Personlig jämfört med företagsautentisering

WPA2 och WPA3 har två autentiseringslägen: Personal och Enterprise. Personal använder ett gemensamt lösenord för alla, medan Enterprise ger varje användare egna autentiseringsuppgifter som kontrolleras av en central server. I den här lektionen förklaras skillnaden, hur de fungerar och när du bör välja det ena framför det andra – ett ämne som regelbundet förekommer på Network+-provet.

Läget Personal, även kallat PSK (Pre-Shared Key), använder ett enda lösenord som alla som ansluter måste ange. Wi-Fi-lösenordet för hemmet, som står på routerns etikett, är en PSK. Det är enkelt att konfigurera och passar perfekt för hem och små kontor. Alla delar samma hemlighet, och det enda som krävs för att ansluta till nätverket är att känna till den.

Den delade nyckeln är också svagheten. Om en person läcker lösenordet kan vem som helst ansluta, och för att återkalla åtkomsten måste du ändra lösenordet för alla och konfigurera om varje enhet. Det finns ingen identitet per användare, så du kan inte se vem som är vem eller inaktivera en enskild användare. För en handfull betrodda personer fungerar detta bra, men för ett företag är det inte skalbart.

Läget Enterprise använder 802.1X-autentisering och ger varje användare ett eget användarnamn och lösenord (eller certifikat) i stället för en gemensam nyckel. När en användare ansluter kontrolleras autentiseringsuppgifterna mot en central autentiseringsserver innan åtkomst beviljas. Det finns inget enda Wi-Fi-lösenord som kan delas eller läcka; varje person autentiserar sig individuellt med sin egen identitet.

Enterprise-autentisering bygger på en RADIUS-server (Remote Authentication Dial-In User Service). Åtkomstpunkten vidarebefordrar varje användares autentiseringsuppgifter till RADIUS-servern, som verifierar dem mot en katalog och meddelar AP:n om anslutningen ska tillåtas eller nekas. RADIUS är den centrala hjärnan som möjliggör Wi-Fi-inloggning per användare via många åtkomstpunkter i en organisation.

I 802.1X samarbetar tre roller: supplicant (användarens enhet), authenticator (åtkomstpunkten eller switchen) och authentication server (RADIUS). Supplicant skickar autentiseringsuppgifterna, authenticator vidarebefordrar dem och servern fattar beslutet. De kommunicerar med hjälp av EAP (Extensible Authentication Protocol), ett flexibelt ramverk som stöder lösenord, certifikat och andra metoder.

Enterprise-läget är det bästa valet för organisationer. Du kan inaktivera en användare utan att påverka någon annan, se vem som har anslutit, tillämpa policyer per användare och undvika en enda gemensam hemlighet som lätt kan läcka. Det kan integreras med befintliga användarkataloger, så att medarbetarna använder samma inloggning som de redan har. Denna individuella spårbarhet och kontroll är precis vad företag behöver för ett säkert och lätthanterligt Wi-Fi.

Kostnaden för Enterprise-läget är komplexiteten. Det kräver att du konfigurerar och underhåller en RADIUS-server och integrerar den med en användarkatalog, vilket innebär betydligt mer arbete än att ange en PSK. För ett hem eller ett mycket litet kontor är denna extra belastning inte värd det. Valet handlar om en avvägning: Personal för enkelhet, Enterprise för skalbarhet, kontroll och spårbarhet.

Använd Personal (PSK) för hem och små nätverk där det är acceptabelt att betrodda användare delar ett lösenord. Använd Enterprise (802.1X with RADIUS) för företag, skolor och andra miljöer där du behöver inloggning per användare, individuell återkallelse och spårbarhet. Båda kan köras med WPA2 eller WPA3, så du väljer krypteringsstandard och autentiseringsläge oberoende av varandra.

Enterprise-autentisering kan använda olika EAP-metoder. PEAP och EAP-TTLS verifierar användare med användarnamn och lösenord i en skyddad tunnel, vilket är det vanligaste tillvägagångssättet. EAP-TLS använder digitala certificates på både klienten och servern för den starkaste lösenordsfria autentiseringen, men kräver att certifikat hanteras. Du behöver inte kunna alla detaljer; kom bara ihåg att EAP är det flexibla ramverket och att certifikatbaserad EAP-TLS är det säkraste alternativet.

Valet mellan Personal och Enterprise avgör hur du hanterar trådlös åtkomst. Personal är en gemensam nyckel – enkelt, men utan kontroll per användare. Enterprise använder 802.1X och en RADIUS-server för individuella autentiseringsuppgifter, spårbarhet och enkel återkallelse. Att känna till rollerna supplicant, authenticator och authentication server samt termen PSK är centrala Network+-kunskaper om trådlös autentisering.

WPA2/WPA3 erbjuder två lägen. Personal (PSK) använder ett gemensamt lösenord och är enkelt för hem, men saknar identitet per användare och gör återkallelse besvärlig. Enterprise använder 802.1X med en RADIUS-server, så att varje användare har individuella autentiseringsuppgifter, vilket möjliggör spårbarhet och enkel återkallelse. Roller i 802.1X är supplicant (enhet), authenticator (AP) och authentication server (RADIUS), som kommunicerar via EAP. Välj Personal för enkelhet och Enterprise för skalbarhet och kontroll.