RADIUS и 802.1X: как настроить аутентификацию в локальной сети

Представьте ситуацию: новый сотрудник подключается к офисной Wi-Fi сети, вводит логин и пароль, но доступ не появляется. Или хуже того - старый гостевой аккаунт до сих пор работает на чужом ноутбуке. Знакомо? В крупных компаниях это классическая головная боль администраторов. Решение здесь кроется в связке двух технологий: протокола RADIUS и стандарта IEEE 802.1X, который обеспечивает портовую аутентификацию для контроля доступа к сетевым ресурсам. Вместе они превращают хаос из «паролей на стикерах» в управляемую систему безопасности.

В этой статье мы разберем, как именно работают эти механизмы, почему их используют даже в небольших офисах и какие подводные камни ждут при настройке. Никакой воды, только практика.

Краткое резюме: что важно знать

• RADIUS - это центральный сервер, который хранит учетные данные пользователей и принимает решения о доступе.
• 802.1X - это механизм на уровне коммутатора или точки доступа, который блокирует порт до успешной проверки пользователя.
• Основной протокол обмена между клиентом и точкой доступа - EAP (Extensible Authentication Protocol).
• Настройка требует синхронизации времени (NTP) между клиентом, коммутатором и RADIUS-сервером, иначе сертификаты не валидируются.
• Для беспроводных сетей критически важна поддержка WPA2-Enterprise или WPA3-Enterprise.

Как устроена архитектура: три ключевых игрока

Чтобы понять логику работы, нужно выделить три роли. Во-первых, есть Supplicant (клиент) - это ваш ноутбук, телефон или IP-телефон. Он хочет попасть в сеть. Во-вторых, Authenticator (аутентификатор) - это коммутатор или точка доступа Wi-Fi. Она стоит на страже порта и решает, пропускать ли трафик дальше. И, наконец, Authentication Server (сервер аутентификации) - тот самый RADIUS-сервер, который знает, кто есть кто.

Работает это так: клиент отправляет запрос через аутентификатор на RADIUS-сервер. Сервер проверяет данные и отвечает «допуск» или «отказ». Если допуск - коммутатор открывает порт. Весь этот диалог происходит по протоколу EAP, который инкапсулируется внутри пакетов L2 (для проводных сетей) или L3 (для беспроводных). Важно понимать, что RADIUS сам по себе не шифрует канал связи с клиентом напрямую - он лишь авторизует. Шифрование обеспечивает уже сама сетевая технология (WPA2/WPA3 для Wi-Fi или MACsec для проводных линий, если настроено).

Протокол RADIUS: сердце системы безопасности

RADIUS (Remote Authentication Dial-In User Service), изначально созданный для удаленного доступа по телефонным линиям, сегодня стал стандартом де-факто для корпоративных сетей. Его главная сила - централизация. Вместо того чтобы хранить базу пользователей в каждом коммутаторе (что невозможно при масштабировании), вы держите единую базу в Active Directory, LDAP или специализированном RADIUS-сервере, таком как FreeRADIUS или Cisco ISE.

Ключевые атрибуты RADIUS, которые вам пригодятся на практике:

1. Shared Secret - общий секретный ключ между аутентификатором (коммутатором) и RADIUS-сервером. Без него пакеты будут отброшены. Храните его в надежном месте, лучше всего в переменных окружения или защищенных хранилищах конфигурации.
2. Access-Accept / Access-Reject - ответы сервера. В Access-Accept можно передавать дополнительные параметры, например, VLAN ID, чтобы автоматически поднимать пользователя в нужную виртуальную сеть.
3. Accounting - учёт соединений. Это не просто логирование, а возможность отслеживать время входа/выхода и объем переданных данных. Для биллинга или аудита это бесценно.

Частая ошибка новичков - использование UDP-порта 1812 для аутентификации и 1813 для учета. Убедитесь, что межсетевой экран между коммутаторами и RADIUS-сервером разрешает трафик именно на эти порты. Заблокированный порт = молчаливое падение аутентификации.

Стандарт 802.1X: контроль на уровне порта

Если RADIUS - это мозг, то 802.1X - это телохранитель на двери. Этот стандарт IEEE определяет, как устройство на границе сети (коммутатор или AP) управляет доступом к порту. До момента успешной аутентификации порт находится в состоянии Unauthenticated. Через него может проходить только трафик, необходимый для самой аутентификации (EAPOL-пакеты), а весь остальной трафик блокируется.

Здесь важно различать два типа портов в контексте 802.1X:

• Controlled Port - основной порт, куда подключается пользователь. Блокируется до успеха.
• Authentication Port - виртуальный канал для передачи EAP-сообщений. Он всегда открыт для служебного трафика.

Особое внимание заслуживает режим MAB (MAC Authentication Bypass). Не все устройства умеют работать с EAP. Например, старые принтеры или IoT-датчики часто имеют только MAC-адрес. MAB позволяет таким устройствам пройти аутентификацию по MAC-адресу, который заранее добавлен в RADIUS-базу. Это компромисс, но без него часть инфраструктуры останется вне контроля.

EAP: язык общения клиента и сети

Между клиентом и аутентификатором идет обмен по протоколу EAP. Сам по себе EAP не является транспортным протоколом, а скорее фреймворк, который может использовать разные методы аутентификации. Самые популярные варианты:

Для большинства офисных сценариев оптимальным выбором считается PEAP-MSCHAPv2. Почему? Потому что клиентам не нужно устанавливать отдельные сертификаты на каждое устройство. Достаточно доверия корпоративному CA (Certificate Authority). Пользователь просто вводит свой доменный логин и пароль. Да, MSCHAPv2 имеет слабые места, но внутри туннеля PEAP он защищен TLS, что делает атаку сложной.

Пошаговая настройка: от планирования до запуска

Перед тем как трогать конфиги, проведите аудит. Определите, какие устройства будут участвовать. Составьте список VLAN, которые будут назначаться разным группам пользователей. Проверьте, поддерживают ли ваши коммутаторы 802.1X (почти все современные модели поддерживают, но проверьте лицензии).

Шаг 1: Настройте RADIUS-сервер. Добавьте Shared Secret. Создайте тестового пользователя. Убедитесь, что сервер доступен по UDP 1812/1813.

Шаг 2: Настройте NTP. Синхронизируйте время на всех узлах. Разница более 5 минут приведет к ошибке валидации сертификатов в PEAP/EAP-TLS.

Шаг 3: Настройка коммутатора. Включите 802.1X на нужных интерфейсах. Укажите IP-адрес RADIUS-сервера и Shared Secret. Настройте fallback-поведение: что делать, если RADIUS недоступен? Обычно выбирают «deny» (закрыть доступ), но для критичных устройств можно оставить «permit» с ограничением VLAN.

Шаг 4: Настройка клиента. В Windows это делается через «Свойства сетевого подключения» -> Безопасность -> 802.1X. Выберите метод PEAP. Убедитесь, что корневой сертификат CA установлен в хранилище «Доверенные корневые центры сертификации».

Типичные ошибки и как их избежать

Даже опытные админы иногда сталкиваются с проблемами. Вот топ-3 ловушки:

1. Неверный Shared Secret. Даже одна лишняя буква в конце строки в конфиге коммутатора и в базе RADIUS приведут к тому, что сервер будет отвечать «Invalid Authenticator». Проверяйте скопированные строки внимательно.
2. Проблемы с DNS. Клиент должен резолвить имя RADIUS-сервера, если вы используете FQDN вместо IP. Если DNS упал - аутентификация тоже упадет.
3. Игнорирование логов. Всегда смотрите логи на RADIUS-сервере. Там четко видно, где именно произошел сбой: нет такого пользователя, неверный пароль, таймаут или ошибка сертификата.

Совет от практика: начинайте развертывание с одного тестового сегмента. Подключите туда один коммутатор и пару рабочих станций. Только когда всё заработает стабильно неделю, масштабируйте на всю сеть.

Беспроводные сети и особенности Wi-Fi

Для Wi-Fi ситуация немного сложнее. Здесь 802.1X работает в связке с WPA2-Enterprise или WPA3-Enterprise. Ключевое отличие от WPA-PSK (где один пароль на всю сеть) - каждый пользователь получает индивидуальный ключ шифрования на основе своих учетных данных.

Это решает проблему «угадывания пароля». Если один сотрудник забыл пароль, ему не нужно менять пароль всей компании. Также это позволяет легко отзывать доступ: уволили человека - удалили запись в AD, и через несколько минут его ноутбук потеряет связь с Wi-Fi.

Обратите внимание на поддержку PMKID (Pairwise Master Key ID) в новых стандартах. Это ускоряет роуминг между точками доступа, так как клиенту не нужно каждый раз проходить полный цикл аутентификации, а достаточно подтвердить свою личность коротким хэндшейком.

Часто задаваемые вопросы