Uwierzytelnianie 802.1X wymaga od każdego urządzenia potwierdzenia tożsamości, zanim uzyska dostęp do sieci biurowej.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie uwierzytelniania 802.1X w sieci biurowej oraz przetestowanie jego działania na wybranych urządzeniach.

Dla kogo ma sens

Usługa jest przydatna dla firm, którym zależy na dodatkowej kontroli nad urządzeniami uzyskującymi dostęp do sieci.

Ile to trwa

Konfiguracja uwierzytelniania mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Jak działa uwierzytelnianie 802.1X w praktyce

Standard 802.1X opiera się na trzech elementach: suplikancie (oprogramowaniu na urządzeniu klienckim, które zgłasza chęć dostępu do sieci), uwierzytelniaczu (switchu lub punkcie dostępowym, przez który przechodzi ruch) oraz serwerze uwierzytelniania, najczęściej działającym w oparciu o protokół RADIUS (Remote Authentication Dial-In User Service, czyli usługę centralnie weryfikującą tożsamość urządzeń i użytkowników). Dopóki urządzenie nie przejdzie pozytywnie tej weryfikacji, port sieciowy pozostaje zablokowany albo przypisany do ograniczonego segmentu sieci (tzw. VLAN gościnny, czyli wydzielonej podsieci o obniżonych uprawnieniach). Po poprawnym uwierzytelnieniu port otwiera się i urządzenie trafia do docelowego segmentu, zgodnie z regułami zapisanymi na serwerze RADIUS.

Warianty wdrożenia 802.1X

W praktyce spotyka się kilka odmian tego samego mechanizmu, różniących się metodą weryfikacji tożsamości. Uwierzytelnianie oparte na certyfikatach (EAP-TLS) uchodzi za najbezpieczniejszy wariant, ponieważ każde urządzenie musi posiadać własny certyfikat cyfrowy wydany przez wewnętrzny lub zewnętrzny urząd certyfikacji. Wariant oparty na loginie i haśle (EAP-PEAP lub EAP-TTLS) jest prostszy we wdrożeniu, ale wymaga dodatkowej ochrony samego procesu logowania przed przechwyceniem danych. Spotyka się też konfiguracje mieszane, w których stacje robocze uwierzytelniają się certyfikatem, a urządzenia gościnne lub tymczasowe hasłem jednorazowym. Osobną kategorią jest 802.1X wdrożone na sieci przewodowej (na portach switcha) w odróżnieniu od sieci bezprzewodowej, gdzie ten sam mechanizm łączy się dodatkowo z szyfrowaniem WPA2-Enterprise lub WPA3-Enterprise. Dobór wariantu zależy od liczby urządzeń, rodzaju sprzętu sieciowego już posiadanego przez firmę oraz od tego, czy w organizacji istnieje już usługa katalogowa (np. Active Directory), z którą serwer RADIUS może się zintegrować.

Błędy przy samodzielnej próbie konfiguracji

Konfiguracja 802.1X bywa podejmowana samodzielnie przez administratorów bez wcześniejszego doświadczenia z tym protokołem, co często prowadzi do kilku powtarzających się problemów. Pierwszym jest włączenie wymuszania uwierzytelniania na wszystkich portach switcha jednocześnie, bez wcześniejszego trybu testowego (monitor mode) — skutkuje to odcięciem od sieci drukarek, telefonów VoIP i innych urządzeń, które nie obsługują 802.1X i wymagają wyjątku (np. przez uwierzytelnianie po adresie MAC). Drugim częstym błędem jest niedopasowanie ustawień suplikanta w systemie operacyjnym do metody EAP skonfigurowanej na serwerze RADIUS, co objawia się długim oczekiwaniem na połączenie i losowymi rozłączeniami. Trzecim problemem jest pominięcie synchronizacji czasu między switchem, serwerem RADIUS i kontrolerem domeny — certyfikaty i tokeny uwierzytelniające bywają wtedy odrzucane jako nieważne, mimo że są poprawne. Zdarza się też, że po nieudanej samodzielnej konfiguracji administrator wyłącza cały mechanizm awaryjnie na wszystkich portach, co skutecznie usuwa zabezpieczenie na dłuższy czas, ponieważ powrót do wdrożenia bywa odkładany z obawy przed powtórką problemów.

Kiedy 802.1X nie jest właściwym rozwiązaniem

Uwierzytelnianie 802.1X kontroluje dostęp do samej sieci lokalnej — nie należy go mylić z zaporą sieciową (firewallem), która filtruje ruch już wewnątrz sieci, ani z systemem VPN, który zabezpiecza połączenia zdalne spoza biura. Jeśli celem firmy jest wyłącznie ograniczenie dostępu do internetu z poziomu sieci gościnnej, prostszym i szybszym rozwiązaniem bywa osobny VLAN z regułami na routerze, bez pełnego wdrożenia 802.1X. Podobnie, gdy w firmie dominują urządzenia niewspierające tego standardu (starsze drukarki sieciowe, część sprzętu IoT), sensowniejsze może być połączenie prostszego uwierzytelniania po adresie MAC z segmentacją sieci niż wymuszanie 802.1X wszędzie. Warto też odróżnić 802.1X od dwuskładnikowego uwierzytelniania kont użytkowników (2FA) — to dwa niezależne mechanizmy, które można stosować równolegle, ale jeden nie zastępuje drugiego.

Dodatkowe pytania klientów

Czy po wdrożeniu 802.1X trzeba będzie logować się przy każdym uruchomieniu komputera?

Zależy od wybranej metody. Przy uwierzytelnianiu certyfikatem proces przebiega automatycznie, bez udziału użytkownika. Przy metodzie opartej na loginie i haśle zwykle konfiguruje się jednorazowe logowanie powiązane z kontem domenowym, tak aby nie powielać etapu logowania do systemu i logowania do sieci.

Co się stanie, jeśli serwer RADIUS przestanie działać?

W zależności od konfiguracji switcha można ustawić tryb awaryjny, w którym porty pozostają otwarte lub trafiają do wydzielonego VLAN-u ograniczonego, zamiast całkowicie odcinać firmę od sieci. Ten scenariusz warto przetestować już na etapie wdrożenia, a nie dopiero podczas rzeczywistej awarii.

Czy 802.1X spowolni działanie sieci?

Sam proces uwierzytelnienia dodaje niewielkie opóźnienie tylko w momencie podłączenia urządzenia do sieci, nie wpływa natomiast na prędkość transmisji danych po zestawieniu połączenia.

Czy da się wdrożyć 802.1X etapami, a nie na całej sieci naraz?

Tak, i jest to podejście zalecane. Wdrożenie zwykle zaczyna się od trybu testowego na wybranych portach lub jednym dziale, a dopiero po potwierdzeniu poprawnego działania mechanizm jest rozszerzany na kolejne segmenty sieci.

Czy sprzęt firmy musi być wymieniony, żeby obsługiwać 802.1X?

Nie zawsze. Większość switchy zarządzalnych produkowanych w ostatnich latach obsługuje ten standard natywnie — kluczowa jest weryfikacja, czy posiadany sprzęt sieciowy oraz systemy operacyjne na stacjach roboczych mają tę funkcję dostępną i aktywowaną, co jest elementem wstępnej, bezpłatnej diagnozy.

Co obejmuje przygotowanie środowiska przed wdrożeniem

Przed właściwą konfiguracją mechanizmu wykonywany jest przegląd istniejącej infrastruktury: sprawdzenie, które switche i punkty dostępowe obsługują 802.1X, jakie metody EAP są dostępne, oraz czy w firmie funkcjonuje już usługa katalogowa, z którą można zintegrować serwer RADIUS. Na tym etapie ustalany jest też plan wyjątków dla urządzeń niewspierających uwierzytelniania (drukarki, kamery IP, telefony), tak aby nie zostały odcięte od sieci po włączeniu wymuszania. Dopiero po tym przeglądzie mechanizm jest uruchamiany najpierw w trybie testowym, a następnie wdrażany docelowo, zgodnie z ustalonym wcześniej harmonogramem.

Utrzymanie mechanizmu po wdrożeniu

Wdrożenie 802.1X nie kończy się w dniu uruchomienia mechanizmu na produkcji. W praktyce infrastruktura sieciowa firmy zmienia się z czasem — dochodzą nowe urządzenia, wymieniane są switche, zmieniają się pracownicy i ich uprawnienia. Każda z tych zmian powinna znaleźć odzwierciedlenie w regułach zapisanych na serwerze RADIUS oraz w liście wyjątków dla urządzeń niewspierających uwierzytelniania. Zaniedbanie tego etapu prowadzi z czasem do sytuacji, w której lista wyjątków rośnie w niekontrolowany sposób, a pierwotny cel wdrożenia (ograniczenie dostępu do nieautoryzowanych urządzeń) traci sens. Z tego powodu do usługi dołączany jest przegląd konfiguracji uwzględniający także plan reakcji na typowe zdarzenia — wygasający certyfikat na stacji roboczej, wymianę switcha na inny model, dodanie nowego działu do sieci firmowej. Certyfikaty wydawane urządzeniom w wariancie EAP-TLS mają zwykle ograniczony czas ważności, dlatego proces ich odnawiania warto zaplanować z wyprzedzeniem, zamiast reagować dopiero na zgłoszenia o utracie dostępu do sieci.

Integracja z pozostałymi elementami infrastruktury

W firmach korzystających już z usługi katalogowej (np. Active Directory) konfiguracja 802.1X jest zwykle powiązana z istniejącymi grupami użytkowników i komputerów — dzięki temu reguły dostępu do poszczególnych segmentów sieci (np. dział księgowości w innym VLAN-ie niż dział produkcji) nie muszą być definiowane osobno na serwerze RADIUS, tylko wynikają z przynależności do grupy w katalogu. Podobnie w sieciach bezprzewodowych mechanizm 802.1X łączy się bezpośrednio z konfiguracją punktów dostępowych obsługujących WPA2-Enterprise lub WPA3-Enterprise, co pozwala uniknąć współdzielonego, jednego hasła do sieci Wi-Fi dla wszystkich pracowników — każde urządzenie i każdy użytkownik uwierzytelnia się osobno, co ułatwia też odcięcie dostępu pojedynczej osobie bez zmiany hasła dla całej firmy. Tam, gdzie w sieci działają już inne mechanizmy kontroli dostępu, takie jak systemy NAC (Network Access Control, czyli oprogramowanie klasyfikujące urządzenia na podstawie ich stanu bezpieczeństwa), konfiguracja 802.1X jest dostosowywana tak, aby oba mechanizmy współpracowały zamiast się wykluczać.

Dokumentacja wdrożenia

Po zakończeniu konfiguracji przygotowywana jest dokumentacja opisująca przyjęty wariant uwierzytelniania, listę wyjątków dla urządzeń niewspierających 802.1X oraz sposób postępowania w typowych sytuacjach awaryjnych, takich jak niedostępność serwera RADIUS czy wygasający certyfikat. Taka dokumentacja ułatwia dalsze utrzymanie mechanizmu, nawet jeśli zmienia się osoba odpowiedzialna za infrastrukturę sieciową w firmie, i pozwala uniknąć sytuacji, w której działanie zabezpieczenia jest znane tylko jednej osobie.

Uwierzytelnianie 802.1X, prawidłowo skonfigurowane i przetestowane etapami, pozwala firmie zachować kontrolę nad tym, jakie urządzenia łączą się z jej siecią biurową, bez konieczności ręcznego zarządzania listami adresów MAC czy ręcznego odcinania portów w razie potrzeby.

22 378 48 09

Konfiguracja uwierzytelniania 802.1X w sieci biurowej