成功部署802.1X的六個(gè)訣竅

在網(wǎng)絡(luò )中部署和支持802.1X認證協(xié)議是一個(gè)挑戰，這里有一些技巧可以幫助你節省一些時(shí)間和成本。

1、考慮使用免費或者低成本的RAIUS服務(wù)器

對于小型和中型網(wǎng)絡(luò )，你不需要花太多錢(qián)在RADIUS(遠程認證撥號用戶(hù)服務(wù))服務(wù)器上。首先檢查你的路由器平臺、目錄服務(wù)或者其他服務(wù)是否提供RADIUS/AAA(身份認證、授權和賬戶(hù))。例如，如果你運行Windows Server的Active Directory域，檢查Windows Server 2003 R2以及更早版本的Internet Authentication Service(IAS，Internet身份驗證服務(wù))組件或者Windows Server 2008的Network Policy Server (NPS，網(wǎng)絡(luò )政策服務(wù)器)組件。

如果你當前的服務(wù)器不提供RADIUS功能，仍然有很多免費和低成本的服務(wù)器可以選擇：

FreeRADIUS是完全免費的開(kāi)源產(chǎn)品，可以在Linux或者其他類(lèi)Unix的操作系統上運行，它最多可以支持數百萬(wàn)用戶(hù)和請求。在默認情況下，FreeRADIUS有一個(gè)命令行界面，設置更改是通過(guò)編輯配置文件來(lái)實(shí)現的。其配置是高度可定制的，并且，因為它是開(kāi)源產(chǎn)品。你還可以對軟件進(jìn)行代碼修改。

TekRADIUS是共享軟件服務(wù)器，在Windows上運行，并且提供一個(gè)GUI。該服務(wù)器的基本功能是免費的，你還可以購買(mǎi)其他版本來(lái)獲取EAP-TLS和動(dòng)態(tài)自簽名證書(shū)(用于受保護可擴展身份驗證協(xié)議(PEAP)會(huì )話(huà)、VoIP計費以及其他企業(yè)功能)等功能。

還有兩個(gè)相當低成本的商業(yè)產(chǎn)品包括ClearBox和Elektron，它們都在Windows上運行，并提供30天免費試用。

一些接入點(diǎn)甚至還嵌入了RADIUS服務(wù)器，這對于小型網(wǎng)絡(luò )而言非常實(shí)用。例如，HP ProCurve 530或者ZyXEL NWA-3500，NWA3166或NWA3160-N。

還有基于云計算的服務(wù)，例如AuthenticateMyWiFI，可以為802.1X提供托管RADIUS服務(wù)器，對于哪些不想投入時(shí)間和資源來(lái)建立自己的服務(wù)器的企業(yè)而言，這種服務(wù)非常好用。

2、同時(shí)為有線(xiàn)網(wǎng)絡(luò )部署802.1X協(xié)議

你可能部署802.1X認證，只是希望通過(guò)WPA或者WPA2安全的企業(yè)模式來(lái)更好地保護你的無(wú)線(xiàn)局域網(wǎng)。但你也應該考慮為網(wǎng)絡(luò )的有線(xiàn)端部署802.1X認證，雖然這并不能為有線(xiàn)連接提供加密(考慮IPsec來(lái)加密)，但它將要求那些接入以太網(wǎng)的人在訪(fǎng)問(wèn)網(wǎng)絡(luò )之前進(jìn)行身份驗證。

3、購買(mǎi)數字證書(shū)

如果你已經(jīng)為802.1X的EAP類(lèi)型部署了PEAP，你還必須加載RADIUS服務(wù)器以及數字證書(shū)(用于可選的但非常重要的服務(wù)器驗證)，這能有助于防止中間人攻擊。

你可以通過(guò)你自己的Certificate Authority(證書(shū)頒發(fā)機構)來(lái)創(chuàng )建一個(gè)自簽名證書(shū)，但你的證書(shū)頒發(fā)機構的根證書(shū)必須被加載到最終用戶(hù)的計算機和設備上以讓他們來(lái)進(jìn)行服務(wù)器驗證。

通常，你可以將證書(shū)頒發(fā)機構的根證書(shū)分發(fā)到管理計算機，例如如果你運行的是Windows Server 2003或更高版本的Active Directory，你可以通過(guò)組策略來(lái)分發(fā)。然而，對于非域和BYOD環(huán)境，證書(shū)必須手動(dòng)安裝或者以另一種方式來(lái)分布。

你也可以考慮從受Windows和其他操作系統信任的第三方證書(shū)頒發(fā)機構(例如VeriSign、Comodo或者GoDaddy)為你的RADIUS服務(wù)器購買(mǎi)一個(gè)數字證書(shū)，這樣你就不用擔心分發(fā)根證書(shū)到計算機和設備的問(wèn)題。

4、分布設置到非域設備

如果你運行的是Windows Server 2003或更高版本的Active Directory，你通?？梢酝ㄟ^(guò)組策略將網(wǎng)絡(luò )設置(包括802.1X和任何數字證書(shū))分發(fā)到windows XP以及隨后加入這個(gè)域的機器。但是對于不在域中的機器，例如用戶(hù)自備的筆記本電腦、智能手機和平板電腦，除了手動(dòng)用戶(hù)配置外，還有其他解決方案可供你選擇。

請記住你要分布三個(gè)關(guān)鍵的東西：你的RADIUS服務(wù)器使用的證書(shū)頒發(fā)機構的根證書(shū)，如果使用EAP-TLS的話(huà)的用戶(hù)證書(shū)，以及網(wǎng)絡(luò )和802.1X設置。

你可以使用免費的SU1X 802.1X配置部署工具用于Windows XP(SP3)、Vista和Windows 7。你需要進(jìn)入設置和偏好，從已經(jīng)設置好網(wǎng)絡(luò )的PC中捕捉網(wǎng)絡(luò )信息，然后這個(gè)工具將會(huì )創(chuàng )建一個(gè)向導，用戶(hù)可以在其計算機上運行這個(gè)向導以自動(dòng)配置網(wǎng)絡(luò )和其他設置。該工具支持根證書(shū)以及網(wǎng)絡(luò )和802.1X設置的分發(fā)。此外，你可以配置它來(lái)添加/刪除其他網(wǎng)絡(luò )配置，修改網(wǎng)絡(luò )優(yōu)先事項，以及開(kāi)啟NAP/SoH。該工具甚至還可以為IE和Firefox配置自動(dòng)或手動(dòng)代理服務(wù)器設置，以及添加/刪除網(wǎng)絡(luò )打印機。

用于802.1X配置部署的商業(yè)產(chǎn)品包括XpressConnect、ClearPass QuickConnect以及ClearPass Onboard。

XpressConnect支持根證書(shū)、其他用戶(hù)證書(shū)以及網(wǎng)絡(luò )和Windows、Mac OS X、Linux、Android和iOS設備上的802.1X(PEAP、TLS和TTLS(通道傳輸層安全))設置的分布。對于TTLS，它還支持SecureW2 TTLS客戶(hù)端的安裝。XpressConnect是一個(gè)基于云計算的解決方案，你可以在web控制臺定義你的網(wǎng)絡(luò )設置，然后它會(huì )創(chuàng )建一個(gè)向導，你可以將其分發(fā)給用戶(hù)。

ClearPass QuickConnect和ClearPass Onboard都支持根證書(shū)和網(wǎng)絡(luò )以及Windows、Mac OS X、Linux、Android和iOS設備上的802.1X(PEAP、TLS和TTLS)的分發(fā)。ClearPass QuickConnect 是基于云計算的服務(wù)，不支持分發(fā)任何用戶(hù)證書(shū)。ClearPass Onboard是針對ClearPass Policy Manager平臺的軟件模塊，支持用戶(hù)證書(shū)分發(fā)。

對于一些移動(dòng)操作系統，也有專(zhuān)門(mén)的解決方案可供你用于分發(fā)802.1X和其他網(wǎng)絡(luò )設置，例如針對iOS的iPhone配置實(shí)用工具或者針對黑莓設備的Blackberry Enterprise Server Express。

5、保護802.1X客戶(hù)端設置

802.1X很容易受到中間人攻擊，例如，攻擊者可以通過(guò)修改后的RADIUS服務(wù)器來(lái)設置一個(gè)重復的Wi-Fi信號，然后讓用戶(hù)連接，以捕捉和跟蹤用戶(hù)的登錄信息。然而，你可以通過(guò)安全地配置客戶(hù)端計算機和設備來(lái)阻止這種類(lèi)型的攻擊。

在Windows中，你需要檢查EAP屬性中啟用/配置的三個(gè)關(guān)鍵的設置:

● 驗證服務(wù)器證書(shū)：該設置應該啟用。應該從列表框中選擇你的RADIUS服務(wù)器使用的證書(shū)頒發(fā)機構，者能夠確保用戶(hù)連接到的網(wǎng)絡(luò )使用的RADIUS服務(wù)器擁有由證書(shū)頒發(fā)機構頒發(fā)的服務(wù)器證書(shū)。

● 連接到這些服務(wù)器：該設置應該啟用。應該輸入你的RADIUS服務(wù)器的證書(shū)上列出的域，者能夠確?？蛻?hù)端只能與具有服務(wù)器證書(shū)的RADIUS服務(wù)器通信。