使用 RADIUS 進行動態 VLAN 分配：按角色細分使用者

執行摘要

對於多場域營運商而言，手動管理網路分段是一項重大的營運瓶頸。隨著餐旅、零售和公共部門環境中連接設備數量的增加，依賴每個連接埠的靜態 VLAN 設定或廣播數十個 SSID 已變得難以維持。本指南將探討如何利用 RADIUS 的動態 VLAN 分配，在驗證時根據角色自動對使用者和設備進行分段。透過傳遞特定的 RADIUS 屬性（例如 Tunnel-Pvt-Group-ID），網路架構師可以動態地將使用者分配到正確的 VLAN，從而執行嚴格的安全政策、確保符合 PCI DSS 等標準，並大幅減少手動 IT 開銷。

技術深度解析

動態 VLAN 分配依賴 IEEE 802.1X 標準進行基於連接埠的網路存取控制，並結合 RADIUS（遠端使用者撥入驗證服務）伺服器進行集中式驗證、授權和計費 (AAA)。當用戶端設備嘗試連接到網路時，驗證器（通常是無線存取點或網路交換器）會充當媒介，透過可延伸驗證協定 (EAP) 將用戶端的憑證轉發給 RADIUS 伺服器。

如果憑證有效，RADIUS 伺服器會回應 Access-Accept 訊息。動態 VLAN 分配的關鍵機制是在此 Access-Accept 封包中包含特定的 IETF 標準 RADIUS 屬性。三個基本屬性為：

1. Tunnel-Type (Attribute 64)： 必須設定為 VLAN（值為 13）。
2. Tunnel-Medium-Type (Attribute 65)： 必須設定為 IEEE-802（值為 6）。
3. Tunnel-Private-Group-ID (Attribute 81)： 這包含實際的 VLAN ID 字串（例如 "10"、"20"、"Guest_VLAN"）。

當驗證器收到這些屬性時，它會動態地為使用者的流量加上指定的 VLAN ID 標籤，無論他們連接到哪個實體連接埠或 SSID，都能將其放入適當的網路分段中。

此架構可實現基於角色的網路存取控制。單一 SSID 可以安全地為多個不同的使用者群組提供服務，將他們放入具有各自防火牆規則、頻寬限制和路由政策的隔離網路分段中。例如，Purple 的 Guest WiFi 解決方案通常與 RADIUS 整合，以確保訪客被分配到隔離的 VLAN 中，從而保護內部資源。

實作指南

部署動態 VLAN 分配需要在 RADIUS 伺服器和網路基礎架構（無線基地台或交換器）上進行設定。雖然各家廠商（例如 Cisco ISE、Aruba ClearPass、FreeRADIUS）的確切語法有所不同，但核心原理是一致的。

步驟 1：RADIUS 伺服器設定

設定您的 RADIUS 伺服器，使其根據使用者群組或裝置設定檔傳回所需的屬性。例如，您可以建立如下原則：

• 如果使用者群組 = "Staff"，則傳回 Tunnel-Private-Group-ID = "10"。
• 如果使用者群組 = "Contractors"，則傳回 Tunnel-Private-Group-ID = "20"。
• 如果裝置類型 = "IoT Sensor"（透過 MAC 驗證旁路），則傳回 Tunnel-Private-Group-ID = "30"。

步驟 2：驗證器設定（無線基地台/交換器）

設定您的網路裝置以查詢 RADIUS 伺服器並處理傳回的屬性。這通常包括：

1. 定義 RADIUS 伺服器 IP 位址和共用金鑰。
2. 在相關的 SSID 或交換器連接埠上啟用 802.1X 驗證。
3. 啟用動態 VLAN 分配（有時稱為 "AAA Override" 或 "RADIUS VLAN assignment"）。

廠商特定注意事項

• Cisco： 在 WLC 上，確保在 WLAN 設定中啟用了 "AAA Override"。對於交換器，請設定 authentication port-control auto 和 dot1x pae authenticator。
• Aruba： 在 ArubaOS 中，確保 AAA 設定檔已設定 "RADIUS Server"，且伺服器群組已設定為處理用於衍生 VLAN 的伺服器規則。
• Ubiquiti UniFi： 在 UniFi Network 應用程式中，啟用 "RADIUS MAC Authentication" 或 "WPA2/WPA3 Enterprise"，並確保在網路設定中勾選了 "Enable RADIUS assigned VLAN"。

最佳實踐

為確保部署的穩健性與可擴充性，請遵循以下產業標準建議：

1. 全球標準化 VLAN ID： 各站點之間不一致的 VLAN 命名是一個重大陷阱。如果 VLAN 10 在站點 A 是 "Staff"，但在站點 B 是 "Guest"，動態分配將會導致混亂。在實施動態分配之前，請建立全球統一的 VLAN 編號配置。
2. 實施備援機制： RADIUS 無法使用是關鍵的故障模式。在您的無線基地台（AP）上設定 "critical VLAN" 或 "fallback VLAN"。如果無法連線至 RADIUS 伺服器，AP 應將裝置放入受限的 VLAN（例如僅允許網際網路存取），在不損害內部安全性的情況下維持連線。
3. 對無介面裝置使用 MAC 驗證旁路 (MAB)： 像 Sensors 或智慧溫控器等 IoT 裝置通常無法進行 802.1X 驗證。使用 MAB 根據這些裝置的 MAC 位址進行驗證，並將其分配到受控管的 IoT VLAN。
4. 善用分析工具： 使用 Purple 的 WiFi Analytics 等平台來監控驗證趨勢、識別異常，並根據基於角色的使用模式來優化網路效能。

疑難排解與風險緩釋

在實作動態 VLAN 分配時，請準備好排解常見問題：

• 用戶端被歸入預設 VLAN： 這通常發生在 RADIUS 伺服器未能傳送正確的屬性，或者驗證器未設定為處理這些屬性（例如：停用了「AAA 覆寫」）。請使用封包擷取來驗證 Access-Accept 訊息的內容。
• 驗證逾時： 如果裝置無法驗證，請檢查驗證器與 RADIUS 伺服器之間的網路連線。驗證共用金鑰，並確保 RADIUS 伺服器已將該驗證器設定為有效的用戶端。
• DHCP 問題： 在裝置被動態分配到 VLAN 之後，它必須取得該子網路的 IP 位址。請確保 DHCP 伺服器已針對所有動態 VLAN 進行正確設定，且在必要時已配置 IP 協助程式位址。

投資報酬率與商業影響

實作動態 VLAN 分配可減少手動設定的開銷並降低安全風險，從而帶來顯著的投資報酬率。

• 營運效率： 無需再為每個連接埠手動設定靜態 VLAN，或為不同的使用者群組廣播多個 SSID，為 IT 團隊節省了數小時的行政工作。
• 增強安全性： 實施嚴格的基於角色的存取控制，確保受侵害的裝置或未授權的使用者與關鍵業務系統隔離。這對於符合 零售 環境中的 PCI DSS 等標準至關重要。
• 提升使用者體驗： 為員工和訪客提供無縫的驗證體驗，因為他們只需連線到單一 SSID，即可自動獲得適當的網路存取權限。

收聽我們的技術簡報播客以獲取更多見解：

如需更多關於保護網路安全的資訊，請參閱我們的指南：802.1X 驗證：在現代裝置上保護網路存取。