企業網路 802.1X 驗證詳解

企業網路 802.1X 驗證詳解。Purple WiFi 智慧簡報。 歡迎。如果您負責管理跨多個據點組織的網路安全 - 無論是飯店集團、零售連鎖、體育場還是公共部門資產 - 本簡報都非常適合您。在接下來的十分鐘內，我們將涵蓋您需要了解的有關 802.1X 驗證的所有資訊：它是什麼、它的運作原理、如何正確部署它，以及大多數組織會遇到的陷阱。讓我們開始吧。 第一部分：背景以及為什麼這在當前至關重要。 企業 WiFi 的威脅形勢已發生巨大變化。預共用金鑰網路（即每個人都知道 WiFi 密碼的那種網路）在受監管的環境中已不再適用於員工網路。在 2024 年全面生效的 PCI-DSS 4.0 版本下，處理付款卡資料的組織必須在任何接觸持卡人資料環境的網路上實施強大的存取控制。GDPR 對任何傳輸個人資料的網路也做出了類似的規定。此外，混合辦公意味著員工會從數十個地點的託管和非託管裝置進行連線，舊有的邊界模型已不適用。 802.1X 是解決此問題的 IEEE 標準。它提供基於連接埠的網路存取控制 - 這意味著裝置在透過中央身分識別庫進行驗證之前，完全無法加入網路。這不僅僅是一個共用密碼，而是一個實際經過驗證的身分。這就是根本性的轉變。 第二部分：技術深度解析。 讓我們來看看其架構。802.1X 定義了三種角色。用戶端（supplicant） - 也就是終端裝置，即嘗試連線的筆記型電腦或智慧型手機。驗證器（authenticator） - 即無線存取點或網路交換器。以及驗證伺服器（authentication server） - 在幾乎所有的企業部署中，這都是一台 RADIUS 伺服器。 以下是握手協定的運作方式。當裝置嘗試連線到受保護的 SSID 時，存取點會將該裝置置於未驗證狀態。它無法存取網路。存取點會向裝置傳送一個 EAP 要求身分（Request Identity）框架。EAP 代表可延伸驗證協定 - 它是承載實際憑證的框架。裝置會回應其身分。存取點會將此身分封裝在 RADIUS 存取要求（Access-Request）封包中，並轉發給 RADIUS 伺服器。接著，RADIUS 伺服器會向裝置發出挑戰 - 具體的挑戰取決於您使用的 EAP 方法。裝置會回應其憑證。RADIUS 伺服器會比對您的身分識別庫（如 Active Directory、LDAP 或雲端身分識別提供者）來驗證這些憑證，並傳回 Access-Accept 或 Access-Reject。如果是 Accept，存取點會開放連接埠，裝置即可取得網路存取權限。如果是 Reject，裝置則保持被封鎖狀態。整個交換過程不花不到一秒鐘。現在，EAP 方法的選擇是大多數架構師花費最多時間的地方。您有四個主要選項。EAP-TLS 是黃金標準。它需要在每台裝置上安裝用戶端憑證，這意味著您需要 PKI 基礎架構，但它提供了雙向驗證 - 伺服器向用戶端證明其身分，用戶端也向伺服器證明其身分。由於不涉及密碼，因此不會有憑證被網路釣魚的風險。這是完全託管裝置群的正確選擇。 PEAP - Protected EAP - 是實務中部署最廣泛的方法。它僅使用伺服器憑證建立 TLS 隧道，然後在該隧道內傳遞使用者名稱和密碼憑證。它比 EAP-TLS 更容易部署，因為您不需要用戶端憑證，而且在所有主要的作業系統上都獲得原生支援。其折衷之處在於它依賴使用者驗證伺服器憑證，而實際上使用者通常不會這樣做。正確的 PEAP 部署需要鎖定用戶端（supplicant）設定，使其僅信任您特定的 RADIUS 伺服器憑證。 EAP-TTLS 與 PEAP 類似，但在內部驗證方法上更具彈性。它在具有舊版裝置或非 Windows 端點的環境中特別有用。EAP-FAST 是由 Cisco 開發的更快速替代方案，它使用受保護的存取憑證（Protected Access Credentials）代替憑證，但在新系統建置中的部署較不常見。 RADIUS 伺服器本身也值得關注。兩個主要的開源選項是 FreeRADIUS（支援全球大部分的企業部署）和 Microsoft NPS（網路原則伺服器），後者隨 Windows Server 一起提供，並與 Active Directory 原生整合。商業選項包括 Cisco ISE、Aruba ClearPass 和 Portnox Cloud，其中 Portnox Cloud 提供雲端原生的 RADIUS-as-a-service 模式，完全免除了對本地伺服器基礎架構的需求。 VLAN 分配是正確設定的 802.1X 部署中最強大的功能之一。RADIUS 伺服器可以在 Access-Accept 回應中傳回 VLAN 屬性，動態地將已驗證的裝置分配到適當的網路區段。員工進行驗證後會進入員工 VLAN。承包商使用不同的憑證進行驗證，並進入具有受限存取權限的限制 VLAN。未通過憑證驗證的裝置會被置於隔離 VLAN 中。這就是動態分段，也是一項重大的安全性控制。 第三部分：實作建議與要避免的陷阱。 讓我為您說明實用的部署順序。首先從網路審計開始。在您動任何設定之前，請先記錄每一個需要進行驗證的裝置。這包括印表機、IP 電話、大樓管理系統、CCTV 監視器 - 任何連接到網路的裝置。這些無螢幕的主機型裝置沒有 Supplicant（用戶端軟體），無法進行 802.1X 驗證。您需要為它們制定策略，通常是使用 MAC Authentication Bypass，搭配嚴格的 MAC 地址白名單，並將其放置在隔離的 VLAN 中。 步驟二：建立您的 RADIUS 基礎架構。為了確保彈性復原能力，您至少需要一台主要與一台備用的 RADIUS 伺服器。設定您的存取點以自動進行容錯移轉。一個導致所有員工都無法連線網路的 RADIUS 故障是 P1 等級的重大事件。不要因為您只部署了單一伺服器而讓這種情況發生。 步驟三：如果您要採用 EAP-TLS，請部署您的 PKI。使用您現有的 Active Directory 憑證服務或雲端 PKI 供應商。透過群組原則進行自動註冊，可以讓用戶端憑證的大規模部署變得易於管理。 步驟四：設定您的網路原則。在 RADIUS 中定義您的驗證原則 - 哪些使用者或裝置群組被分配到哪些 VLAN、驗證失敗時如何處理、如何處理訪客與員工的流量。這就是您在網路層實施最小權限原則的地方。 步驟五：在全面推出前進行試點。先選擇一個據點、一個樓層、一個 SSID。測試每一種裝置類型。測試失敗情境。測試當 RADIUS 伺服器無法連線時會發生什麼事。只有在完成這些測試後才進行擴展。 現在，來談談常見的陷阱。我最常看到的是在 PEAP 部署中憑證驗證設定錯誤。如果您的 Supplicant 原則沒有強制執行伺服器憑證驗證，您就容易受到惡意 AP 攻擊，攻擊者會設定虛假的存取點並竊取憑證。請透過群組原則或 MDM 來鎖定您的 Supplicant 設定檔。 第二個陷阱是在上線日之前忽略了非 802.1X 裝置。如果您沒有事先做好規劃，IoT 裝置、印表機和舊系統將會破壞您的推出計劃。MAC Authentication Bypass 在這裡會是您的好幫手，但它必須在您切換啟用前就先設定好。 第三個陷阱是 RADIUS 中的單點故障。我曾見過企業只部署了一台 NPS 伺服器，結果發現在 Windows Update 重新啟動期間，他們全體員工的網路都中斷了。請務必部署備援的 RADIUS 基礎架構。 第四部分：快速問答。 802.1X 能與訪客 WiFi 網路並存嗎？絕對可以。您的訪客 SSID 是獨立執行的 - 通常使用 Captive Portal 方法 - 而您的員工 SSID 則強制執行 802.1X。它們是完全獨立且擁有不同 VLAN 的 SSID。Purple 的平台負責處理訪客端，並在之上堆疊分析與互動工具，而您的 802.1X 基礎架構則負責保護員工端的安全。 802.1X 是否可以取代 VPN？否。802.1X 控制網路准入，即誰可以加入網路。而 VPN 則是加密傳輸中的流量，並透過不受信任的連線延伸企業網路。兩者的目的不同，且通常會搭配使用。 這對漫遊效能有何影響？使用 802.1X 時，裝置每次在存取點之間漫遊時都需要重新驗證。對於大多數企業部署而言，這是微不足道的。PMK 快取和 OKC (Opportunistic Key Caching) 可顯著減少重新驗證的開銷。對於體育場或會議中心等高密度環境，這非常值得進行明確的設定。 WPA3-Enterprise 是否是 802.1X 的替代方案？否。WPA3-Enterprise 使用 802.1X 進行驗證。WPA3 改善了加密層，特別是針對最敏感的部署強制執行 192 位元安全性模式。802.1X 是其底層的驗證架構。 第五節：總結與後續步驟。 以下是您應該從本次簡報中汲取的要點。802.1X 是企業級企業 WiFi 唯一的驗證機制。預先共用金鑰對於受監管的環境是不可接受的。請根據您的裝置群組選擇 EAP 方法 - 如果您擁有受管理裝置和 PKI，請選擇 EAP-TLS；如果您需要更廣泛的相容性，請選擇 PEAP。請在部署之前，而非部署之後，針對非 802.1X 裝置進行規劃。部署備援 RADIUS 基礎架構 - 單一伺服器是單一故障點。使用動態 VLAN 分配在驗證時強制執行網路分割。並在整個區域推廣之前進行徹底的試點。 如果您正在建構多站點部署並需要通盤考慮架構，Purple 的技術團隊每天都與餐飲旅宿、零售和公共部門的網路架構師合作。透過 802.1X 實現的安全員工 WiFi，以及透過 Purple 平台實現的智慧客用 WiFi，兩者相結合可為您提供完整且分割的網路策略，同時滿足您的安全義務和客用體驗需求。 本次簡報到此結束。感謝您的收聽。