DSS 的要求。如果您处于医疗保健行业，这是 HIPAA 的要求。RADIUS 策略提供了通过合规性审计并避免重大资金处罚所需的、可验证且可审计的控制措施。 第三是用户体验。无缝、安全的认证 - 特别是通过 EAP-TLS 或 OpenRoaming - 消除了企业回头客和 VIP 访客使用 Captive Portal 的繁琐流程。在酒店和交通环境中，这会直接影响满意度评分和回头率。 现在进入我们的快速问答环节。 问题：'我们有很多老旧设备。为了简单起见，我们应该继续使用 WPA2-PSK 吗？' 答：不。请将符合条件的设备过渡到 802.1X，对旧版设备则使用 MAB 并将它们置于隔离的网段中。单个被破解的 PSK 就会让您的整个网络面临风险。这种权衡是不值得的。 问："Purple 如何融入 RADIUS 部署？" 答：Purple 针对身份验证趋势、会话时长和漫游行为提供深度分析，这对于优化您的部署至关重要。此外，作为 OpenRoaming 的身份提供商，它无需传统 Captive Portal 的繁琐操作，即可为访客简化安全接入。 问："对于刚刚开启这一旅程的团队来说，最快见效的方案是什么？" 答：本周内以监控模式部署 RADIUS。您将立即获得对身份验证现状的可见性，并在执行策略之前识别出需要关注的设备和用户。获取认知是第一步。 总结而言，配置 RADIUS 策略以实现细粒度的网络准入控制，是对您网络安全、性能和合规态势的一项战略性投资。首先从一个干净、结构良好的身份目录开始。利用动态 VLAN 分配来整合您的 SSID 并优化您的射频环境。优先为企业设备采用基于证书的身份验证。对 IoT 设备谨慎且安全地使用 MAB。并且始终分阶段推广，从监控模式开始。 感谢您参加本次 Purple 技术简报。欲获取更详细的指南、实施策略，并了解 Purple 的访客 WiFi 和分析平台如何与您的网络准入控制架构集成，请访问 purple dot ai。