零信任 WiFi 架構：將零信任應用於場域網路

零信任 WiFi 架構：將零信任應用於場域網路。Purple 企業簡報。 歡迎。如果您是負責酒店集團、零售不動產、體育場或會議中心的網路架構師、IT 安全主管或技術長，本簡報就是為您準備的。在接下來的十分鐘內，我們將切穿圍繞零信任的雜音，為您提供一個實用、可部署的框架，將其應用於您的無線基礎架構。沒有為理論而理論的內容。只有您在本季做出明智決策所需的內容。 讓我們從脈絡開始。 「零信任」這個詞彙自 2010 年 John Kindervag 在 Forrester 提出以來一直在流傳。但對大多數場域營運商來說，它仍然是一個與企業資料中心和雲端安全相關的抽象概念。現實情況是，您的無線網路——您客人、員工、承包商和 IoT 設備共用的網路——正是零信任原則能提供最直接風險降低的地方。而且實施它的工具現在就可取得，無需全面的基礎架構改造。 那麼零信任對 WiFi 實際上意味著什麼？其核心，零信任是一個建立在三個原則之上的安全模型：永不信任，始終驗證；假設洩漏；並強制執行最小權限存取。應用於無線網路，這意味著您不再將網路連線視為信任的代理。一個設備已成功與您的存取點關聯並通過 SSID 驗證，並不意味著它應該被信任來存取您的內部系統、POS 網路或建築管理基礎架構。 傳統的基於邊界的安全假設網路內部的任何東西都是安全的。在場域環境中——您可能有數百台訪客設備、數十台承包商筆記型電腦、IoT 感應器、支付終端和員工手持設備都在相同的物理基礎架構上——這種假設是災難性的錯誤。 讓我們談談零信任 WiFi 的四大支柱。 第一個支柱是持續驗證。這超越了大多數 WiFi 部署所依賴的一次性驗證交握。當設備通過 WPA2-Enterprise 或 WPA3 連接到您的網路時，它進行一次驗證。但在三十分鐘後，當該設備的狀態發生變化時——VPN 客戶端斷線、安全代理停止運行，或設備被交給其他人——會發生什麼？在零信任模型中，驗證是持續進行的。您在 RADIUS 配置中使用連線重新驗證計時器，結合網路存取控制政策，定期重新評估設備是否應保留其當前的存取等級。 第二個支柱是最小權限存取。您網路上的每個設備和使用者都應獲得執行其功能所需的最低限度存取權。酒店客人的智慧型手機需要網際網路存取，僅此而已。POS 終端需要連接支付閘道，僅此而已。設施經理的平板需要存取建築管理系統，僅此而已。這通過動態 VLAN 指派強制執行——您的 RADIUS 伺服器根據驗證的身份或設備設定檔回傳 VLAN 屬性，將每個設備放入邏輯上隔離的網路區段。 第三個支柱是微分割。這是最小權限在網路層的架構表現。不是所有設備都可以橫向通訊的扁平網路，而是將您的無線基礎架構劃分為離散的區段——通常對應到 VLAN——每個區段都有自己的防火牆政策。在零售環境中，這意味著您的訪客 WiFi、員工 WiFi、支付終端和庫存管理系統都在獨立的區段上，彼此之間有明確的、政策控制的連線。被入侵的訪客設備無法轉向到您的 POS 網路，因為這些區段之間沒有允許的路由。 第四個支柱是設備狀態強制執行。這是零信任 WiFi 真正強大的地方。使用與您的 RADIUS 基礎架構整合的網路存取控制解決方案，您可以在連接點評估設備的安全狀態——並持續評估。設備是否已在您的 MDM 平台中註冊？作業系統是否已修補到最新版本？端點安全代理是否在運行？未通過狀態檢查的設備會被放入隔離 VLAN，只能存取修復資源，而不是直接拒絕，這樣可以避免建立營運摩擦。 現在讓我們深入架構。 零信任 WiFi 的基礎是 IEEE 802.1X，即基於連接埠的網路存取控制標準。當設備嘗試連接時，存取點充當驗證者，將憑證轉發到 RADIUS 伺服器——驗證伺服器——該伺服器驗證身份並回傳存取政策屬性。這是您零信任強制執行的控制平面。 對於設備身份，您有兩個主要選項。使用 EAP-TLS 的基於憑證的驗證是黃金標準——它完全消除了憑證釣魚風險，並且對於您通過 MDM 或端點管理平台控制的任何設備都是強制性的。對於訪客和 BYOD 情境，帶有 MSCHAPv2 的 PEAP 仍然廣泛部署，但您應在可行的情況下遷移到 EAP-TLS。如果您想詳細了解這些方法之間的技術權衡，Purple 的 EAP 方法比較指南——涵蓋 PEAP、EAP-TLS、EAP-TTLS 和 EAP-FAST——在您最終確定驗證架構之前值得一讀。 WPA3 是支撐現代零信任 WiFi 的加密層。具有 192 位元模式的 WPA3-Enterprise 提供了處理支付卡資料或敏感個人資訊的環境所需的加密強度。WPA3 的等效同時驗證交握消除了離線字典攻擊漏洞，該漏洞使 WPA2-Personal 網路非常容易被入侵。如果您仍然在處理超出純訪客網際網路存取的任何區段上使用帶有共用密碼短語的 WPA2-Personal，這需要改變。 讓我帶您了解兩個真實世界的實施情境。 首先，一家在英國各地擁有物業的 350 間客房酒店集團。挑戰：一個扁平網路架構，訪客設備、員工設備、IP 攝影機、智慧型電視和物業管理系統都在同一個 VLAN 上。一台被入侵的訪客設備有可能接觸到 PMS 並外洩客人記錄——這是一場 GDPR 的噩夢。解決方案部署了四個 VLAN：訪客網際網路、員工企業網路、IoT 和建築系統，以及 PMS 存取。通過酒店的 MDM 平台為員工設備部署了帶有基於憑證的驗證的 802.1X。訪客設備通過 Captive Portal 進行驗證，並由基於 MAC 的 RADIUS 政策強制執行僅限網際網路的存取。IoT 設備通過 MAC OUI 進行剖析，並自動放入 IoT VLAN，防火牆規則僅允許每種設備類型所需的特定連接埠。PMS VLAN 僅限於具有 802.1X 憑證驗證的已知 MAC 位址白名單。部署後，橫向移動的攻擊面減少了超過百分之九十，並且該物業符合 GDPR 對可通過網路存取的個人資料的資料最小化要求。 第二個情境：一家擁有 200 家商店的英國大型零售連鎖店。這裡的合規驅動力是 PCI DSS——特別是將持卡人資料環境與其他網路區段隔離的要求。現有架構將 POS 終端放在與員工生產力網路和客戶 WiFi 相同的無線基礎架構上。零信任部署建立了三個區段：客戶 Guest WiFi，在 RADIUS 層強制執行僅限網際網路的存取；員工 WiFi，具有基於角色的 VLAN 指派——商店經理比銷售助理獲得更廣泛的存取權；以及一個專用的 POS 區段，使用 WPA3-Enterprise、EAP-TLS 憑證驗證和嚴格的防火牆規則，僅允許流向支付閘道的流量。RADIUS 會計記錄被整合到 SIEM 平台，以提供 PCI DSS 要求 10 所需的審計追蹤。結果是年度 QSA 評估的範圍淨減少，大幅降低了合規負擔。 現在，實施建議和要避免的陷阱。 在您碰觸任何配置之前，先從網路審計開始。對映您網路上的每種設備類型、其驗證方法，以及其當前的 VLAN 位置。您無法在不知道您要分割什麼的情況下設計最小權限架構。 從第一天起就以高可用性配置部署 RADIUS。單一 RADIUS 伺服器是您整個驗證基礎架構的單點故障。兩台伺服器以主動-被動或主動-主動配置是任何生產環境的最低可行部署。 不要嘗試同時遷移所有 SSID。從您的最高風險區段開始——通常是最靠近支付系統或敏感資料的區段——並將其遷移到帶有 VLAN 強制執行的 802.1X。驗證政策，解決邊緣情況，然後擴展。 我在場域部署中看到的最常見陷阱是 MAC 位址繞過問題。許多 IoT 設備——印表機、智慧型電視、建築感應器——不支援 802.1X。誘惑是通過 MAC 位址將它們列入白名單。作為過渡措施，這可以接受，但 MAC 位址很容易被偽造。中期目標應該是設備剖析——使用 DHCP 指紋辨識、HTTP 使用者代理分析和流量行為分析來動態分類設備，而不是僅僅依賴 MAC 位址。 第二個常見陷阱是過度分割。建立過多的 VLAN 會增加營運複雜性，並可能在合法流量被阻擋時產生意想不到的應用程式故障。從四到六個區段開始，徹底驗證，僅在風險狀況證明合理時才增加精細度。 現在快速進行我常聽到的問題的問答。 零信任 WiFi 能與不支援 802.1X 的傳統設備一起運作嗎？可以，通過 MAC 驗證繞過結合設備剖析。設備根據其設定檔被放入受限的 VLAN，存取權僅限於其所需的特定資源。 零信任 WiFi 需要更換現有的存取點嗎？在大多數情況下，不需要。過去五年內製造的任何企業級存取點都支援 802.1X、動態 VLAN 指派和多個 SSID。投資主要在於 RADIUS 基礎架構、NAC 政策和防火牆規則——而不是硬體。 這與 SD-WAN 如何互動？非常直接。SD-WAN 提供 WAN 層的分割和政策強制執行，補充您的無線微分割。離開 VLAN 區段的流量可以通過 SD-WAN 政策引導到適當的上游路徑——這主題在 Purple 的現代企業 SD-WAN 效益指南中有深入探討。 適當的連線重新驗證間隔是多少？對於具有基於憑證的驗證的員工設備，八小時是一個合理的起點。對於訪客設備，與您的連線逾時政策保持一致——通常為兩到四小時。對於 IoT 設備，重新驗證應由狀態變更事件觸發，而不是固定的計時器。 總結本簡報的關鍵要點。 零信任 WiFi 不是一個產品——它是一個建立在 802.1X、動態 VLAN 指派、設備狀態強制執行和持續驗證之上的架構。啟用的標準是 IEEE 802.1X、WPA3-Enterprise 和具有動態屬性回傳的 RADIUS。微分割是在無線網路上最小權限的實際表達——四到六個定義明確的區段涵蓋了絕大多數場域使用案例。通過 EAP-TLS 的基於憑證的驗證是所有受管理設備的目標狀態。MAC 驗證繞過是傳統 IoT 可接受的橋樑，但設備剖析應是中期目標。從您的最高風險區段開始，驗證，然後擴展。 您的下一步：進行設備和 VLAN 清查，評估您目前的 RADIUS 基礎架構的高可用性準備情況，並確定您的最高風險網路區段作為試點部署目標。Purple 的平台提供了支撐此架構的 RADIUS 政策引擎、VLAN 強制執行和基於 MAC 的控制——而 WiFi 分析層則為您提供了驗證政策是否如預期運作的可視性。 感謝收聽。這是 Purple 企業簡報：零信任 WiFi 架構。