企業網路 802.1X 驗證詳解

企業網路 802.1X 驗證解析。Purple WiFi 智慧簡報。 歡迎。如果您負責跨多個據點組織的網路安全（無論是飯店集團、零售連鎖、體育場館還是公共部門資產），這份簡報就是為您準備的。在接下來的十分鐘內，我們將涵蓋您需要了解的關於 802.1X 驗證的一切：它是什麼、它在後台如何運作、如何正確部署，以及大多數組織會遇到的陷阱。讓我們開始吧。 第一部分：背景以及為什麼這在目前至關重要。 企業 WiFi 的威脅形勢已發生戲劇性的變化。預共用金鑰網路（即每個人都知道 WiFi 密碼的那種網路）在受監管的環境中已不再適用於員工網路。在 2024 年全面生效的 PCI-DSS 4.0 版本下，處理付款卡資料的組織必須在任何接觸持卡人資料環境的網路上實施強大的存取控制。GDPR 對任何承載個人資料的網路也有類似的義務。隨著混合辦公的普及，意味著員工會從數十個地點的託管和非託管裝置進行連線，舊有的邊界模型已完全不再適用。 802.1X 是解決此問題的 IEEE 標準。它提供基於連接埠的網路存取控制 - 意味著裝置在透過中央身分識別庫進行驗證之前，完全無法加入網路。這不僅僅是共用密碼。而是一個實際經過驗證的身分。這就是根本性的轉變。 第二部分：技術深度探討。 讓我們來看看這個架構。802.1X 定義了三種角色。用戶端（supplicant） - 也就是終端裝置，即嘗試連線的筆記型電腦或智慧型手機。驗證器（authenticator） - 也就是無線存取點或網路交換器。以及驗證伺服器（authentication server） - 在幾乎所有的企業部署中，這都是一台 RADIUS 伺服器。 以下是交握（handshake）的運作方式。當裝置嘗試連線到受保護的 SSID 時，存取點會將該裝置置於未驗證狀態。它無法存取網路。AP 會向裝置發送一個 EAP 要求身分（Request Identity）訊框。EAP 代表可延伸驗證通訊協定（Extensible Authentication Protocol） - 它是承載實際憑證的框架。裝置會回應其身分。AP 將此資訊封裝在 RADIUS Access-Request 封包中，並轉發給 RADIUS 伺服器。接著，RADIUS 伺服器會向裝置發起驗證要求（challenge） - 具體的驗證要求取決於您使用的是哪種 EAP 方法。裝置會回應其憑證。RADIUS 伺服器會比對您的身分識別庫（Active Directory、LDAP 或雲端 IdP）來驗證這些憑證，並傳回 Access-Accept 或 Access-Reject。如果是 Accept，AP 就會開啟連接埠，裝置即可獲得網路存取權。如果是 Reject，裝置將保持封鎖狀態。整個交換過程不到一秒即可完成。 現在，EAP 方法的選擇是多數架構師花費最多時間的地方。您有四個主要選項。EAP-TLS 是黃金標準。它要求在每台裝置上安裝用戶端憑證，這意味著您需要建置 PKI 基礎架構，但它提供了雙向驗證 - 伺服器向用戶端證明其身份，且用戶端向伺服器證明其身份。由於不涉及密碼，因此無法對憑證進行網路釣魚。這是完全受管理裝置群的正確選擇。 PEAP - Protected EAP - 是實務中部署最廣泛的方法。它僅使用伺服器憑證建立 TLS 隧道，然後在該隧道內傳輸使用者名稱與密碼憑證。由於不需要用戶端憑證，它的部署難度明顯低於 EAP-TLS，且在每個主要作業系統上都獲得原生支援。其折衷之處在於它依賴使用者驗證伺服器憑證，而在實務中他們通常不會這麼做。正確的 PEAP 部署需要鎖定用戶端（supplicant）設定，使其僅信任您特定的 RADIUS 伺服器憑證。 EAP-TTLS 與 PEAP 類似，但在內部驗證方法上更具彈性。在具有舊版裝置或非 Windows 端點的環境中，它特別有用。EAP-FAST 由 Cisco 開發，作為一種使用受保護存取憑證（Protected Access Credentials）代替憑證的更快替代方案，但在新架構中較少部署。 RADIUS 伺服器本身也值得關注。兩個主導的開源選項是 FreeRADIUS（支援全球大部分企業部署）以及 Microsoft NPS - Network Policy Server（包含在 Windows Server 中並與 Active Directory 原生整合）。商業選項包括 Cisco ISE、Aruba ClearPass 和 Portnox Cloud，後者提供雲端原生的 RADIUS-as-a-service 模式，完全免除了對地端伺服器基礎架構的需求。 VLAN 分配是設定妥當的 802.1X 部署中最強大的功能之一。RADIUS 伺服器可以在 Access-Accept 回應中傳回 VLAN 屬性，將通過驗證的裝置動態分配到適當的網路區段。員工通過驗證後進入員工 VLAN。承包商使用不同的憑證通過驗證，進入具有受限存取權限的限制 VLAN。憑證驗證失敗的裝置則會被放入隔離 VLAN。這就是動態分割，也是一項重大的安全性控制。 第三部分：實作建議與應避免的陷阱。 讓我為您提供行之有效的部署順序。首先從網路稽核開始。在您修改任何設定之前，請先記錄每一個需要進行驗證的裝置。這包括印表機、IP 電話、大樓管理系統、CCTV 監視器等任何連接到網路的裝置。這些無螢幕的主機裝置沒有 supplicant，因此無法執行 802.1X。您需要為它們制定策略，通常是採用具有嚴格 MAC 位址白名單的 MAC 驗證繞過（MAB），並將其放置在隔離的 VLAN 中。 步驟二：建立您的 RADIUS 基礎架構。為了確保彈性，您至少需要一台主要與一台備用 RADIUS 伺服器。請設定您的存取點以進行自動容錯移轉。導致所有員工無法連線網路的 RADIUS 斷線是一件 P1 等級的重大事件。不要因為只部署了單一伺服器而讓這種情況發生。 步驟三：如果您要採用 EAP-TLS，請部署您的 PKI。您可以使用現有的 Active Directory 憑證服務或雲端 PKI 供應商。透過群組原則進行自動註冊，可讓用戶端憑證的大規模部署變得易於管理。 步驟四：設定您的網路原則。在 RADIUS 中定義您的驗證原則，例如哪些使用者或裝置群組會分配到哪些 VLAN、驗證失敗時如何處理，以及如何處理訪客與員工的流量。這就是您在網路層實施最小權限原則的地方。 步驟五：在正式推出前進行試點。先選擇一個據點、一個樓層或一個 SSID。測試每一種裝置類型。測試失敗情境。測試 RADIUS 伺服器無法連線時的情況。只有在完成這些測試後才能進行擴充。 接下來是常見的陷阱。我最常看到的是在 PEAP 部署中憑證驗證設定錯誤。如果您的 supplicant 原則未強制執行伺服器憑證驗證，您將容易受到惡意 AP 攻擊，攻擊者會設定虛假的存取點並竊取憑證。請透過群組原則或 MDM 鎖定您的 supplicant 設定檔。 第二個陷阱是在上線當天之前忽略非 802.1X 的裝置。如果您沒有事先規劃，IoT 裝置、印表機和舊型系統將會破壞您的部署計劃。此時 MAC 驗證繞過是您的好幫手，但這必須在您啟用開關之前設定好。 第三個陷阱是 RADIUS 中的單一故障點。我曾看過有些組織只部署了一台單一 NPS 伺服器，結果發現在 Windows Update 重新啟動期間，所有員工的網路全部癱瘓。請務必部署備援的 RADIUS 基礎架構。 第四部分：常見問答。 802.1X 能否與訪客 WiFi 網路並行運作？當然可以。您的訪客 SSID 是獨立運行的 - 通常使用 Captive Portal 方式 - 而您的員工 SSID 則強制執行 802.1X。它們是完全獨立且使用不同 VLAN 的 SSID。Purple 的平台負責處理訪客端，並在之上結合分析與互動工具，而您的 802.1X 基礎架構則負責保護員工端的安全。 802.1X 可以取代 VPN 嗎？不行。802.1X 控制的是網路准入，即誰可以加入網路。而 VPN 則是加密傳輸中的流量，並在不安全的連線上延伸企業網路。兩者的目的不同，且通常會搭配使用。 這對漫遊效能有何影響？使用 802.1X 時，裝置每次在存取點之間漫遊都需要重新驗證。對於大多數企業部署而言，這是感覺不到的。PMK 快取與 OKC（Opportunistic Key Caching，機會性金鑰快取）能顯著降低重新驗證的開銷。對於體育館或會議中心等高密度環境，這非常值得進行明確的設定。 WPA3-Enterprise 是 802.1X 的替代方案嗎？不是。WPA3-Enterprise 使用 802.1X 進行驗證。WPA3 改善了加密層，特別是針對最敏感的部署強制要求 192 位元安全性模式。802.1X 則是底層的驗證框架。 第五節：總結與後續步驟。 以下是您應該從本次簡報中汲取的要點。802.1X 是企業級企業 WiFi 的唯一驗證機制。在受監管的環境中，預先共用金鑰是不可接受的。請根據您的裝置類型選擇 EAP 方法 - 如果您擁有受管理裝置和 PKI，請選擇 EAP-TLS；如果您需要更廣泛的相容性，請選擇 PEAP。請在部署前（而非部署後）規劃非 802.1X 裝置。部署備援 RADIUS 基礎架構 - 單一伺服器就是單一故障點。使用動態 VLAN 分配在驗證時執行網路分段。並在您的所有場域全面推廣之前進行徹底的試點。 如果您正在建置多站點部署並需要通盤考量架構，Purple 的技術團隊每天都與餐旅業、零售業和公共部門的網路架構師合作。透過 802.1X 的安全員工 WiFi 與透過 Purple 平台的智慧顧客 WiFi 相結合，為您提供完整的分段網路策略，同時滿足您的安全義務與顧客體驗需求。 本次簡報到此結束。感謝您的聆聽。