Налаштування 802.1X для мережевого контролю доступу (NAC)

Налаштування 802.1X для мережевого контролю доступу (NAC)

Підрядник приніс ноутбук, вставив у вільний порт у переговорній — і опинився в тій самій VLAN, що й серверний сегмент. Без 802.1X так і буде працювати будь-який комутатор: порт відкритий, трафік пішов. NAC на базі 802.1X закриває цей вектор: пристрій отримує доступ до мережі лише після успішної аутентифікації — сертифікатом, обліковими даними AD або комбінацією. Припустимо, до одного комутатора підключено 200 пристроїв: ноутбуки співробітників, принтери та IP-телефони. Без сегментації вони всі в одній широкомовній області — інцидент на будь-якому з них веде до компрометації всієї мережі. Впровадження NAC дозволяє ізолювати гостьовий доступ, заборонити неавторизованим пристроям потрапляти в production-сегменти та автоматизувати VLAN assignment через RADIUS. Ми впроваджуємо такі системи під ключ: від аудиту до документації, і оцінюємо проєкт.

Компоненти та як вони взаємодіють

802.1X — це стандарт канального рівня IEEE 802.1X — Wikipedia. Три учасники:

• Supplicant — клієнт на пристрої (вбудований у Windows/macOS/Linux через wpa_supplicant).
• Authenticator — комутатор або точка доступу, яка блокує порт до завершення аутентифікації.
• Authentication Server — RADIUS-сервер (FreeRADIUS, Cisco ISE, Microsoft NPS).

Процес: supplicant надсилає EAP-пакети через комутатор у RADIUS. RADIUS перевіряє identity і повертає Access-Accept з атрибутами VLAN Assignment (Tunnel-Private-Group-ID). Комутатор перемикає порт у потрібну VLAN.

Вибір EAP-методу критичний. EAP-PEAP (inner EAP-MSCHAPv2) працює з AD-паролями — легко розгорнути, але вразливий до атак на MSCHAPv2 при неправильній перевірці сертифіката сервера. EAP-TLS використовує клієнтські сертифікати — значно безпечніший, але вимагає PKI. Для корпоративного середовища з власним CA рекомендується EAP-TLS для корпоративних пристроїв і EAP-PEAP для BYOD.

Чому EAP-TLS кращий за EAP-PEAP для корпоративних пристроїв?

EAP-TLS виключає витік хешів паролів і стійкий до Man-in-the-Middle-атак завдяки двосторонній аутентифікації за сертифікатами. За статистикою, інциденти з перехопленням трафіку знижуються на 95% порівняно з використанням лише паролів — це в 20 разів менше, ніж при EAP-PEAP без належного захисту. Однак впровадження вимагає розгортання PKI та видачі сертифікатів на кожен пристрій — це збільшує термін запуску, але окупається надійністю.

Кроки налаштування FreeRADIUS з Active Directory

Для аутентифікації користувачів AD через FreeRADIUS використовується модуль ntlm_auth. Покрокова інструкція:

1. Встановіть FreeRADIUS та ntlm_auth.
2. Налаштуйте модуль у файлі /etc/freeradius/3.0/mods-enabled/ntlm_auth:

   exec ntlm_auth {
       wait = yes
       program = "/usr/bin/ntlm_auth \
           --request-nt-key \
           --username=%{%{Stripped-User-Name}:-%{User-Name}} \
           --domain=CORP \
           --password=%{User-Password}"
   }

3. Додайте ntlm_auth у секцію authorize та authenticate внутрішнього тунелю:

   # /etc/freeradius/3.0/sites-enabled/inner-tunnel (фрагмент)
   authorize {
       ntlm_auth
   }
   
   authenticate {
       Auth-Type MSCHAP {
           mschap
       }
   }

4. Для VLAN-призначення за групами AD використовуйте rlm_ldap з group_filter — користувачі з групи VPN-Users отримують VLAN 10, з Contractors — VLAN 20 (ізольований сегмент з доступом лише в інтернет):

   update reply {
       Tunnel-Type := VLAN,
       Tunnel-Medium-Type := IEEE-802,
       Tunnel-Private-Group-ID := "%{sql:SELECT vlan_id FROM vlan_assignments WHERE group_name = '%{LDAP-Group}'}"
   }

5. Перезапустіть FreeRADIUS та перевірте логи.

Як забезпечити VLAN Assignment через RADIUS?

RADIUS-сервер передає комутатору атрибут Tunnel-Private-Group-ID з номером VLAN. Комутатор на основі отриманого значення перемикає порт у вказану VLAN. Це дозволяє централізовано керувати сегментацією: гостьові пристрої отримують VLAN 50, корпоративні — VLAN 10, пристрої з MAB — VLAN 30. Така схема спрощує адміністрування та знижує ризик помилок конфігурації.

Що робити, якщо на пристрої немає клієнта 802.1X?

Для таких пристроїв (принтери, IP-телефони, камери) використовується MAC Authentication Bypass (MAB). MAC-адреса пристрою передається в RADIUS як username. Цей метод менш безпечний (MAC можна підробити), але необхідний як фолбек. На порту MAB вмикається командою mab на додаток до dot1x. Список дозволених MAC зберігається в FreeRADIUS або LDAP.

Конфігурація комутатора (Cisco IOS)

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
dot1x system-auth-control
radius server CORP-NPS
 address ipv4 10.0.1.10 auth-port 1812 acct-port 1813
 key 7 EncryptedSharedSecret
interface GigabitEthernet0/1
 description Client port
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 mab
 spanning-tree portfast

mab (MAC Authentication Bypass) — фолбек для пристроїв без supplicant (принтери, IP-телефони). MAC-адреса пристрою перевіряється в RADIUS як username. Список дозволених MAC зберігається в базі FreeRADIUS або в LDAP.

Процес впровадження та що займає час

Найбільше часу займає не налаштування RADIUS, а інвентаризація мережі. Потрібно зрозуміти: які пристрої підключені до кожного порту, у яких немає supplicant, як сегментувати VLAN під різні категорії пристроїв.

Впровадження поетапне: спочатку authentication open (моніторинговий режим — пристрої пропускаються, але логуються). За логами будується карта пристроїв. Потім перемикання в authentication port-control auto — спочатку на невиробничих портах.

Тестування: підключення корпоративного ноутбука (має потрапити в corp VLAN), особистого пристрою без сертифіката (BYOD VLAN або reject), принтера за MAC (printer VLAN).

Що входить у роботу

При замовленні впровадження NAC ми надаємо:

• Аудит поточної мережевої інфраструктури та інвентаризацію портів
• Проектування схеми VLAN з урахуванням ролей пристроїв
• Налаштування RADIUS-сервера (FreeRADIUS, NPS або Cisco ISE)
• Конфігурацію комутаторів та точок доступу
• Розробку політик аутентифікації (EAP-PEAP/EAP-TLS, MAB)
• Тестування на пілотній групі портів
• Документацію за схемою та інструкції для адміністраторів
• Навчання персоналу (до 2 годин)
• Підтримку на етапі продуктивного запуску (1 місяць)

Наші інженери мають 10+ років досвіду в мережевій безпеці, сертифікації CCNP Security та більше 50 успішних впроваджень NAC — гарантуємо якість робіт. Економія бюджету за рахунок зниження ризику інцидентів може сягати десятків тисяч доларів щорічно. Вартість типового проекту для будівлі на 50 портів — від $500 до $1500 в залежності від складності інтеграції. Виконайте аудит поточної мережі та отримайте рекомендації по NAC.