802.1X 網路存取認證是什麼？搞懂 RADIUS、supplicant 與交換器的把關機制

802.1X 要解決的問題:先驗身分,才給進網路

一般辦公室的網路孔與無線網路,只要裝置接上就能取得 IP、進到內部網路。這代表任何人帶著自己的筆電、手機,甚至來路不明的設備,插上會議室的網路孔或連上公司無線,就有機會存取內部資源。802.1X 的用意,是把網路的「實體連線」與「可以使用網路」這兩件事分開:裝置就算插上線、連上訊號,在通過身分驗證之前,交換器或無線 AP 只會放行驗證用的封包,其餘一律擋住,連 IP 位址都不會發給它。

這套標準屬於連接埠層級的存取控制,也就是在交換器的每一個網路孔、或每一個無線連線上各自把關,而不是等封包都進到內網才用防火牆攔。因此它常被視為企業內網的第一道門。

三個角色:supplicant、authenticator 與認證伺服器

802.1X 的運作牽涉三方,搞懂這三個角色,整個流程就清楚了。

• supplicant(請求者):想要連網的裝置上的軟體,例如筆電作業系統內建的網路認證元件。它負責把帳號、憑證或其他身分資訊送出去。
• authenticator(驗證者):通常就是那台網管型交換器或無線 AP。它自己不判斷帳號密碼對不對,而是當中間人,把 supplicant 的身分資訊轉給後端的認證伺服器,再依伺服器的回覆決定這個連接埠要開還是要關。
• 認證伺服器:實際核對身分的角色,企業環境裡最常見的就是 RADIUS 伺服器。它比對帳號、憑證或與目錄服務整合的員工身分,把通過或拒絕的結果回給交換器。

流程大致是:裝置接上網路孔,交換器要求它表明身分,supplicant 送出身分資訊,交換器轉交 RADIUS 核對,核對通過後交換器才把這個連接埠打開、裝置這時才真正連上網路;若失敗,連接埠維持封閉,或被導向權限受限的網段。

RADIUS 扮演的角色

RADIUS 是一套負責認證與授權的通訊協定,企業常用它集中管理「誰可以連、連上後有什麼權限」。把認證邏輯集中在 RADIUS 的好處是:交換器與 AP 本身不需要各自保存帳號資料,所有把關規則都在後端,新增或停用一個員工只要在集中處調整即可。RADIUS 也常與企業既有的目錄服務整合,讓員工用原本的公司帳號登入,不必另記一組。

認證通過時,RADIUS 還能一併把授權資訊帶回交換器,例如指定這個裝置該被分到哪一個 VLAN。這讓企業可以做到「同一個網路孔,不同身分連上去會自動落在不同網段」:員工落在辦公網段、訪客落在隔離的訪客網段。

導入前要先想清楚的事

802.1X 能大幅提升內網的進入門檻,但它牽動的環節不少,導入前建議先評估幾點:

• 設備是否支援:交換器與無線 AP 需要支援 802.1X,通常是網管型等級的設備才具備;非網管型交換器無法擔任 authenticator 的角色。
• 無法安裝 supplicant 的裝置:印表機、IP 監控攝影機、門禁控制器等設備不一定能跑認證軟體,需要另外規劃例外處理方式,例如依裝置識別放行或分流到特定網段,避免把這些設備擋在門外。
• 認證伺服器的穩定性:當認證集中在 RADIUS,這台伺服器就成為關鍵環節,通常會規劃備援,避免它故障時全公司都連不上網路。
• 導入節奏:一次全面啟用風險較高,實務上常先在部分網段或以不強制阻擋的模式試行,確認相容性與例外都處理好,再逐步擴大。

兩種常見的啟用模式:先觀察再強制

實務導入時,通常不會一開始就把不通過的裝置全部切斷,而是分階段來。第一階段常採「監看模式」,也就是驗證照跑、紀錄哪些裝置會通過、哪些會失敗,但即使失敗也暫時放行,先讓管理者看清楚網路上到底有哪些裝置、有沒有漏網的印表機或監控設備卡在認證上。等到名單與例外都盤點清楚、相容性確認無誤,再切換到「強制模式」,這時沒通過認證的裝置才會真的被擋在門外或導向受限網段。

這種先觀察、再強制的做法,能大幅降低導入初期「同仁突然連不上網路」的衝擊,也讓資訊人員有時間逐一處理那些無法安裝認證軟體的特殊設備。對規模較大、裝置種類雜的辦公環境,分階段幾乎是必要的步驟。

整體而言,802.1X 搭配 RADIUS 是把「身分」變成網路存取前提的做法,對有內網資安需求、裝置與人員較多的企業特別有價值。實際要用哪種驗證方式、設備如何搭配,會因現場環境與既有系統而不同,建議先盤點目前的交換器、無線設備與帳號管理方式再規劃。