為細粒度網路存取控制配置 RADIUS 原則

歡迎來到 Purple 技術簡報。我是您的主持人，今天我們將深入探討企業網路架構師和 IT 總監最關心的關鍵主題：為細粒度網路存取控制配置 RADIUS 策略。 如果您正在管理飯店連鎖、零售網路或大型公共場所的基礎設施，您就會知道依賴簡單預共用金鑰的時代早已過去。安全、合規性和使用者體驗需要更精密的方法。今天，我們將剖析情境感知存取的架構、探索實作策略，並討論如何避免最常見且代價高昂的陷阱。 讓我們從背景情境開始。我們為什麼要討論 RADIUS 和 802.1X？因為邊界已經消失了。您有公司筆記型電腦、訪客智慧型手機、承包商平板電腦，以及大量湧入的 IoT 裝置，全部都在連接相同的實體存取點。您需要一種機制來動態分割這些流量、強制執行合規性，同時仍能提供無縫的使用者體驗。這正是 RADIUS 策略派上用場的地方。透過利用 802.1X，您將從「誰知道密碼」的模型轉變為「您是誰、您使用的是什麼裝置，以及您的情境是什麼？」。這個轉變是根本性的。 該架構依賴三個元件。第一，supplicant（用戶端） - 終端使用者裝置上的軟體用戶端。第二，authenticator（認證器） - 通常是您的無線存取點或交換器。第三，認證伺服器 - 您的 RADIUS 伺服器。當裝置連線時，認證器會將 EAP 訊息傳遞給 RADIUS 伺服器。RADIUS 伺服器會比對您的身分識別庫（例如 Active Directory、LDAP 或 Microsoft Entra ID 等雲端供應商）來檢查憑證。 但這裡是最關鍵的部分：配置妥當的 RADIUS 伺服器不僅僅返回簡單的「是」或「否」。它還會返回廠商專屬屬性 - VSA - 這些屬性會確切告知網路基礎設施如何處理該特定工作階段。其中最原生的應用就是動態 VLAN 分配。 想像一下體育場或大型會議中心等高密度環境。為不同的使用者群組廣播多個 SSID 會產生巨大的信標（beacon）開銷並降低射頻（RF）效能。您廣播的每個 SSID 都會消耗寶貴的空口時間。使用 RADIUS，您只需廣播一個安全的 SSID。當財務經理進行認證時，RADIUS 會告知存取點將其流量導入 VLAN 10。當 POS 終端連線時，它會被分配到 VLAN 20。當承包商認證時，他們會進入具有受限存取權限的 VLAN 30。這既乾淨又高效，且能大幅減少您的受攻擊面。 現在，讓我們進入技術深探。您將在 RADIUS 強制執行設定檔中設定的金鑰屬性包括：Tunnel-Type（設為 VLAN）、Tunnel-Medium-Type（設為 802）以及 Tunnel-Private-Group-Id（即您的實際 VLAN ID）。這三個屬性會在 Access-Accept 訊息中一同傳回，指示驗證器將該工作階段放入正確的網路區段。 在驗證協定方面，您有多種選擇。EAP-TLS 是黃金標準。它使用用戶端憑證進行驗證，這完全消除了認證遭竊和密碼疲勞的風險。對於您擁有 MDM 平台來自動化憑證佈署的企業託管裝置，這是正確的選擇。PEAP-MSCHAPv2 是 BYOD 情境的可靠選擇，在此情境下部署憑證並不切合實際 - 它使用伺服器憑證建立 TLS 通道，然後在該通道內傳遞使用者名稱和密碼認證。請完全避免使用 LEAP 或 EAP-MD5 等舊型協定；它們在密碼學上很脆弱，不應在任何現代部署中使用。 讓我們來談談實作。我總是建議採用分階段的方法。 第一階段是身分來源整合。您的 RADIUS 策略好壞完全取決於您底層的目錄。確保您的 Active Directory 或 Entra ID 群組具備邏輯性、結構良好，並直接對應到您預期的網路區段。在開始之前稽核您的群組。刪除過期帳戶、整合重疊的群組，並建立明確的存取層級：高階主管、員工、約聘人員、訪客和 IoT。對於面向公眾的網路，像 Purple 這樣的平台可作為身分識別提供者，彌補公共訪客存取與安全驗證架構之間的差距。 第二階段是策略設定。建立評估多個情境因素的策略，而不仅仅是認證。評估 NAS-IP-Address（即驗證器的 IP），以了解請求來自哪個實體位置。評估包含 SSID 名稱的 Called-Station-Id，以了解使用者正連線到哪個網路。評估時間。約聘人員在凌晨兩點的存取權限檔案應該與他們在早上九點的存取有很大的不同。分層處理這些條件，以建立真正具備情境感知能力的策略。 第三階段是推出。我必須極力強調這一點：切勿同時在整個企業中部署 802.1X 強制執行。先從監控模式開始。在監控模式下，驗證失敗會被記錄，但仍會授予存取權。這讓您能夠看見設定錯誤的 supplicant、憑證過期的裝置，以及不支援 802.1X 的舊型設備。在監控模式下進行二到四週，解決您發現的問題，然後開始逐個位置強制執行策略。 現在，讓我們來談談最佳實踐以及讓團隊防不勝防的陷阱。 在 802.1X 環境中，導致災難性驗證失敗的第一大原因就是憑證過期。無論是 RADIUS 伺服器憑證過期，還是根 CA 憑證過期。一旦發生這種情況，每個驗證該伺服器憑證的裝置都將無法連線。請落實完善的憑證生命週期管理。在到期前九十天、六十天和三十天設定自動警報。將憑證更新列為例行的維運任務，而不是事後應對的緊急事件。 第二個主要挑戰是物聯網。許多裝置 - 印表機、攝影機、醫療設備、建築管理系統 - 根本不支援 802.1X。針對這些裝置，您必須使用 MAC 驗證旁路（MAB）。裝置的 MAC 位址會被用作其憑證。但請記住這個原則：永遠不要信任 MAC。MAC 位址極易被偽造。僅在絕對必要時才使用 MAB，且務必將這些裝置放入受到嚴格限制、隔離的 VLAN 中，並配置嚴格的 ACL，僅允許這些裝置運作所需的特定流量。 第三個陷阱是用戶端（supplicant）設定錯誤。終端使用者裝置可能被設定為驗證伺服器憑證，但其信任存放區中缺乏必要的根 CA。這會導致裝置拒絕伺服器憑證並連線失敗。解決方法是使用 MDM 將標準化的無線設定檔推送到所有企業裝置，確保信任正確的根 CA 並設定正確的 EAP 方法。 最後，請考量您的網路路徑。驗證器與 RADIUS 伺服器之間的高延遲可能會導致 EAP 逾時，進而導致連線失敗。對於擁有眾多分支機構的分散式企業，請確保您的 WAN 架構為集中式 AAA 服務提供低延遲的連線。 接下來讓我們看看投資報酬率（ROI）和業務影響。 為什麼要付出這麼多努力？首先，能降低維運開銷。將多個 SSID 整合至單一具有動態 VLAN 分配功能的 802.1X 網路中，可提升無線效能並降低管理複雜度。更少的 SSID 意味著更低的信標開銷、更多可用的空口時間，以及為您的使用者提供更好的吞吐量。 其次是合規性。如果您從事零售業，嚴格的網路分段是 PCI-DSS 的要求。如果您從事醫療保健業，這是 HIPAA 的要求。RADIUS 策略提供了通過合規性審計並避免重大財務處罰所需的、可驗證且可審計的控制措施。 第三是使用者體驗。無縫、安全的驗證 - 特別是透過 EAP-TLS 或 OpenRoaming - 消除回訪的企業使用者和 VIP 訪客使用 Captive Portal 的繁瑣步驟。在旅宿和交通運輸環境中，這會直接影響滿意度評分和回頭客率。 現在進行我們的快速問答。 問題：「我們有很多舊版裝置。我們應該為了簡便而繼續使用 WPA2-PSK 嗎？」 答：不。請將您支援的裝置過渡到 802.1X，並對舊版裝置使用 MAB，將其放置在隔離的區段中。單一遭破解的 PSK 就會讓您的整個網路面臨風險。這不是一個值得做的妥協。 問：「Purple 如何融入 RADIUS 部署？」 答：Purple 提供關於驗證趨勢、工作階段持續時間和漫遊行為的深入分析，這對於最佳化您的部署至關重要。此外，作為 OpenRoaming 的身分識別提供者，它為訪客簡化了安全存取，免除了傳統 Captive Portal 的繁瑣流程。 問：「對於剛開始這趟旅程的團隊來說，最快見效的方法是什麼？」 答：本週就在監控模式下部署 RADIUS。您將立即獲得驗證環境的可視性，並在強制執行政策之前識別出需要注意的裝置和使用者。知識就是第一步。 總結來說，配置 RADIUS 政策以進行細粒度的網路存取控制，是對您網路的安全、效能和合規性態勢的策略性投資。從乾淨、結構良好的身分識別目錄開始。利用動態 VLAN 分配來整合您的 SSID 並最佳化您的射頻（RF）環境。優先為企業裝置採用憑證型驗證。對 IoT 謹慎且安全地使用 MAB。並且一律分階段推出，從監控模式開始。 感謝您加入本次 Purple 技術簡報。如需更詳細的指南、實作策略，以及探索 Purple 的訪客 WiFi 和分析平台如何與您的網路存取控制架構整合，請造訪 purple dot ai。