Настройка 802.1X для сетевого контроля доступа (NAC)

Настройка 802.1X для сетевого контроля доступа (NAC)

Подрядчик принёс ноутбук, воткнул в свободный порт в переговорке — и оказался в той же VLAN, что и серверный сегмент. Без 802.1X так и будет работать любой коммутатор: порт открыт, трафик пошёл. NAC на базе 802.1X закрывает этот вектор: устройство получает доступ к сети только после успешной аутентификации — сертификатом, учётными данными AD или комбинацией. Допустим, к одному коммутатору подключено 200 устройств: ноутбуки сотрудников, принтеры и IP-телефоны. Без сегментации они все в одной широковещательной области — инцидент на любом из них ведёт к компрометации всей сети. Внедрение NAC позволяет изолировать гостевой доступ, запретить неавторизованным устройствам попадать в production-сегменты и автоматизировать VLAN assignment через RADIUS. Мы внедряем такие системы под ключ: от аудита до документации, и оцениваем проект.

Компоненты и как они взаимодействуют

802.1X — это стандарт канального уровня IEEE 802.1X — Wikipedia. Три участника:

• Supplicant — клиент на устройстве (встроен в Windows/macOS/Linux через wpa_supplicant).
• Authenticator — коммутатор или точка доступа, которая блокирует порт до завершения аутентификации.
• Authentication Server — RADIUS-сервер (FreeRADIUS, Cisco ISE, Microsoft NPS).

Процесс: supplicant отправляет EAP-пакеты через коммутатор в RADIUS. RADIUS проверяет identity и возвращает Access-Accept с атрибутами VLAN Assignment (Tunnel-Private-Group-ID). Коммутатор переключает порт в нужную VLAN.

Выбор EAP-метода критичен. EAP-PEAP (inner EAP-MSCHAPv2) работает с AD-паролями — легко развернуть, но уязвим к атакам на MSCHAPv2 при неправильной проверке сертификата сервера. EAP-TLS использует клиентские сертификаты — значительно безопаснее, но требует PKI. Для корпоративной среды со своим CA рекомендуется EAP-TLS для корпоративных устройств и EAP-PEAP для BYOD.

Почему EAP-TLS лучше EAP-PEAP для корпоративных устройств?

EAP-TLS исключает утечку хешей паролей и устойчив к Man-in-the-Middle-атакам за счёт двусторонней аутентификации по сертификатам. По статистике, инциденты с перехватом трафика снижаются на 95% по сравнению с использованием только паролей. Однако внедрение требует развёртывания PKI и выдачи сертификатов на каждое устройство — это увеличивает срок запуска, но окупается надёжностью.

Как настроить FreeRADIUS с Active Directory?

Для аутентификации пользователей AD через FreeRADIUS используется модуль ntlm_auth. Пример конфигурации:

# /etc/freeradius/3.0/mods-enabled/ntlm_auth
exec ntlm_auth {
  wait = yes
  program = "/usr/bin/ntlm_auth \
    --request-nt-key \
    --username=%{%{Stripped-User-Name}:-%{User-Name}} \
    --domain=CORP \
    --password=%{User-Password}"
}

# /etc/freeradius/3.0/sites-enabled/inner-tunnel (фрагмент)
authorize {
    ntlm_auth
}

authenticate {
    Auth-Type MSCHAP {
        mschap
    }
}

Для VLAN-назначения по группам AD используется rlm_ldap с group_filter — пользователи из группы VPN-Users получают VLAN 10, из Contractors — VLAN 20 (изолированный сегмент с доступом только в интернет):

update reply {
    Tunnel-Type := VLAN,
    Tunnel-Medium-Type := IEEE-802,
    Tunnel-Private-Group-ID := "%{sql:SELECT vlan_id FROM vlan_assignments WHERE group_name = '%{LDAP-Group}'}"
}

Как обеспечить VLAN Assignment через RADIUS?

RADIUS-сервер передаёт коммутатору атрибут Tunnel-Private-Group-ID с номером VLAN. Коммутатор на основе полученного значения переключает порт в указанную VLAN. Это позволяет централизованно управлять сегментацией: гостевые устройства получают VLAN 50, корпоративные — VLAN 10, устройства с MAB — VLAN 30. Такая схема упрощает администрирование и снижает риск ошибок конфигурации.

Что делать, если на устройстве нет клиента 802.1X?

Для таких устройств (принтеры, IP-телефоны, камеры) используется MAC Authentication Bypass (MAB). MAC-адрес устройства передаётся в RADIUS как username. Этот метод менее безопасен (MAC можно подменить), но необходим как фолбэк. На порту MAB включается командой mab в дополнение к dot1x. Список разрешённых MAC хранится в FreeRADIUS или LDAP.

Конфигурация коммутатора (Cisco IOS)

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
dot1x system-auth-control
radius server CORP-NPS
 address ipv4 10.0.1.10 auth-port 1812 acct-port 1813
 key 7 EncryptedSharedSecret
interface GigabitEthernet0/1
 description Client port
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 mab
 spanning-tree portfast

mab (MAC Authentication Bypass) — фолбэк для устройств без supplicant (принтеры, IP-телефоны). MAC-адрес устройства проверяется в RADIUS как username. Список разрешённых MAC хранится в базе FreeRADIUS или в LDAP.

Процесс внедрения и что занимает время

Больше всего времени уходит не на настройку RADIUS, а на инвентаризацию сети. Нужно понять: какие устройства подключены к каждому порту, у каких нет supplicant, как сегментировать VLAN под разные категории устройств.

Внедрение поэтапно: сначала authentication open (мониторинговый режим — устройства пускаются, но логируются). По логам строится карта устройств. Затем переключение в authentication port-control auto — сначала на непроизводственных портах.

Тестирование: подключение корпоративного ноутбука (должен попасть в corp VLAN), личного устройства без сертификата (BYOD VLAN или reject), принтера по MAC (printer VLAN).

Что входит в работу

При заказе внедрения NAC мы предоставляем:

• Аудит текущей сетевой инфраструктуры и инвентаризация портов
• Проектирование схемы VLAN с учётом ролей устройств
• Настройку RADIUS-сервера (FreeRADIUS, NPS или Cisco ISE)
• Конфигурацию коммутаторов и точек доступа
• Разработку политик аутентификации (EAP-PEAP/EAP-TLS, MAB)
• Тестирование на пилотной группе портов
• Документацию по схеме и инструкции для администраторов
• Обучение персонала (до 2 часов)
• Поддержку на этапе продуктивного запуска (1 месяц)

Наши инженеры имеют 10+ лет опыта в сетевой безопасности и более 50 успешных внедрений NAC. Чтобы получить консультацию по вашему проекту, свяжитесь с нами — оценим сроки и подготовим предложение. Экономия бюджета за счёт снижения риска инцидентов может достигать десятков тысяч долларов ежегодно. Выполните аудит текущей сети и получите рекомендации по NAC.