MikroTik
802.1X Port Authentication

Μια πρίζα δικτύου σε ένα λόμπι ξενοδοχείου ή κοινόχρηστο γραφείο είναι ανοιχτή πόρτα — οποιοσδήποτε μπορεί να συνδεθεί και βρίσκεται στο LAN σου. Το 802.1X κλείνει εκείνη την πόρτα: το port μένει νεκρό μέχρι η συσκευή να αποδείξει ποια είναι έναντι RADIUS. Το RouterOS 7 απέκτησε έναν κανονικό server dot1x για να το κάνει ακριβώς αυτό. Το post 802.1X της Cisco, σε RouterOS.

MikroTik RouterOS 802.1X RADIUS NAC

Όλα τα υπόλοιπα posts ασφάλειας υποθέτουν ότι ο επιτιθέμενος είναι απομακρυσμένος. Το 802.1X αντιμετωπίζει αυτόν που μπήκε: μια φυσική πρίζα που δίνει πρόσβαση δικτύου σε ό,τι είναι συνδεδεμένο πάνω της. Το Port-based authentication αναποδογυρίζει το default — ένα port δεν περνά καμία κίνηση (εκτός από την ίδια την ανταλλαγή authentication) μέχρι η συνδεδεμένη συσκευή, ο supplicant, να κάνει authenticate μέσω του switch (ο authenticator) σε έναν server RADIUS. Περνά, και το port ανοίγει, προαιρετικά σε ένα VLAN που αναθέτει το RADIUS· αποτυγχάνει, και μένει κλειστό ή πέφτει σε κλειδωμένο VLAN επισκεπτών.

Το RouterOS 7 υλοποιεί και τους δύο ρόλους — έναν server dot1x (authenticator) σε ports switch, και έναν client dot1x (supplicant) για ένα MikroTik που το ίδιο χρειάζεται να κάνει authenticate σε ένα ασφαλισμένο port κάποιου άλλου. Το μοντέλο και η υδραυλική RADIUS ταιριάζουν με το Cisco IOS: 802.1X Port Authentication· η υποχρεωτική λεπτομέρεια είναι ένα χαριτωμένο fallback για τον εκτυπωτή που δεν μπορεί να μιλήσει 802.1X.

Προαπαιτουμενα

Ένας server RADIUS (FreeRADIUS, NPS, ή παρόμοιο) προσβάσιμος από το switch
VLANs ρυθμισμένα, μαζί με ένα κλειδωμένο VLAN guest/reject

Δειξε το RouterOS στο RADIUS

Πρώτα πες στο switch πού να στέλνει αιτήματα authentication και το κοινό μυστικό που το εμπιστεύεται. Η υπηρεσία dot1x είναι ο καταναλωτής.

Terminal — client RADIUS για την υπηρεσια dot1x

> /radius add service=dot1x address=10.10.99.20 secret="radius-shared-secret" \
    timeout=1s
# Προαιρετικό αλλά σοφό: άφησε το RADIUS να οδηγεί και εισερχόμενα CoA/disconnect.
> /radius incoming set accept=yes

Ενεργοποιησε τον Server dot1x στα Ports

Γύρνα κάθε μη έμπιστο access port σε authenticator. Μέχρι ένας supplicant να κάνει authenticate, το port δεν κουβαλά τίποτα εκτός από EAP.

Terminal — server dot1x σε port λομπι/access

> /interface dot1x server add interface=ether3 \
    auth-types=dot1x \
    reject-vlan-id=999 \
    interim-update=5m
# reject-vlan-id=999 = το κλειδωμένο VLAN guest για όποιον αποτυγχάνει
# ή δεν προσπαθεί ποτέ. Επανέλαβε ανά μη έμπιστο access port.
> /interface dot1x server monitor ether3
     status: authenticated
       user: alice@corp

Το Fallback — MAC-Auth Bypass

Εκτυπωτές, κάμερες, αναγνώστες κάρτας και παλιά τηλέφωνα VoIP δεν μπορούν να τρέξουν supplicant 802.1X. Χωρίς fallback, το 802.1X κλειδώνει έξω ακριβώς τις συσκευές που θέλεις περισσότερο σε ελεγχόμενο VLAN. Το MAC-auth bypass αφήνει το RADIUS να τις εξουσιοδοτήσει με βάση τη διεύθυνση hardware.

Terminal — επιτρεψε MAC-auth μαζι με dot1x

# Δοκίμασε πρώτα 802.1X· αν η συσκευή μείνει σιωπηλή, γύρνα σε
# authenticate τη διεύθυνση MAC της ως username έναντι RADIUS.
> /interface dot1x server set [find interface=ether3] \
    auth-types=dot1x,mac-auth \
    mac-auth-mode=mac-as-username
# Το RADIUS κρατά την allow-list γνωστών MAC συσκευών και το VLAN στο οποίο
# ανήκει η καθεμία — οπότε το NVR προσγειώνεται αυτόματα στο VLAN CCTV.

⚠ Παγιδα — Το MAC-Auth Ειναι Fallback, Οχι Ισοτιμο του 802.1X

Μια διεύθυνση MAC είναι τετριμμένα spoofable — ένας επιτιθέμενος που βγάζει από την πρίζα τον εκτυπωτή του λόμπι μπορεί να κλωνοποιήσει το MAC του και να κληρονομήσει την πρόσβασή του. Το MAC-auth bypass είναι μια πρακτική εξαίρεση για συσκευές που δεν μπορούν κάτι καλύτερο, όχι ισοδύναμη ασφάλεια. Κράτα την allow-list MAC σφιχτή, βάλε τις συσκευές MAC-authed στο πιο περιορισμένο VLAN που επιτρέπει η λειτουργία τους, και ποτέ μην κάνεις MAC-bypass σε port που θα μπορούσε να φτάσει ευαίσθητα segments. Το πραγματικό 802.1X με πιστοποιητικά είναι ο στόχος· το MAB είναι ο συμβιβασμός.

Οταν το Switch Ειναι ο Supplicant

Η καθρεφτισμένη περίπτωση: το MikroTik σου συνδέεται σε port ασφαλισμένο από κάποιον άλλον (ένα εταιρικό uplink, μια πρίζα campus). Τότε το RouterOS τρέχει τον client dot1x και κάνει authenticate τον εαυτό του.

Terminal — client dot1x (supplicant) σε ενα uplink

> /interface dot1x client add interface=ether1 \
    identity="site-rtr@corp" password="supplicant-secret" \
    eap-methods=eap-peap
> /interface dot1x client monitor ether1   # status: authenticated

Βασικα Συμπερασματα

Το 802.1X ασφαλίζει το φυσικό επίπεδο — μια πρίζα δεν δίνει τίποτα μέχρι η συσκευή να κάνει authenticate. Η άμυνα εναντίον όποιου μπήκε.
Τρεις ρόλοι: supplicant (συσκευή), authenticator (το port RouterOS), RADIUS (η απόφαση). Το RouterOS 7 μπορεί να είναι authenticator ή supplicant.
Δείξε την υπηρεσία dot1x στο RADIUS, μετά ενεργοποίησε τον server ανά μη έμπιστο access port με VLAN reject για αστοχίες.
Το MAC-auth bypass σώζει συσκευές που δεν μπορούν 802.1X — αλλά τα MAC είναι spoofable, οπότε αντιμετώπισέ το ως σφιχτή εξαίρεση χαμηλού προνομίου.
Το RADIUS μπορεί να αναθέσει το VLAN, ώστε μια συσκευή να προσγειώνεται αυτόματα στο σωστό segment κατά το authentication.
Ένα MikroTik μπορεί να είναι και supplicant όταν συνδέεται σε ασφαλισμένο port κάποιου άλλου.

Ανοιχτες πριζες δικτυου σε δημοσιους χωρους της επιχειρησης σου;

Μια αχρησιμοποίητη πρίζα τοίχου σε ένα λόμπι δεν πρέπει να είναι ανοιχτή πόρτα προς το δίκτυό σου. Αναπτύσσω 802.1X και port authentication με RADIUS σε MikroTik και Cisco με fallbacks που πραγματικά δουλεύουν, ώστε εκείνη η πρίζα να σταματήσει να είναι ο πιο εύκολος τρόπος εισόδου.

Κλεισε μια Discovery Call →