Uwierzytelnianie IEEE 802.1X RADIUS na przełącznikach UniFi

Zabezpieczenie fizycznych portów Ethernet jest fundamentem utwardzania infrastruktury sieciowej w środowiskach biznesowych. Brak kontroli dostępu na poziomie portu powoduje, że nieautoryzowane urządzenia podłączone do gniazd ściennych mogą natychmiast uzyskać dostęp do wewnętrznych wirtualnych sieci lokalnych (VLAN). Wdrożenie uwierzytelniania IEEE 802.1X RADIUS na przełącznikach Ubiquiti UniFi gwarantuje, że każdy punkt końcowy musi zostać zweryfikowany na podstawie adresu MAC lub certyfikatu kryptograficznego przed przydzieleniem dostępu. Ponadto dynamiczne przypisywanie VLAN automatycznie umieszcza uwierzytelnione urządzenia we właściwym segmencie sieciowym.

1. Architektura rozwiązania: 802.1X i dynamiczne VLAN-y

Infrastruktura uwierzytelniania IEEE 802.1X składa się z trzech głównych elementów:

• Supplicant: Urządzenie końcowe próbujące uzyskać dostęp do sieci LAN (np. stacja robocza, drukarka, kamera IP).
• Authenticator: Przełącznik sieciowy UniFi, który blokuje transmisję danych do momentu pomyślnego zakończenia weryfikacji tożsamości.
• Authentication Server: Serwer RADIUS (wbudowany serwer w bramie UniFi lub zewnętrzna instancja FreeRADIUS / Microsoft NPS), który waliduje poświadczenia i zwraca odpowiednie atrybuty autoryzacyjne.

W celu realizacji dynamicznego przypisywania VLAN, serwer RADIUS musi przesłać w pakiecie Access-Accept trzy standardowe atrybuty IETF:

• Tunnel-Type = 13 (VLAN)
• Tunnel-Medium-Type = 6 (802 / Ethernet)
• Tunnel-Private-Group-Id = <VLAN ID> (np. 20 dla sieci biurowej, 50 dla IoT)

2. Konfiguracja serwera RADIUS i profili w UniFi krok po kroku

W celu przygotowania zaplecza uwierzytelniania w aplikacji UniFi Network należy wykonać następującą sekwencję konfiguracyjną:

1. Aktywacja serwera RADIUS: Przejść do sekcji Settings > Profiles > RADIUS. W przypadku korzystania z bramy UniFi (np. UDM-Pro, EFG) należy włączyć wbudowany serwer w sekcji Settings > Services > RADIUS i zdefiniować bezpieczny klucz współdzielony (Shared Secret). W przypadku rozwiązania zewnętrznego wprowadza się adres IPv4, port uwierzytelniania (domyślnie 1812), port rozliczania (domyślnie 1813) oraz Shared Secret.
2. Włączenie przypisywania VLAN: W ustawieniach profilu RADIUS musi zostać zaznaczona opcja Enable RADIUS assigned VLAN for Wired Network. Pozwala to portom przełącznika na nadpisywanie domyślnego VLAN-u natywnego informacjami odebranymi od serwera RADIUS.
3. Tworzenie kont użytkowników lub wpisów MAC:
   • Dla EAP-TLS / PEAP: Utworzenie poświadczeń lub certyfikatów klienckich dla komputerów służbowych.
   • Dla uwierzytelniania na podstawie MAC (MAB): Rejestracja urządzeń starszej generacji (drukarki, kamery CCTV) poprzez utworzenie użytkownika RADIUS, gdzie nazwa użytkownika i hasło są identyczne z adresem MAC zapisanym małymi literami bez dwukropków i myślników (np. 001122334455), wraz ze wskazaniem docelowego numeru VLAN ID.

3. Utwardzanie portów przełącznika krok po kroku

Po aktywacji profilu RADIUS wymagane jest skonfigurowanie kontroli 802.1X na portach przełącznika:

1. Otwarcie menedżera portów: W kontrolerze UniFi Network przejść do sekcji UniFi Devices, wybrać właściwy przełącznik i otworzyć panel Port Manager.
2. Wybór portów docelowych: Zaznaczyć fizyczne porty Ethernet prowadzące do gniazd ściennych lub stanowisk pracy.
3. Konfiguracja trybu 802.1X Control: W sekcji 802.1X Control należy wybrać jeden z poniższych trybów egzekwowania:
   • Auto: Wymusza standardowe uwierzytelnianie 802.1X oparte o EAP lub certyfikaty.
   • MAC-based: Automatycznie uruchamia mechanizm MAC Authentication Bypass (MAB) dla urządzeń nieobsługujących protokołu 802.1X.
4. Ustawienie Fallback VLAN: Zdefiniowanie izolowanego segmentu Fallback VLAN (np. sieć gościnna lub kwarantanna) dla urządzeń, które nie przejdą uwierzytelniania lub nie odpowiedzą na zapytania 802.1X EAPOL w określonym czasie.
5. Zastosowanie zmian: Zapisanie konfiguracji w celu natychmiastowego aktywowania blokad na portach przełącznika.

4. Podsumowanie i wartość architektoniczna

Co da się osiągnąć dzięki temu poradnikowi: Wdrożenie zaawansowanej kontroli dostępu IEEE 802.1X na portach przełączników UniFi, wykorzystującej zarówno kryptograficzne uwierzytelnianie certyfikatami, jak i mechanizm MAC Authentication Bypass (MAB) z automatyczną segmentacją VLAN.

Wynikająca z tego wartość: Ryzyko nieautoryzowanego dostępu fizycznego do sieci LAN zostaje znacznie ograniczone; na portach z MAB pozostaje możliwe podszycie się pod adres MAC. Obce urządzenia podłączone do gniazd Ethernet są natychmiast blokowane lub umieszczane w odizolowanym segmencie kwarantanny. Jednocześnie administracja siecią ulega ułatwieniu: ręczna konfiguracja statycznych VLAN-ów na poszczególnych portach staje się zbędna, ponieważ każdy zweryfikowany punkt końcowy jest automatycznie przypisywany do właściwej sieci bez względu na to, do którego portu zostanie wpięty.