使用 NAC 保護 K-12 學校網路的安全最佳實踐

以 NAC 保護 K-12 學校網路的最佳實踐 Purple WiFi 智慧簡報 — 閱讀時間約 10 分鐘 --- 簡介與背景說明 — 約 1 分鐘 歡迎來到 Purple WiFi 智慧簡報。我是您的主持人，今天我們要深入探討一個兼顧安全維護、合規性與實用網路工程的課題：使用網路存取控制（Network Access Control，簡稱 NAC）來保護 K-12 學校網路。 如果您是服務於教育領域的 IT 經理或網路架構師，您一定深知這項挑戰。您必須在單一的實體網路上，同時服務教職員、學生、董事、參訪的家長、物聯網裝置（如智慧白板與監視器），有時還有外部承包商，而且這些使用者的信任級別與存取需求都大不相同。 這關乎極高的風險。學校持有未成年人的敏感個人資料。在法律規範方面，學校必須遵守 GDPR 以及美國的 CIPA，且在英國也越來越需要遵循 Ofsted 與 DfE 的指引。只要一個設定錯誤的存取點，就可能洩露安全維護紀錄，或讓學生能橫向移動到行政網路。 因此，我們今天將逐步說明如何在 K-12 環境中架構與部署 NAC 解決方案，包括各項標準、區段劃分策略、整合點，以及連資深團隊都可能踩到的陷阱。 讓我們開始吧。 --- 技術深度剖析 — 約 5 分鐘 我們先從基礎觀念開始。NAC（網路存取控制）是一項用於控制「誰」以及「什麼裝置」可以連線到您的網路，並限制他們在連線後可以做什麼的機制。在 K-12 的情境中，這代表必須在網路入口點（不論是實體有線交換器連接埠，還是無線存取點）強制執行驗證、授權與策略管制。 這項技術的基石標準是 IEEE 802.1X。這是一種基於連接埠的驗證協定，運作於用戶端裝置（欲進行連線的裝置）、認證器（您的交換器或存取點）以及驗證伺服器（通常是 RADIUS 伺服器）之間。當裝置嘗試連線時，802.1X 會將其保持在未驗證狀態，將憑證傳送至 RADIUS 伺服器，並在伺服器確認身分與原則相符後，才授予網路存取權限。 在學校中，這能直接對應到您的使用者群體。教職員使用其 Active Directory 或 Azure AD 憑證進行驗證。學生使用學校核發的憑證或裝置憑證進行驗證。非託管裝置（例如家長在學校晚會上使用的手機，或是承包商的筆記型電腦）則會被重新導向至 Captive Portal 或受限的訪客 VLAN。 接著，我們來談談 VLAN 區段劃分，因為這是大多數學校網路成功防護或暴露於風險中的關鍵所在。 K-12 網路的最小可行性分段模型如下。您至少需要四個 VLAN。第一，教職員與行政 VLAN - 承載教師工作站、MIS 系統、HR 數據和財務應用程式。擁有完全的網際網路存取權限，但無法橫向存取學生設備。第二，學生 VLAN - 具有過濾的網際網路存取，強制執行內容過濾，無法存取教職員資源。第三，IoT 與基礎設施 VLAN - 這是您的智慧黑板、IP 攝影機、門禁控制器和印表機所在的區域。關鍵在於，除非特定設備有需求，否則此 VLAN 應完全無法存取網際網路，且必須與教職員和學生 VLAN 之間設定防火牆隔離。第四，訪客 VLAN - 僅限網際網路、完全隔離，並配有 Captive Portal 以供接受條款和擷取身分。 RADIUS 伺服器是此運作的核心。在大多數學校部署中，您會將 RADIUS 與現有的目錄服務整合。如果您使用的是 Microsoft Active Directory，通常是透過 Windows Server 上的 NPS（網路原則伺服器）進行，或者如果您已遷移至 Azure AD 或 Google Workspace，則透過雲端 RADIUS 服務進行。RADIUS 伺服器根據群組成員資格套用原則："Staff" 安全群組中的使用者會被分配到 VLAN 10，"Students" 中的使用者會被分配到 VLAN 20，依此類推。 在無線網路方面，目前最佳實踐是 WPA3-Enterprise。WPA3 解決了 WPA2 中已知的漏洞，特別是離線字典攻擊和 KRACK 漏洞。WPA3-Enterprise 針對高敏感度環境使用 192 位元安全模式，這適用於教職員和行政 SSID。對於學生 SSID，採用 SAE（等效同時驗證）的 WPA3-Personal 比 WPA2-PSK 有顯著改進，因為即使預先共用金鑰遭到洩露，它也能防止離線暴力破解攻擊。 值得強調的一個架構決策是，要運行具有動態 VLAN 分配的單一 SSID，還是運行多個 SSID。單一 SSID 方法在營運上更為簡潔 - 使用者連線到同一個網路名稱，RADIUS 伺服器會根據其憑證動態地將其分配到正確的 VLAN。這減少了射頻（RF）開銷並簡化了設備設定。然而，這需要您所有的存取點（AP）都支援透過 RADIUS 屬性進行動態 VLAN 分配，特別是 RADIUS Access-Accept 回應中的 Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID 屬性。現在，IoT 裝置管理在學校中是一項特別的挑戰。智慧白板、實物投影機、環境感測器 - 這些裝置通常完全不支援 802.1X。此處的解決方案是 MAC 驗證旁路 (MAB) 結合 Multi-PSK (或稱 MPSK)。MAB 允許您透過 RADIUS 伺服器中的白名單，根據裝置的 MAC 位址進行驗證。MPSK 則更進一步 - 它允許您為每個裝置或裝置群組分配唯一的預共用金鑰，因此每個 IoT 裝置都有自己的憑證，而且單一裝置金鑰的遭破解並不會影響其他裝置。如需此方法的詳細逐步說明，Purple 關於使用 NAC 和 MPSK 管理 IoT 裝置安全的指南深入介紹了配置細節。 我們也來討論端點合規狀態檢查，因為這是企業級 NAC 解決方案比基礎 802.1X 能提供顯著價值的地方。像是 Cisco ISE、Aruba ClearPass 或 Forescout 等解決方案可以在授予存取權限之前詢問端點 - 檢查裝置是否具有最新的防毒定義檔、作業系統是否已安裝修補程式、硬碟加密是否已啟用。在學校情境中，這對於教職員個人擁有的裝置或 BYOD 情境特別有價值。未通過狀態檢查的裝置可以被隔離到修復 VLAN，在該處只能存取更新伺服器，而不是被授予完整的網路存取權限。 --- 實作建議與常見陷阱 - 約 2 分鐘 讓我為您說明實際的佈署順序，然後指出我最常看到的三個陷阱。 從完整的網路稽核開始。在您修改任何配置之前，您需要對網路上的每個裝置（有線和無線）以及目前正在廣播的每個 SSID 進行完整盤點。使用類似 Nmap 的工具或您現有的網路管理平台來列舉裝置。您幾乎肯定會發現影子 IT：個人熱點、未管理的交換器，以及沒人知道其存在的裝置。 分階段進行推出。不要試圖在第一天就在整個學校強制執行 802.1X 驗證。從試點開始 - 通常是行政大樓的教職員網路。先以監控模式執行（此時會評估但不會強制執行 802.1X），這樣您就可以在將任何人拒之門外之前，識別出無法通過驗證的裝置。然後，再逐一 VLAN 強制執行。 在佈署給使用者之前，先與您的目錄服務整合。最常見的失敗模式是佈署了 RADIUS 之後，才發現您的目錄整合已損壞 - 這可能是因為防火牆規則封鎖了 LDAP 流量，或是因為 RADIUS 使用的服務帳戶沒有足夠的權限來查詢群組成員資格。 現在，來談談三個陷阱。第一：舊型設備。每所學校都有這些設備。舊款印表機、舊型 AV 設備、2012 年的互動式白板。這些設備將不支援 802.1X。在強制執行驗證之前，請準備好 MAB 白名單策略，否則在開學第一天，你就會接到每位老師因為印表機停止運作而打來的投訴電話。 第二：憑證管理。WPA3-Enterprise 與 EAP-TLS 驗證需要憑證。如果你使用的是學校管理的 PKI，請在部署前確保你的憑證授權單位在所有受管理設備上都是受信任的。未受管理的 BYOD 設備會提示使用者接受不受信任的憑證，這會製造網路釣魚風險 - 使用者會被訓練成在遇到憑證警告時直接點擊「接受」。 第三：訪客網路合規性。根據 GDPR，如果你透過 Captive Portal 收集任何個人資料 - 即使只是電子郵件地址 - 你都需要合法的依據、隱私權聲明和資料保留政策。Purple 的訪客 WiFi 平台原生處理了這一點，提供符合規範且內建同意管理的 Captive Portal 流程，這對於家長參觀日和家長活動等需要快速為大量訪客完成連線設定的場合特別有用。 - 快速問答 - 約 1 分鐘 讓我來解答關於這個主題最常被問到的問題。 「我們需要專用的 RADIUS 伺服器，還是可以使用雲端服務？」 - 兩者皆可行。Windows Server 上的本地端 NPS 是免費的，且與 Active Directory 原生整合。像 Foxpass 或 JumpCloud RADIUS 這樣的雲端 RADIUS 服務更適合 Azure AD 或 Google Workspace 環境，且能減少你的本地端基礎架構腳印。 「那 Chromebook 呢？」 - Chromebook 原生支援 802.1X，並可透過 Google 管理主控台進行設定，以搭配使用透過 Google 憑證管理核發的裝置憑證來進行 EAP-TLS。對於 Google Workspace for Education 部署來說，這是最乾淨俐落的方法。 「我們該如何處理家長參觀日的家長連網？」 - 在隔離的訪客 VLAN 上使用 Captive Portal。不需要 802.1X。Purple 的訪客 WiFi 平台提供具備品牌形象、符合 GDPR 規範的入口網站，可收集同意書並將分析數據回傳給你的行銷或公關團隊。 「在學校導入 NAC 的投資報酬率為何？」 - 主要是降低風險。涉及學生紀錄的資料外洩可能會導致 ICO 罰款、商譽受損以及龐大的補救成本。部署完善的 NAC 解決方案，其成本僅是單次外洩調查成本的一小部分。 - 總結與後續步驟 - 約 1 分鐘 總結來說：使用 NAC 保護 K-12 網路的安全可以歸納為四大支柱。身分辨識 - 隨時掌握網路上有哪些人與裝置。區段劃分 - 確保受損的學生裝置無法存取教職員數據或 IoT 基礎架構。合規性 - 符合 GDPR、CIPA 和 DfE 對數據保護和安全防護的要求。以及可視性 - 具備日誌記錄和分析功能，以偵測異常並快速回應。 實際的起步點是網路稽核與 VLAN 設計。做好這一點，802.1X 的部署就會遵循邏輯順序。不要試圖一次完成所有工作 - 分階段進行、在監控模式下進行測試，並在執行強制管控之前建立您的 MAB 白名單。 如果您正在評估訪客 WiFi 和分析平台如何融入此架構，Purple 的平台可直接與您的 NAC 基礎架構整合，提供合規的訪客登入、訪客分析和策略執行 - 且不會增加您核心網路區段劃分的複雜性。 如需延伸閱讀，Purple 關於使用 NAC 和 MPSK 保護 IoT 裝置安全的指南，以及更廣泛的企業網路架構資源，已連結於節目資訊欄中。 感謝您的收聽。我們下次見。 --- 腳本結束