802.1X va RADIUS bilan WPA Enterprise korporativ Wi-Fi
Chuqur4 daqInnovialabs tahririyati
Qisqacha
WPA Enterprise bitta umumiy parol o‘rniga 802.1X orqali RADIUS server tekshiradigan shaxsiy login yoki sertifikatlardan foydalanadi: bitta odamni uzish, kim ulanganini ko‘rish va har kimni kerakli VLAN ga yo‘naltirish mumkin.
Umumiy Wi-Fi paroli nega ishlamay qoladi
WPA2/WPA3-Personal rejimida hamma bitta kalitdan foydalanadi. Bir necha kishi uchun bu yetarli, lekin ofis kattalashgani sari muammolar to‘planadi:
- Xodim ketganda uni uzishning yagona yo‘li — barcha qurilmalarda parolni almashtirish.
- Loglarda odamlar emas, MAC manzillar ko‘rinadi — tarmoqda kim bo‘lganini bilib bo‘lmaydi.
- Parol chatlar, stikerlar va mehmonlar telefonlari orqali tarqaladi.
- WPA2-Personal da kalitni biladigan va qurilmaning handshake ini ushlab olgan odam uning trafigini deshifrlay oladi.
- Rolidan qat’i nazar, hamma bitta tarmoq segmentiga tushadi.
WPA Enterprise buni hal qiladi: har bir foydalanuvchi yoki qurilma 802.1X orqali alohida tekshiruvdan o‘tadi, RADIUS server esa kimni qanday sozlamalar bilan kiritishni hal qiladi.
802.1X qanday ishlaydi
Uchta rol bor:
- Supplicant — noutbuk yoki telefon.
- Authenticator — kirish nuqtasi (simli 802.1X da kommutator porti).
- Authentication server — RADIUS server.
Jarayon:
- Mijoz SSID ga ulanadi. Kirish nuqtasi EAP xabarlaridan boshqa barcha trafikni bloklaydi.
- Kirish nuqtasi mijozning EAP xabarlarini RADIUS so‘rovlariga o‘rab, serverga yuboradi. Parollarni o‘zi tekshirmaydi.
- Mijoz va server odatda TLS tunnel ichida EAP usulini bajaradi.
- Muvaffaqiyatli bo‘lsa, server kalit materiali va kerak bo‘lsa atributlar (masalan, VLAN raqami) bilan Access-Accept yuboradi.
- Mijoz va kirish nuqtasi shu sessiya uchun noyob shifrlash kalitlarini hosil qiladi.
Qaysi EAP usulini tanlash
| Usul | Foydalanuvchi nimani taqdim etadi | Afzalliklari | Kamchiliklari |
|---|---|---|---|
| EAP-TLS | Mijoz sertifikati | Eng ishonchli, o‘g‘irlanadigan parol yo‘q | Sertifikat markazi va sertifikat tarqatish usuli kerak (MDM, guruh siyosatlari) |
| PEAP-MSCHAPv2 | Login va parol | Oddiy, Active Directory bilan ishlaydi | Faqat mijozlar server sertifikatini tekshirsa xavfsiz |
| EAP-TTLS/PAP | Login va parol | LDAP va boshqa kataloglar bilan ishlaydi | Server sertifikatini tekshirish talabi xuddi shunday |
Parolli usullarda asosiy narsa: mijoz server sertifikatini tekshirishi kerak (ishonchli CA va kutilgan server nomi). Aks holda buzg‘unchi xuddi shu SSID bilan soxta kirish nuqtasi ochib, login ma’lumotlarini yig‘ib oladi. Zamonaviy OT lar bu sozlamasiz ulanishga tobora kamroq ruxsat beradi — va bu to‘g‘ri.
Amaliy qoida: odamlar uchun PEAP yoki TTLS dan boshlang, korporativ noutbuklar uchun EAP-TLS ni rejalashtiring.
RADIUS server variantlari
- FreeRADIUS — open source, Linux da ishlaydi, juda moslashuvchan, matnli fayllar orqali sozlanadi.
- Microsoft NPS — Windows Server roli, Active Directory bo‘lsa tabiiy tanlov.
- O‘rnatilgan RADIUS Wi-Fi kontrollerlari, routerlar yoki NAS larda — oddiy foydalanuvchilar ro‘yxatiga ega kichik ofisga yetadi.
- Bulutli RADIUS xizmatlari — boshqariladigan, ko‘pincha bulutli kataloglar va sertifikat tarqatish bilan integratsiyalashadi.
Hisoblar qayerda saqlanishi, sertifikatlar kerakligi va zaxira bo‘yicha tanlang: ikkita RADIUS server bittadan yaxshi, chunki RADIUS ishlamasa, hech kim ulana olmaydi.
Har bir foydalanuvchiga VLAN berish
RADIUS kirish nuqtasiga foydalanuvchini qaysi VLAN ga joylashni aytishi mumkin. Buning uchun uchta standart atribut ishlatiladi:
"anna" Cleartext-Password := "test-only"
Tunnel-Type = VLAN,
Tunnel-Medium-Type = IEEE-802,
Tunnel-Private-Group-Id = "20"
Bu FreeRADIUS dagi users fayli formati — test stendi uchun mos; ishchi muhitda guruhlar katalogdan olinadi, parollar faylda saqlanmaydi. PEAP yoki TTLS da ichki autentifikatsiyadagi atributlar tashqi javobga tushishini tekshiring — bu server versiyasiga qarab sozlanadi.
Dinamik VLAN ishlashi uchun kirish nuqtasi ularni qo‘llab-quvvatlashi, uning kommutatordagi porti esa RADIUS qaytarishi mumkin bo‘lgan barcha VLAN lar bilan trunk bo‘lishi kerak.
Sozlash bo‘yicha chek-list
- Foydalanuvchilar katalogi va EAP usulini aniqlang.
- Server sertifikatini chiqaring (ichki CA yoki ommaviy) va RADIUS ni o‘rnating.
- Har bir kirish nuqtasini uzun tasodifiy shared secret bilan RADIUS mijozi sifatida ro‘yxatdan o‘tkazing.
- WPA2-Enterprise yoki WPA3-Enterprise bilan SSID yarating va RADIUS serverni ko‘rsating (autentifikatsiya uchun 1812, accounting uchun 1813 port).
- Kommutatorlarda VLAN va trunk portlarni sozlang.
- Boshqariladigan qurilmalarga CA va server nomi bilan Wi-Fi profillarini tarqating.
- Bitta hisobda tekshiring: kirish, VLAN, loglar, keyin hisobni o‘chirib, kirish yo‘qolganiga ishonch hosil qiling.
Mehmonlar uchun alohida SSID va 802.1X ni qo‘llab-quvvatlamaydigan printerlar hamda IoT uchun alohida izolyatsiyalangan SSID qoldiring.
Ko‘p uchraydigan xatolar
- Mijozlar server sertifikatini tekshirmasdan sozlangan.
- Zaxirasiz bitta RADIUS server.
- Qisqa, topiladigan shared secret.
- Serverda noto‘g‘ri vaqt — sertifikat tekshiruvi buziladi.
- Hech kim sezmagan muddati o‘tgan server sertifikati — eslatma qo‘ying.
- Kameralar va printerlarni korporativ SSID ga o‘tkazishga urinish.