Kişisel ve Kurumsal Kimlik Doğrulama

WPA2 ve WPA3, iki kimlik doğrulama modu sunar: Personal ve Enterprise. Personal, herkes için ortak bir parola kullanır; Enterprise ise her kullanıcıya ait kimlik bilgilerini merkezi bir sunucuda doğrular. Bu derste aralarındaki farkı, her birinin nasıl çalıştığını ve hangi durumda diğerine tercih edilmesi gerektiğini açıklayacağız. Bu konu, Network+ sınavında düzenli olarak karşınıza çıkar.

Personal modu (Önceden Paylaşılan Anahtar) olarak da adlandırılan PSK, bağlanan herkesin girmesi gereken tek bir parola kullanır. Yönlendiricinizin üzerindeki etikette yazan ev Wi-Fi parolası bir PSK'dir. Kurulumu kolaydır ve evler ile küçük ofisler için idealdir. Herkes aynı gizli bilgiyi paylaşır; ağa katılmak için bunu bilmek yeterlidir.

Paylaşılan anahtar aynı zamanda zayıf noktadır. Bir kişi parolayı sızdırırsa herkes ağa katılabilir. Erişimi iptal etmek için parolayı herkes için değiştirmeniz ve her device üzerinde yeniden yapılandırma yapmanız gerekir. Kullanıcı başına ayrı bir kimlik bulunmadığından kimin kim olduğunu göremez veya tek bir kullanıcının erişimini devre dışı bırakamazsınız. Güvenilen birkaç kişi için bu yöntem yeterlidir; ancak bir şirket için ölçeklenebilir değildir.

Enterprise modu, 802.1X kimlik doğrulamasını kullanır ve tek bir ortak anahtar yerine her kullanıcıya kendi kullanıcı adı ile parolasını (veya sertifikasını) verir. Bir kullanıcı bağlandığında, erişim izni verilmeden önce kimlik bilgileri merkezi bir kimlik doğrulama sunucusunda denetlenir. Paylaşılabilecek veya sızdırılabilecek tek bir Wi-Fi parolası yoktur; her kişi kendi kimliğiyle ayrı ayrı kimlik doğrulaması yapar.

Enterprise kimlik doğrulaması bir RADIUS (Uzaktan Kimlik Doğrulama Çevirmeli Kullanıcı Hizmeti) sunucusuna dayanır. Erişim noktası, her kullanıcının kimlik bilgilerini RADIUS sunucusuna iletir. Sunucu bu bilgileri bir dizine göre doğrular ve AP'ye bağlantıya izin vermesini veya bağlantıyı reddetmesini bildirir. RADIUS, bir kuruluştaki birçok erişim noktasında kullanıcı başına Wi-Fi girişini mümkün kılan merkezi beyindir.

802.1X'te üç rol birlikte çalışır: Supplicant (kullanıcının device'ı), Authenticator (erişim noktası veya anahtar) ve kimlik doğrulama sunucusu (RADIUS). Supplicant kimlik bilgilerini gönderir, Authenticator bunları iletir ve sunucu karar verir. Bu roller, parolaları, sertifikaları ve diğer yöntemleri destekleyen esnek bir çerçeve olan EAP (Genişletilebilir Kimlik Doğrulama Protokolü) ile iletişim kurar.

Enterprise modu kuruluşlar için daha uygundur. Başka hiç kimseyi etkilemeden tek bir kullanıcının erişimini devre dışı bırakabilir, kimin bağlandığını görebilir, kullanıcı başına politikalar uygulayabilir ve kolayca sızdırılabilecek ortak bir gizli bilgiden kaçınabilirsiniz. Mevcut kullanıcı dizinleriyle bütünleştiği için çalışanlar hâlihazırda kullandıkları aynı giriş bilgileriyle oturum açar. Bu bireysel sorumluluk ve denetim, güvenli ve yönetilebilir Wi-Fi için işletmelerin tam olarak ihtiyaç duyduğu özelliklerdir.

Enterprise modunun bedeli karmaşıklıktır. Bir RADIUS sunucusu kurup sürdürmeniz ve bunu bir kullanıcı diziniyle bütünleştirmeniz gerekir; bu, tek bir PSK yazmaktan çok daha fazla emek ister. Ev veya çok küçük bir ofis için bu ek yük genellikle buna değmez. Seçim bir denge meselesidir: Basitlik için Personal, ölçek, denetim ve sorumluluk için Enterprise.

Güvenilen kullanıcılar arasında ortak parola kullanılmasının kabul edilebilir olduğu evlerde ve küçük ağlarda Personal (PSK) kullanın. Kullanıcı başına giriş, bireysel erişim iptali ve sorumluluk gerektiğinde işletmeler, okullar ve benzeri ortamlarda Enterprise (802.1X with RADIUS) kullanın. Her ikisi de WPA2 veya WPA3 üzerinde çalışabilir; bu nedenle şifreleme standardını ve kimlik doğrulama modunu birbirinden bağımsız seçebilirsiniz.

Enterprise kimlik doğrulaması farklı EAP yöntemlerini kullanabilir. PEAP ve EAP-TTLS, en yaygın yaklaşım olan korumalı bir tünel içinde kullanıcı adı ve parolayla kullanıcıları doğrular. EAP-TLS ise en güçlü ve parola gerektirmeyen kimlik doğrulaması için hem istemcide hem de sunucuda dijital sertifikalar kullanır; ancak sertifikaların yönetilmesini gerektirir. Her ayrıntıyı bilmeniz gerekmez; EAP'nin esnek bir çerçeve olduğunu ve sertifika tabanlı EAP-TLS'nin en güvenli seçenek olduğunu bilmeniz yeterlidir.

Personal ve Enterprise arasındaki seçim, kablosuz erişimi nasıl yöneteceğinizi belirler. Personal, basit olan ancak kullanıcı başına denetim sunmayan tek bir ortak anahtardır. Enterprise ise bireysel kimlik bilgileri, sorumluluk ve kolay erişim iptali için 802.1X ile bir RADIUS sunucusu kullanır. Supplicant, Authenticator ve kimlik doğrulama sunucusunun rollerini ve PSK terimini bilmek, kablosuz kimlik doğrulaması için temel Network+ bilgisidir.

Kimlik doğrulama bilginizi sınayın.

WPA2/WPA3 iki mod sunar. Personal (PSK), evler için basit olan tek bir ortak parola kullanır; ancak kullanıcı başına kimlik sunmaz ve erişim iptali zahmetlidir. Enterprise, bir RADIUS sunucusuyla 802.1X kullanır; böylece her kullanıcının kendine ait kimlik bilgileri olur ve sorumluluk ile kolay erişim iptali sağlanır. 802.1X rolleri, Supplicant (device), Authenticator (AP) ve kimlik doğrulama sunucusudur (RADIUS); bu roller EAP üzerinden iletişim kurar. Basitlik için Personal'ı, ölçek ve denetim için Enterprise'ı seçin.