WiFi 上的 IoT 裝置分隔：隔離非標準裝置

歡迎收聽 Purple 技術簡報。我是您的主持人，今天我們將深入探討場域 IT 團隊面臨的一項關鍵挑戰：WiFi 上的 IoT 裝置分隔，特別專注於隔離非標準裝置。 如果您管理飯店業、零售業或大型公共場域的網路，您就知道這個頭痛問題。您擁有一個用於公司裝置的漂亮、安全的 802.1X 網路，一個用於 Guest WiFi 的流暢 Captive Portal，然後... IoT 裝置來了。飯店客房中的智慧電視、無線銷售點終端、數位看板、溫度感測器以及建築管理系統。 問題在哪？從網路角度來看，這些裝置大多是「笨拙的」。它們不支援 802.1X 企業驗證。它們通常只需要一個預先共用金鑰，如果您將它們放在主要網路上，它們就會成為巨大的安全責任。受入侵的智慧恆溫器不應讓攻擊者取得進入支付系統的跳板。 那麼，我們如何處理這個問題？這就是我們今天要討論的內容。我們將探討架構、基於 MAC 的驗證等回退機制，以及您需要實施的防火牆策略。 讓我們從架構開始。IoT 分隔的基本原則是 VLAN 隔離。您的 IoT 裝置必須位於專用的 VLAN 上，完全與您的 Guest WiFi 和公司網路分開。 在典型的 Purple 部署中，無論是在零售連鎖店還是醫療機構，我們都會看到一個三層方法。 第一層是公司 VLAN，透過 802.1X 保護。 第二層是 Guest VLAN，透過開放式 SSID 和 Captive Portal 進行服務條款接受和分析擷取來保護。 第三層是 IoT VLAN。 裝置如何進入這個 IoT VLAN？通常有兩個選項：專用 SSID 或動態 VLAN 指派。 專用 SSID，我們稱之為「Venue-IoT」，是最簡單的方法。它使用 WPA3-Personal 或 WPA2-PSK。然而，在數百台裝置之間共享單一密碼是有風險的。如果密碼洩露，任何人都可以加入 IoT 網路。 這引導我們到一個更好的方法：身分預先共用金鑰 (iPSK)，或稱多重 PSK。現代無線控制器允許您為每台 IoT 裝置或裝置群組產生獨特的預先共用金鑰，所有裝置都在同一個 SSID 上廣播。這意味著如果一台智慧電視遭入侵，您可以撤銷其特定金鑰，而不會影響 HVAC 感測器。 但是，如果裝置非常基本，連這都有困難，或者您需要根據裝置類型動態指派 VLAN，該怎麼辦？這就是 MAC 驗證繞過 (MAB) 派上用場的地方。 MAB 本質上是使用裝置的 MAC 位址作為其使用者名稱和密碼。存取點看到 MAC 位址，查詢您的 RADIUS 伺服器——順便說一下，如果您正在決定 RADIUS 基礎設施，請查看我們的雲端 RADIUS 與本地端 RADIUS 決策指南——如果 MAC 位址在核准清單中，RADIUS 伺服器會告訴交換器或 AP 將該裝置放到 IoT VLAN 中。 現在，我知道您在想什麼。「MAC 位址可以被偽造。」是的，它們可以。MAC 驗證不是強大的安全性。它是針對非標準裝置的操作權宜之計。 因此，MAB 必須與激進的防火牆策略搭配使用。這是本簡報中最關鍵的部分。 一旦裝置位於 IoT VLAN 上，它能做什麼？預設情況下，答案應該是：完全不能做什麼。您必須在防火牆層級實施零信任方法。 首先，封鎖所有 VLAN 間路由。VLAN 10 上的 IP 攝影機永遠不應該能夠 ping VLAN 30 上的銷售點終端。 第二，在 SSID 本身實施客戶端隔離。相鄰飯店客房中的兩台智慧電視不需要相互通訊。 第三，限制對外網際網路存取。該智慧恆溫器只需要透過連接埠 443 與其特定的供應商雲端端點通訊。它不需要一般網際網路存取，更不需要對未知伺服器進行 DNS 查詢。根據製造商的要求，為輸出流量建立明確的允許清單。 讓我們看看一個真實世界的實作。考慮一個現代化的飯店環境——如果您想要更多背景資訊，我們有一篇關於現代飯店 WiFi 解決方案的精彩部落格文章。一家擁有 300 間客房的飯店需要讓智慧電視、客房控制系統和員工 VoIP 電話上線。 IT 團隊部署了帶有身分預先共用金鑰 (iPSK) 的專用 IoT SSID。每個房間的裝置都獲得一個獨特的金鑰。網路將它們分配到 VLAN 40。在核心防火牆中，VLAN 40 受到嚴格限制。它只能存取網際網路，並且只能存取電視製造商和建築管理雲端供應商擁有的特定 IP 範圍。 當客人將其筆記型電腦連接到 Guest WiFi 時，他們位於 VLAN 20。他們可以存取網際網路，但無法看到或投射到隔壁房間的電視，因為客戶端隔離和 VLAN 間路由封鎖已就位。這保護了客人、飯店的基礎設施，並確保符合資料保護法規。 在我們結束之前，讓我們談談幾個常見的陷阱。 最大的錯誤是「扁平網路」方法——因為比較簡單，就將 IoT 裝置放在公司網路上。這就是重大零售外洩事件發生的原因。 另一個陷阱是未能對 MAC 位址進行生命週期管理。如果您更換了故障的印表機，必須從 RADIUS 伺服器中移除舊的 MAC 位址，否則該 MAC 位址就是一個永久後門。 最後，忽視可視性。您需要網路分析來了解這些裝置實際上在做什麼。如果一台智慧冰箱突然開始向未知的海外 IP 傳輸數 GB 的資料，您的分析平台需要立即標記出來。 時間來進行一個快速的快問快答。 問題：我可以將 Purple 的 Guest WiFi Captive Portal 用於 IoT 裝置嗎？ 答案：不行。IoT 裝置缺乏瀏覽器，無法與 Captive Portal 互動。請改用 MAC 驗證或身分預先共用金鑰 (iPSK)。 問題：我應該隱藏 IoT SSID 嗎？ 答案：隱藏 SSID（停用 SSID 廣播）不提供真正的安全性，且通常會導致廉價 IoT 射頻的連線穩定性問題。保持可見但妥善保護它。 總結：將您的 IoT 裝置分隔到專用的 VLAN 中。使用身分預先共用金鑰 (iPSK) 或 MAC 驗證繞過 (MAB) 使其上線。最重要的是，使用嚴格的、預設拒絕的防火牆規則鎖定 IoT VLAN。 感謝您收聽本 Purple 技術簡報。實施這些策略，您將大幅降低場域網路的風險狀況。