Персональная и корпоративная аутентификация

WPA2 и WPA3 поддерживают два режима аутентификации: Personal и Enterprise. В режиме Personal все используют один общий пароль, а в режиме Enterprise у каждого пользователя есть собственные учётные данные, которые проверяет центральный сервер. В этом уроке объясняется разница между режимами, принцип работы каждого из них и случаи, когда следует выбрать один режим вместо другого. Эта тема регулярно встречается на экзамене Network+.

В режиме Personal, который также называют PSK (предварительно установленный ключ), используется один пароль, который должен ввести каждый подключающийся пользователь. Пароль домашней сети Wi-Fi на наклейке маршрутизатора — это PSK. Такой режим легко настроить, и он отлично подходит для домов и небольших офисов. Все используют один и тот же секрет, и для подключения к сети достаточно знать его.

Общий ключ одновременно является и слабым местом. Если один человек раскроет пароль, подключиться сможет любой, а для отзыва доступа придётся изменить пароль для всех и перенастроить каждый device. В режиме Personal нет идентификации отдельных пользователей, поэтому невозможно понять, кто именно подключён, или отключить одного пользователя. Для небольшой группы людей, которым Вы доверяете, этого достаточно, но для компании такой подход не масштабируется.

В режиме Enterprise используется аутентификация 802.1X: вместо одного общего ключа каждый пользователь получает собственное имя пользователя и пароль (или сертификат). Когда пользователь подключается, его учётные данные проверяются на центральном сервере аутентификации, и только после этого предоставляется доступ. Единого пароля Wi-Fi, который можно передать другим или раскрыть, нет: каждый человек проходит аутентификацию отдельно под своей учётной записью.

Аутентификация Enterprise опирается на сервер RADIUS (служба удалённой аутентификации пользователей по коммутируемым линиям). Точка доступа передаёт учётные данные каждого пользователя на сервер RADIUS, который проверяет их в каталоге и сообщает AP, разрешить или отклонить подключение. RADIUS — это центральный компонент, благодаря которому в организации можно выполнять вход в Wi-Fi под отдельными учётными записями через множество точек доступа.

В 802.1X взаимодействуют три роли: supplicant (пользовательский device), authenticator (точка доступа или коммутатор) и authentication server (RADIUS). Supplicant отправляет учётные данные, authenticator пересылает их, а сервер принимает решение. Обмен выполняется с помощью EAP (расширяемого протокола аутентификации) — гибкой платформы, поддерживающей пароли, сертификаты и другие методы.

Для организаций режим Enterprise предпочтительнее. Вы можете отключить одного пользователя, не затронув остальных, видеть, кто подключался, применять политики для отдельных пользователей и не использовать единый общий секрет, который легко раскрыть. Режим интегрируется с существующими пользовательскими каталогами, поэтому сотрудники используют те же учётные данные, что и обычно. Такая персональная ответственность и возможность управления — именно то, что нужно компаниям для безопасной и удобной эксплуатации Wi-Fi.

Цена режима Enterprise — сложность. Он требует настройки и обслуживания сервера RADIUS, а также интеграции с пользовательским каталогом, что значительно сложнее, чем ввести один PSK. Для дома или очень небольшого офиса такие дополнительные затраты не оправданы. Выбор представляет собой компромисс: Personal — это простота, Enterprise — масштабируемость, контроль и ответственность.

Используйте Personal (PSK) дома и в небольших сетях, где общий пароль для пользователей, которым Вы доверяете, приемлем. Используйте Enterprise (802.1X с RADIUS) в компаниях, школах и везде, где нужны отдельные учётные записи, индивидуальный отзыв доступа и ответственность пользователей. Оба режима могут работать с WPA2 или WPA3, поэтому стандарт шифрования и режим аутентификации выбираются независимо.

В аутентификации Enterprise можно использовать разные методы EAP. PEAP и EAP-TTLS проверяют пользователей по имени пользователя и паролю внутри защищённого туннеля; это наиболее распространённый подход. В EAP-TLS для клиента и сервера используются цифровые сертификаты, что обеспечивает наиболее надёжную аутентификацию без паролей, но требует управления сертификатами. Вам не нужно знать все подробности: достаточно понимать, что EAP — это гибкая платформа, а EAP-TLS на основе сертификатов — наиболее безопасный вариант.

Выбор между Personal и Enterprise определяет, как Вы будете управлять беспроводным доступом. Personal использует один общий ключ: это просто, но не даёт контроля над отдельными пользователями. Enterprise использует 802.1X и сервер RADIUS для работы с индивидуальными учётными данными, обеспечения ответственности и простого отзыва доступа. Знание ролей supplicant, authenticator и authentication server, а также термина PSK — важная часть знаний Network+ об аутентификации в беспроводных сетях.

Проверьте свои знания об аутентификации.

WPA2/WPA3 предлагают два режима. Personal (PSK) использует один общий пароль: это просто для дома, но не обеспечивает идентификацию отдельных пользователей и затрудняет отзыв доступа. Enterprise использует 802.1X с сервером RADIUS, поэтому у каждого пользователя есть индивидуальные учётные данные, что обеспечивает ответственность и простой отзыв доступа. Роли 802.1X: supplicant (device), authenticator (AP) и authentication server (RADIUS), которые взаимодействуют через EAP. Выбирайте Personal ради простоты, а Enterprise — ради масштабируемости и контроля.