成功部署802.1X的六個(gè)訣竅

在網(wǎng)絡(luò)中部署和支持802.1X認(rèn)證協(xié)議是一個(gè)挑戰(zhàn)，這里有一些技巧可以幫助你節(jié)省一些時(shí)間和成本。

1、考慮使用免費(fèi)或者低成本的RAIUS服務(wù)器

對(duì)于小型和中型網(wǎng)絡(luò)，你不需要花太多錢在RADIUS(遠(yuǎn)程認(rèn)證撥號(hào)用戶服務(wù))服務(wù)器上。首先檢查你的路由器平臺(tái)、目錄服務(wù)或者其他服務(wù)是否提供RADIUS/AAA(身份認(rèn)證、授權(quán)和賬戶)。例如，如果你運(yùn)行Windows Server的Active Directory域，檢查Windows Server 2003 R2以及更早版本的Internet Authentication Service(IAS，Internet身份驗(yàn)證服務(wù))組件或者Windows Server 2008的Network Policy Server (NPS，網(wǎng)絡(luò)政策服務(wù)器)組件。

如果你當(dāng)前的服務(wù)器不提供RADIUS功能，仍然有很多免費(fèi)和低成本的服務(wù)器可以選擇：

FreeRADIUS是完全免費(fèi)的開源產(chǎn)品，可以在Linux或者其他類Unix的操作系統(tǒng)上運(yùn)行，它最多可以支持?jǐn)?shù)百萬用戶和請(qǐng)求。在默認(rèn)情況下，F(xiàn)reeRADIUS有一個(gè)命令行界面，設(shè)置更改是通過編輯配置文件來實(shí)現(xiàn)的。其配置是高度可定制的，并且，因?yàn)樗�是開源產(chǎn)品。你還可以對(duì)軟件進(jìn)行代碼修改。

TekRADIUS是共享軟件服務(wù)器，在Windows上運(yùn)行，并且提供一個(gè)GUI。該服務(wù)器的基本功能是免費(fèi)的，你還可以購買其他版本來獲取EAP-TLS和動(dòng)態(tài)自簽名證書(用于受保護(hù)可擴(kuò)展身份驗(yàn)證協(xié)議(PEAP)會(huì)話、VoIP計(jì)費(fèi)以及其他企業(yè)功能)等功能。

還有兩個(gè)相當(dāng)?shù)统杀镜纳虡I(yè)產(chǎn)品包括ClearBox和Elektron，它們都在Windows上運(yùn)行，并提供30天免費(fèi)試用。

一些接入點(diǎn)甚至還嵌入了RADIUS服務(wù)器，這對(duì)于小型網(wǎng)絡(luò)而言非常實(shí)用。例如，HP ProCurve 530或者ZyXEL NWA-3500，NWA3166或NWA3160-N。

還有基于云計(jì)算的服務(wù)，例如AuthenticateMyWiFI，可以為802.1X提供托管RADIUS服務(wù)器，對(duì)于哪些不想投入時(shí)間和資源來建立自己的服務(wù)器的企業(yè)而言，這種服務(wù)非常好用。

2、同時(shí)為有線網(wǎng)絡(luò)部署802.1X協(xié)議

你可能部署802.1X認(rèn)證，只是希望通過WPA或者WPA2安全的企業(yè)模式來更好地保護(hù)你的無線局域網(wǎng)。但你也應(yīng)該考慮為網(wǎng)絡(luò)的有線端部署802.1X認(rèn)證，雖然這并不能為有線連接提供加密(考慮IPsec來加密)，但它將要求那些接入以太網(wǎng)的人在訪問網(wǎng)絡(luò)之前進(jìn)行身份驗(yàn)證。

3、購買數(shù)字證書

如果你已經(jīng)為802.1X的EAP類型部署了PEAP，你還必須加載RADIUS服務(wù)器以及數(shù)字證書(用于可選的但非常重要的服務(wù)器驗(yàn)證)，這能有助于防止中間人攻擊。

你可以通過你自己的Certificate Authority(證書頒發(fā)機(jī)構(gòu))來創(chuàng)建一個(gè)自簽名證書，但你的證書頒發(fā)機(jī)構(gòu)的根證書必須被加載到最終用戶的計(jì)算機(jī)和設(shè)備上以讓他們來進(jìn)行服務(wù)器驗(yàn)證。

通常，你可以將證書頒發(fā)機(jī)構(gòu)的根證書分發(fā)到管理計(jì)算機(jī)，例如如果你運(yùn)行的是Windows Server 2003或更高版本的Active Directory，你可以通過組策略來分發(fā)。然而，對(duì)于非域和BYOD環(huán)境，證書必須手動(dòng)安裝或者以另一種方式來分布。

你也可以考慮從受Windows和其他操作系統(tǒng)信任的第三方證書頒發(fā)機(jī)構(gòu)(例如VeriSign、Comodo或者GoDaddy)為你的RADIUS服務(wù)器購買一個(gè)數(shù)字證書，這樣你就不用擔(dān)心分發(fā)根證書到計(jì)算機(jī)和設(shè)備的問題。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]