企业网络 802.1X 认证详解

企业网络 802.1X 认证详解。Purple WiFi 智能简报。 欢迎。如果您负责多场所组织的物理网络安全 — 无论是酒店集团、零售连锁、体育场还是公共部门地产 — 本简报都将为您提供帮助。在接下来的十分钟里，我们将涵盖您需要了解的关于 802.1X 认证的一切：它是什么、其底层工作原理、如何正确部署以及大多数组织容易遇到的陷阱。让我们开始吧。 第一部分：背景及为何现在至关重要。 企业 WiFi 的威胁格局已经发生了巨大变化。预共享密钥网络 — 即每个人都知道 WiFi 密码的网络 — 在受监管的环境中已不再适用于员工网络。在 2024 年全面生效的 PCI DSS 4.0 版本下，处理付款卡数据的组织必须在任何接触持卡人数据环境的网络上实施强有力的访问控制。GDPR 对任何传输个人数据的网络也提出了类似的义务。随着混合办公的普及，员工通过托管和非托管设备在数十个地点进行连接，旧的边界模型已不复存在。 802.1X 是解决这一问题的 IEEE 标准。它提供基于端口的网络访问控制 - 意味着设备在通过中央身份源进行身份验证之前根本无法加入网络。不仅是一个共享密码，而是一个实际经过验证的身份。这就是根本性的转变。 第二部分：技术深挖。 让我们来看看其架构。802.1X 定义了三种角色。申请者（supplicant） - 即终端设备，如尝试连接的笔记本电脑或智能手机。认证者（authenticator） - 即无线接入点（AP）或网络交换机。以及认证服务器（authentication server） - 在几乎所有的企业部署中，这都是一个 RADIUS 服务器。 以下是握手的工作原理。当设备尝试连接到受保护的 SSID 时，接入点会将该设备置于未授权状态。它无法访问网络。AP 向设备发送一个 EAP Request Identity 帧。EAP 代表可扩展身份验证协议 - 它是承载实际凭据的框架。设备响应其身份。AP 将其转发给 RADIUS 服务器，并封装在 RADIUS Access-Request 数据包中。然后，RADIUS 服务器对设备发起挑战 - 具体的挑战取决于您使用的 EAP 方法。设备响应其凭据。RADIUS 服务器根据您的身份源（Active Directory、LDAP 或云 IdP）验证这些凭据，并发回 Access-Accept 或 Access-Reject。如果是 Accept，AP 将打开端口，设备获得网络访问权限。如果是 Reject，设备将保持受阻状态。整个交互过程耗时不到一秒。现在，EAP 方法的选择是大多数架构师花费时间最多的地方。您有四个主要选择。EAP-TLS 是黄金标准。它要求在每台设备上安装客户端证书，这意味着您需要 PKI 基础设施，但它提供了双向身份验证 - 服务器向客户端证明其身份，客户端也向服务器证明其身份。因为不涉及密码，所以不会发生凭据被钓鱼的情况。这是完全托管设备组的正确选择。 PEAP - Protected EAP - 是实践中部署最广泛的方法。它仅使用服务器证书创建 TLS 隧道，然后在该隧道内传递用户名和密码凭据。由于不需要客户端证书，它的部署难度明显低于 EAP-TLS，并且在每个主流操作系统上都得到原生支持。其权衡在于它依赖于用户对服务器证书进行验证，而实际上他们通常不会这样做。正确的 PEAP 部署需要锁定请求方配置，使其仅信任您特定的 RADIUS 服务器证书。 EAP-TTLS 与 PEAP 类似，但在内部身份验证方法上更具灵活性。它在拥有遗留设备或非 Windows 终端的环境中特别有用。EAP-FAST 是由 Cisco 开发的更快替代方案，它使用受保护的访问凭据（Protected Access Credentials）代替证书，但在新构建中的部署较少。 RADIUS 服务器本身值得关注。两个主流的开源选项是 FreeRADIUS（它为全球很大比例的企业部署提供支持）和 Microsoft NPS（网络策略服务器，它包含在 Windows Server 中并与 Active Directory 原生集成）。商业选项包括 Cisco ISE、Aruba ClearPass 和 Portnox Cloud，后者提供云原生的 RADIUS-as-a-Service 模型，从而完全免去了对本地服务器基础设施的需求。 VLAN 分配是配置合理的 802.1X 部署中最强大的功能之一。RADIUS 服务器可以在 Access-Accept 响应中返回 VLAN 属性，从而动态地将已验证的设备分配到相应的网络段。员工进行身份验证并进入员工 VLAN。承包商使用不同的凭据进行身份验证并进入访问受限的限制 VLAN。未通过证书验证的设备将被放入隔离 VLAN。这就是动态分段，它是一项重大的安全控制。 第三部分：实施建议以及要避免的陷阱。 让我为您提供有效的部署顺序。首先从网络审计开始。在您修改任何配置之前，记录每个需要进行身份验证的设备。这包括打印机、IP 电话、楼宇管理系统、CCTV 监控摄像头 - 任何连接到网络的设备。这些无头设备没有客户端软件，无法执行 802.1X。您需要为它们制定策略，通常是具有严格 MAC 地址白名单的 MAC 身份验证绕过，并将其放置在隔离的 VLAN 中。 第二步：建立您的 RADIUS 基础设施。为了保证弹性，您至少需要一个主 RADIUS 服务器和备 RADIUS 服务器。配置您的接入点以自动进行故障转移。导致所有员工无法访问网络的 RADIUS 停机是 P1 级事件。不要因为部署了单台服务器而让这种情况发生。 第三步：如果您要使用 EAP-TLS，请部署您的 PKI。使用您现有的 Active Directory 证书服务或云 PKI 提供商。通过组策略进行自动注册使客户端证书的规模化部署变得可管理。 第四步：配置您的网络策略。在 RADIUS 中定义您的身份验证策略 - 哪些用户或设备组分配到哪些 VLAN、身份验证失败时会发生什么、如何处理访客与员工流量。这就是您在网络层实施最小权限原则的地方。 第五步：在推广之前进行试点。选择一个地点、一个楼层、一个 SSID。测试每种设备类型。测试故障场景。测试当 RADIUS 服务器无法访问时会发生什么。只有这样才能扩大规模。 现在，来看看陷阱。我见过的最常见陷阱是 PEAP 部署中的证书验证配置错误。如果您的客户端策略不强制执行服务器证书验证，您就很容易受到流氓 AP 攻击，攻击者会设置一个虚假接入点并收集凭据。通过组策略或 MDM 锁定您的客户端配置文件。 第二个陷阱是在上线日之前忽略非 802.1X 设备。如果您没有为物联网设备、打印机和遗留系统做好规划，它们将破坏您的推广。MAC 身份验证绕过在这里是您的帮手，但它需要在您切换开关之前配置好。 第三个陷阱是 RADIUS 中的单点故障。我曾见过一些组织部署了单个 NPS 服务器，并发现他们的整个员工网络在 Windows 更新重启期间瘫痪。请务必部署冗余的 RADIUS 基础设施。 第四部分：快速问答。 802.1X 可以与访客 WiFi 网络协同工作吗？完全可以。您的访客 SSID 独立运行 - 通常使用 Captive Portal 方式 - 而您的员工 SSID 强制执行 802.1X。它们是具有独立 VLAN 的完全独立的 SSID。Purple 的平台负责处理访客端，并在其上叠加分析和互动工具，而您的 802.1X 基础设施则负责保护员工端的安全。 802.1X 是否取代了 VPN？不。802.1X 控制网络准入 - 即谁可以加入网络。而 VPN 则对传输中的流量进行加密，并通过不受信任的的连接扩展企业网络。它们服务于不同的目的，通常结合使用。 对漫游性能有什么影响？使用 802.1X 时，设备每次在接入点之间漫游时，都需要重新进行身份验证。对于大多数企业部署来说，这是微不足道的。PMK 缓存和 OKC（机会性密钥缓存）显著减少了重新验证的开销。对于体育场馆或会议中心等高密度环境，这值得进行显式配置。 WPA3-Enterprise 是否是 802.1X 的替代品？不 - WPA3-Enterprise 使用 802.1X 进行身份验证。WPA3 改进了加密层，特别是针对最敏感的部署强制执行 192 位安全模式。802.1X 是底层的身份验证框架。 第五部分：总结与后续步骤。 以下是您应该从本次简报中吸取的要点。802.1X 是企业级企业 WiFi 唯一的身份验证机制。预共享密钥对于受监管的环境是不可接受的。根据您的设备群选择您的 EAP 方法 - 如果您拥有受管理设备和 PKI，请选择 EAP-TLS；如果您需要更广泛的兼容性，请选择 PEAP。在部署之前而不是之后，针对非 802.1X 设备做好规划。部署冗余的 RADIUS 基础设施 - 单个服务器就是一个单点故障。使用动态 VLAN 分配在身份验证时强制执行网络分段。在您的整个园区推广之前，进行彻底的试点。 如果您正在构建多站点部署并需要考虑架构，Purple 的技术团队每天都与酒店、零售和公共部门的网络架构师合作。通过 802.1X 实现的安全员工 WiFi 与通过 Purple 平台的智能访客 WiFi 相结合，为您提供了一个完整的、分段的网络战略，既能满足您的安全义务，又能满足您的访客体验需求。 本次简报到此结束。感谢收听。