為細粒度網路存取控制設定 RADIUS 原則

歡迎來到 Purple 技術簡報。我是您的主持人，今天我們將深入探討企業網路架構師和 IT 主管關注的重要主題：設定 RADIUS 策略以進行精細的網路存取控制。 如果您正在管理飯店連鎖、零售網路或大型公共場館的基礎設施，您一定知道，依賴簡單預先共用金鑰的時代早已過去。安全、合規和使用者體驗需要更精密的方法。今天，我們將拆解情境感知存取的架構，探索實作策略，並討論如何避免最常見且代價高昂的陷阱。 讓我們從背景脈絡開始。為什麼我們要討論 RADIUS 和 802.1X？因為邊界已經消失了。您有公司筆記型電腦、訪客智慧型手機、承包商平板電腦，以及大量湧入的 IoT 裝置，全都連接到相同的實體存取點。您需要一種機制來動態分割這些流量、強制執行合規性，同時仍能提供無縫的使用者體驗。這正是 RADIUS 策略派上用場的地方。透過利用 802.1X，您可以從「誰知道密碼」的模型轉變為「您是誰、您使用什麼裝置，以及您的情境為何？」這種轉變至關重要。 該架構依賴三個元件。第一，Supplicant（用戶端） - 終端使用者裝置上的軟體用戶端。第二，Authenticator（認證器） - 通常是您的無線存取點或交換器。第三，Authentication Server（認證伺服器） - 您的 RADIUS 伺服器。當裝置連線時，認證器會將 EAP 訊息傳遞給 RADIUS 伺服器。RADIUS 伺服器會比對您的身分識別存放區（例如 Active Directory、LDAP 或 Microsoft Entra ID 等雲端提供者）來驗證憑證。 但這裡有一個關鍵部分：設定妥當的 RADIUS 伺服器不僅僅是傳回簡單的「是」或「否」。它還會傳回廠商特定屬性（VSA），這些屬性會告訴網路基礎設施確切該如何處理該特定工作階段。其中最強大的應用就是動態 VLAN 分配。 想像一下體育場或大型會議中心等高密度環境。為不同的使用者群組廣播多個 SSID 會產生龐大的指標（Beacon）開銷並降低射頻（RF）效能。您廣播的每個 SSID 都會消耗寶貴的空口時間。使用 RADIUS，您只需廣播一個安全的 SSID。當財務經理進行驗證時，RADIUS 會告訴存取點將其流量導入 VLAN 10。當 POS 終端機連線時，它會被分配到 VLAN 20。當承包商進行驗證時，他們會進入具有受限存取權限的 VLAN 30。這既乾淨、高效，又大幅減少了您的受攻擊面。 現在，讓我們深入探討技術細節。您將在 RADIUS 執行設定檔中配置的金鑰屬性包括：Tunnel-Type，設定為 VLAN；Tunnel-Medium-Type，設定為 802；以及 Tunnel-Private-Group-Id，這就是您的實際 VLAN ID。這三個屬性會在 Access-Accept 訊息中一起返回，指示驗證器將該工作階段放入正確的網路區段中。 在驗證協定方面，您有多種選擇。EAP-TLS 是黃金標準。它使用用戶端憑證進行驗證，這完全消出了憑證被盜和密碼疲勞的風險。對於您擁有 MDM 平台來自動化憑證佈署的企業託管裝置來說，這是正確的選擇。PEAP-MSCHAPv2 是 BYOD 場景的可靠選擇，因為在這些場景中部署憑證並不切實際 - 它使用伺服器憑證建立 TLS 通道，然後在該通道內傳遞使用者名稱和密碼憑證。請完全避免使用 LEAP 或 EAP-MD5 等舊版協定；它們在密碼學上很脆弱，不應在任何現代部署中使用。 讓我們來談談實施。我總是建議採用分階段的方法。 第一階段是身分識別來源整合。您的 RADIUS 策略僅與您的底層目錄一樣好。確保您的 Active Directory 或 Entra ID 群組具有邏輯性、結構良好，並直接對應到您預期的網路區段。在開始之前稽核您的群組。刪除過期帳戶，合併重疊群組，並建立明確的存取層級：高階主管、員工、承包商、訪客和 IoT。對於面向公眾的網路，像 Purple 這樣的平台可充當身分識別提供者，彌合公共訪客存取與安全驗證架構之間的差距。 第二階段是策略配置。建立評估多個情境因素而不僅僅是憑證的策略。評估 NAS-IP-Address - 也就是驗證器的 IP - 以了解請求來自哪個物理位置。評估 Called-Station-Id（包含 SSID 名稱），以了解使用者正在連線到哪個網路。評估一天的時間。承包商在凌晨兩點的存取設定檔，應該與他們在早上九點的存取設定檔大不相同。分層這些條件以建立真正具備情境感知的策略。 第三階段是推出。而且我必須再三強調：絕對不要同時在整個企業中部署 802.1X 強制執行。先從監控模式開始。在監控模式下，驗證失敗會被記錄，但仍會授予存取權限。這讓您能夠看見配置錯誤的請求者、憑證過期的裝置，以及不支援 802.1X 的舊型設備。在監控模式下進行二到四週，解決您發現的問題，然後開始逐個位置強制執行策略。 現在，讓我們來談談最佳實踐以及讓團隊防不勝防的陷阱。 在 802.1X 環境中，導致災難性驗證失敗的第一大原因是憑證過期。這可能是 RADIUS 伺服器憑證過期，或者是根 CA 憑證過期。一旦發生這種情況，每個驗證伺服器憑證的裝置都將無法連線。請實施完善的憑證生命週期管理。在到期前九十天、六十天和三十天設定自動警報。將憑證更新列為排程的維運任務，而不是被動的緊急事件。 第二個主要挑戰是 IoT。許多裝置（印表機、攝影機、醫療設備、大樓管理系統）根本不支援 802.1X。針對這些裝置，您必須使用 MAC 驗證旁路（MAB）。裝置的 MAC 位址會被用作其認證憑據。但請記住這個原則：永遠不要信任 MAC。MAC 位址極易被偽造。僅在絕對必要時才使用 MAB，且務必將這些裝置放入受到嚴格限制、隔離的 VLAN 中，並配置嚴格的 ACL，僅允許這些裝置運作所需的特定流量。 第三個陷阱是 supplicant（用戶端）設定錯誤。終端使用者裝置可能被設定為驗證伺服器憑證，但其信任儲存庫中缺乏必要的根 CA。這會導致裝置拒絕伺服器憑證並連線失敗。解決方案是使用 MDM 將標準化的無線設定檔推送到所有企業裝置，確保信任正確的根 CA 並設定了正確的 EAP 方法。 最後，請考慮您的網路路徑。驗證器與 RADIUS 伺服器之間的高延遲可能會導致 EAP 逾時，從而導致連線失敗。對於擁有許多分支機構的分散式企業，請確保您的 WAN 架構為您的集中式 AAA 服務提供低延遲的連線。 讓我們轉到 ROI（投資報酬率）和業務影響。 為什麼要付出這一切努力？首先，減少維運開銷。透過動態 VLAN 分配將多個 SSID 整合到單一 802.1X 網路中，可以提高 WiFi 效能並降低管理複雜性。較少的 SSID 意味著較少的信標開銷、更多可用的空口時間以及為使用者提供更好的吞吐量。 其次，合規性。如果您從事零售業，嚴格的網路分割是 PCI-DSS 的要求。如果您從事醫療保健業，這是 HIPAA 的要求。RADIUS 策略提供了通過合規性審計並避免重大財務處罰所需的、可驗證且可審計的控制措施。 第三，使用者體驗。無縫、安全的驗證（特別是透過 EAP-TLS 或 OpenRoaming）為返回的企業使用者和 VIP 訪客消除了 Captive Portal 的摩擦。在旅宿和交通環境中，這會直接影響滿意度評分和回頭客率。 現在進入我們的快速問答環節。 問題：「我們有很多舊版裝置。我們應該為了簡單起見而繼續使用 WPA2-PSK 嗎？」 答：不是。請將具備此能力的裝置過渡至 802.1X，並針對舊型裝置使用 MAB，將其放置在隔離的分段中。單一遭破解的 PSK 就會讓您的整個網路面臨風險。這不是一個值得做的妥協。 問：「Purple 在 RADIUS 部署中扮演什麼角色？」 答：Purple 提供關於驗證趨勢、工作階段持續時間和漫遊行為的深度分析，這對於最佳化您的部署至關重要。此外，作為 OpenRoaming 的身分識別提供者，它為訪客簡化了安全存取，免去了傳統 Captive Portal 的繁瑣流程。 問：「對於剛開始這段旅程的團隊來說，最快能取得的成效是什麼？」 答：本週就在監控模式下部署 RADIUS。您將立即獲得驗證環境的可視性，並在強制執行原則之前，識別出需要關注的裝置與使用者。掌握現況是第一步。 總結來說，配置 RADIUS 原則以進行細粒度的網路存取控制，是對您網路安全性、效能和合規性態勢的策略性投資。從乾淨、結構良好的身分識別目錄開始。利用動態 VLAN 分配來整合您的 SSID 並最佳化您的射頻環境。優先針對企業裝置採用憑證型驗證。針對 IoT 裝置，謹慎且安全地使用 MAB。並且始終分階段推出，從監控模式開始。 感謝您參與本次 Purple 技術簡報。如需更詳細的指南、實施策略，以及探索 Purple 的訪客 WiFi 和分析平台如何與您的網路存取控制架構整合，請造訪 purple dot ai。