802.1X и RADIUS: контроль доступа к сети предприятия

Я бы сказал, что стандарт IEEE 802.1X — это наш главный помощник, когда нужно аутентифицировать устройства прямо на уровне порта коммутатора или точки доступа Wi-Fi. Просто представьте: если нет 802.1X, то любой, кто хоть как-то подключится — воткнёт кабель в розетку или подберёт пароль Wi-Fi, — мгновенно попадает в вашу внутреннюю сеть. Для организаций, где работают десятки и даже сотни сотрудников, это, на мой взгляд, очень серьёзная дыра в безопасности.

По сути, архитектура 802.1X строится на трёх основных китах, без которых она никак: это суппликант (то есть само клиентское устройство), аутентификатор (которым выступает коммутатор или точка доступа) и, конечно же, сервер аутентификации (мы говорим о RADIUS). Как только устройство пытается подключиться к порту, коммутатор тут же блокирует абсолютно весь трафик, оставляя открытыми только EAP-пакеты, и первым делом бежит спрашивать у RADIUS-сервера: 'А можно ли его вообще пускать?'

Что даёт внедрение 802.1X:

• Динамическое назначение VLAN в зависимости от учётной записи пользователя
• Автоматическая изоляция гостевых устройств
• Журналирование всех подключений к сети с привязкой к пользователю
• Возможность применения политик доступа (ACL) на уровне порта
• Интеграция с Active Directory или LDAP для единой точки управления

В этой статье я предлагаю нам вместе развернуть FreeRADIUS прямо на Ubuntu 22.04. Мы детально настроим аутентификацию, используя EAP-PEAP/MSCHAPv2, да ещё и с привязкой к Active Directory. А в конце, конечно же, сконфигурируем коммутаторы Cisco и MikroTik, чтобы они отлично работали с 802.1X.

FreeRADIUS — это, пожалуй, самый популярный RADIUS-сервер с открытым кодом, который поддерживает абсолютно все современные методы EAP-аутентификации. Именно его мы и будем устанавливать на Ubuntu 22.04. Вот как это делается:

sudo apt update
sudo apt install freeradius freeradius-utils freeradius-ldap -y
sudo systemctl enable freeradius

Основные конфигурационные файлы находятся в /etc/freeradius/3.0/. Структура каталога:

• radiusd.conf — главный конфиг демона
• clients.conf — список NAS-устройств (коммутаторы, AP)
• mods-enabled/ — активные модули
• sites-enabled/ — активные виртуальные серверы
• users — локальная база пользователей

Первым делом добавим коммутаторы как RADIUS-клиентов в /etc/freeradius/3.0/clients.conf:

client switch-core {
    ipaddr = 10.0.1.1
    secret = MyR4d1usS3cret!
    shortname = core-switch
    nastype = cisco
}

client ap-office {
    ipaddr = 10.0.1.0/24
    secret = APr4d1usK3y!
    shortname = office-aps
    nastype = other
}

Для тестирования добавим локального пользователя в файл /etc/freeradius/3.0/users:

testuser  Cleartext-Password := "TestPass123"
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-Id = "100"

Проверяем конфигурацию и запускаем в режиме отладки:

sudo freeradius -CX   # проверка конфига
sudo freeradius -X    # запуск в debug-режиме

В большинстве организаций учётные записи хранятся в Active Directory. Для интеграции используем модуль ntlm_auth через Samba/Winbind, что позволяет проверять пароли через MSCHAPv2 без передачи их в открытом виде.

Ставим нужные пакеты:

sudo apt install samba winbind libpam-winbind libnss-winbind krb5-user -y

Настраиваем Kerberos в /etc/krb5.conf:

[libdefaults]
    default_realm = COMPANY.LOCAL
    dns_lookup_realm = false
    dns_lookup_kdc = true

[realms]
    COMPANY.LOCAL = {
        kdc = dc01.company.local
        admin_server = dc01.company.local
    }

[domain_realm]
    .company.local = COMPANY.LOCAL
    company.local = COMPANY.LOCAL

Настраиваем Samba в /etc/samba/smb.conf:

[global]
    workgroup = COMPANY
    realm = COMPANY.LOCAL
    security = ads
    encrypt passwords = yes
    winbind use default domain = yes
    winbind uid = 10000-20000
    winbind gid = 10000-20000
    winbind enum users = yes
    winbind enum groups = yes
    idmap config * : range = 10000-20000

Вводим сервер в домен и проверяем:

sudo net ads join -U Administrator
sudo systemctl restart winbind
wbinfo -t   # проверка доверительного отношения
wbinfo -u   # список пользователей домена

Одно из главных преимуществ 802.1X — возможность помещать пользователя в определённый VLAN на основе его группы в AD. Бухгалтерия попадает в VLAN 100, IT-отдел — в VLAN 200, гости — в VLAN 300.

Для этого создаём файл политик /etc/freeradius/3.0/policy.d/vlan-assignment:

vlan_assignment {
    if ("%{sql:SELECT groupname FROM radgroupcheck WHERE username='%{User-Name}'}" == "accounting") {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-Id = "100"
        }
    }
    elsif ("%{sql:SELECT groupname FROM radgroupcheck WHERE username='%{User-Name}'}" == "it-dept") {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-Id = "200"
        }
    }
    else {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-Id = "300"
        }
    }
}

Альтернативный вариант — использовать LDAP-группы напрямую. В модуле mods-enabled/ldap настраиваем маппинг групп:

ldap {
    server = "dc01.company.local"
    port = 389
    identity = "CN=radius-svc,OU=Service Accounts,DC=company,DC=local"
    password = SvcP@ssw0rd
    base_dn = "DC=company,DC=local"
    user {
        base_dn = "${..base_dn}"
        filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
    }
    group {
        base_dn = "${..base_dn}"
        filter = "(objectClass=group)"
        membership_attribute = "memberOf"
    }
}

Затем в файле users прописываем правила на основе групп:

DEFAULT Ldap-Group == "CN=IT Department,OU=Groups,DC=company,DC=local"
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-Id = "200"

На коммутаторах Cisco Catalyst настройка 802.1X выполняется глобально и на уровне каждого порта. Пример конфигурации для Cisco IOS:

! Глобальные настройки
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

radius server FREERADIUS
 address ipv4 10.0.1.50 auth-port 1812 acct-port 1813
 key MyR4d1usS3cret!

dot1x system-auth-control

! Настройка портов доступа
interface range GigabitEthernet0/1 - 24
 switchport mode access
 switchport access vlan 300
 authentication port-control auto
 authentication host-mode multi-auth
 dot1x pae authenticator
 dot1x timeout tx-period 10
 spanning-tree portfast

Для гостевого VLAN и VLAN при сбое аутентификации:

interface GigabitEthernet0/1
 authentication event fail action authorize vlan 300
 authentication event server dead action authorize vlan 300
 authentication event no-response action authorize vlan 300
 dot1x guest-vlan 300

Для того чтобы наш 802.1X действительно заработал на клиентских машинах, нам, конечно, нужно настроить суппликант. Хорошая новость в том, что в Windows он уже есть — это встроенная служба. Для проводной сети её называют Wired AutoConfig, а для беспроводной — WLAN AutoConfig.

Включаем проводной суппликант через групповую политику (GPO):

1. Откройте gpedit.msc → Computer Configuration → Windows Settings → Security Settings → System Services
2. Найдите Wired AutoConfig и установите автоматический запуск
3. Перейдите в Network Policies → Wired Network (IEEE 802.3) Policies
4. Создайте новую политику с методом аутентификации PEAP

А через PowerShell суппликант можно включить массово:

Set-Service dot3svc -StartupType Automatic
Start-Service dot3svc

# Создание профиля 802.1X для проводной сети
$xml = @"
<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
  <MSM>
    <security>
      <OneXEnforced>false</OneXEnforced>
      <OneXEnabled>true</OneXEnabled>
      <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
        <EAPConfig>
          <EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
            <EapMethod>
              <Type>25</Type>
              <VendorId>0</VendorId>
              <VendorType>0</VendorType>
              <AuthorId>0</AuthorId>
            </EapMethod>
          </EapHostConfig>
        </EAPConfig>
      </OneX>
    </security>
  </MSM>
</LANProfile>
"@
$xml | Out-File "C:\dot1x-profile.xml"
netsh lan add profile filename="C:\dot1x-profile.xml"

В Linux суппликант реализован через wpa_supplicant. Конфигурация для проводной сети /etc/wpa_supplicant/wpa_supplicant-eth0.conf:

ctrl_interface=/var/run/wpa_supplicant
ap_scan=0

network={
    key_mgmt=IEEE8021X
    eap=PEAP
    phase2="auth=MSCHAPV2"
    identity="ivanov"
    password="Password123"
    ca_cert="/etc/ssl/certs/radius-ca.pem"
}

Мониторинг RADIUS-аутентификации критически важен для диагностики проблем подключения. FreeRADIUS ведёт подробный лог, который можно анализировать.

Основные инструменты диагностики:

# Запуск FreeRADIUS в debug-режиме (все пакеты видны)
sudo systemctl stop freeradius
sudo freeradius -X 2>&1 | tee /tmp/radius-debug.log

# Тестирование аутентификации
radtest user1 password 10.0.1.50 0 testing123
eapol_test -c /etc/eapol_test.conf -s testing123

# Просмотр RADIUS-accounting
cat /var/log/freeradius/radacct/*/detail-*

Конфигурация eapol_test для проверки EAP-PEAP:

network={
    ssid="test"
    key_mgmt=IEEE8021X
    eap=PEAP
    identity="testuser"
    password="TestPass123"
    phase2="auth=MSCHAPV2"
    ca_cert="/etc/freeradius/3.0/certs/ca.pem"
}

На коммутаторах Cisco полезные команды:

show dot1x all summary
show dot1x interface Gi0/1 details
show authentication sessions
show authentication sessions interface Gi0/1
debug dot1x all
debug radius authentication

На MikroTik:

/interface dot1x server print
/interface dot1x server active print
/log print where topics~"dot1x"

Внедрение 802.1X в действующей сети требует поэтапного подхода. Одномоментное включение на всех портах гарантированно приведёт к массовым отключениям пользователей.

Рекомендуемый план:

1. Подготовка (1-2 недели): развёртывание RADIUS-сервера, настройка интеграции с AD, тестирование на выделенных портах
2. Пилот (2-4 недели): включение 802.1X в одном подразделении с мониторингом и быстрым откатом
3. Раскатка (4-8 недель): поэтапное включение по подразделениям
4. Ужесточение: отключение гостевого VLAN на критичных портах, переход на EAP-TLS с сертификатами

И обязательно настройте отказоустойчивость:

# Второй RADIUS-сервер (реплика)
radius server FREERADIUS-BACKUP
 address ipv4 10.0.1.51 auth-port 1812 acct-port 1813
 key MyR4d1usS3cret!

aaa group server radius RADIUS-SERVERS
 server name FREERADIUS
 server name FREERADIUS-BACKUP

Для серверов и принтеров, которые не поддерживают 802.1X, используйте MAB (MAC Authentication Bypass):

interface GigabitEthernet0/48
 description SERVER-PORT
 switchport mode access
 authentication port-control auto
 authentication host-mode single-host
 mab
 dot1x pae authenticator
 authentication order mab dot1x
 authentication priority dot1x mab

В файле users FreeRADIUS добавьте MAC-адреса устройств:

001122334455  Cleartext-Password := "001122334455"
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-Id = "200"