Перевод офисной сети с единого «общего пароля Wi-Fi» на корпоративный стандарт IEEE 802.1X (WPA3-Enterprise + EAP-TLS): настройка ноутбуков Windows, Linux и macOS
Если в компании на 80 человек все ноутбуки, личные смартфоны сотрудников и ноутбуки приходящих аудиторов подключаются к одной Wi-Fi сети по единому общему паролю PSK («Спроси у секретаря на ресепшене пароль от Wi-Fi»), у вашей компании физически НЕТ сетевого периметра безопасности:
- Любой уволенный со скандалом полгода назад менеджер сидит в кофейне на первом этаже вашего бизнес-центра со своим старым телефоном (в котором сохранён ваш пароль Wi-Fi!) и сканирует внутреннюю локальную сеть с файловыми серверами бухгалтерии!
- Достаточно поменять общий пароль — и у вас в одно мгновение отваливаются
120 ноутбуков,30 ТСД на складеи15 переговорных панелей! - В сети с общим ключом
WPA2-PSKсосед по комнате может перехватывать рукопожатия4-Way Handshakeи проводитьARP-spoofing!
Переход на промышленный стандарт IEEE 802.1X (WPA2 / WPA3-Enterprise) решает все эти проблемы навсегда — причём с бесплатным открытым сервером FreeRADIUS, который поднимается на виртуальной машине Linux за один рабочий день!
Почему в 2026 году нужно выбирать аутентификацию по машинному/пользовательскому сертификату EAP-TLS, а НЕ устаревший PEAP-MSCHAPv2!
Метод 802.1X |
Как аутентифицируется ноутбук | Скрытая уязвимость / преимущество |
|---|---|---|
Устаревший PEAP-MSCHAPv2 (по доменному логину и паролю) |
Ноутбук строит внешний TLS-туннель и шлёт внутри хэш пароля Active Directory | УЯЗВИМ К АТАКЕ «ЗЛОЙ ДВОЙНИК (Evil Twin Rogue AP)», если пользователь на не настроенном жёстко ноутбуке нажмёт «Доверять неизвестному сертификату»! Злоумышленник в соседнем офисе поднимает фейковую точку с таким же именем SSID, ловит MSCHAPv2 Challenge-Response и за час подбирает доменный пароль сотрудника на видеокарте (ПЛЮС в Linux-доменах FreeIPA / ALD Pro на базе Kerberos устаревшие хэши NT-Hash вообще не нужны!) |
Эталонный золотой стандарт — EAP-TLS (взаимная криптографическая аутентификация по сертификатам!) |
Корпоративный ноутбук предъявляет FreeRADIUS свой уникальный клиентский сертификат X.509 (автоматически выписанный корпоративным УЦ ALD Pro / MS CA), И одновременно жёстко проверяет подлинность сертификата самого RADIUS-сервера! |
100 % НЕУЯЗВИМ К EVIL TWIN И СМЕНАМ ПАРОЛЕЙ! Ноутбук автоматически подключается к Wi-Fi ЕЩЁ ДО ВХОДА ПОЛЬЗОВАТЕЛЯ В СИСТЕМУ (Machine Authentication) -> сразу применяет групповые политики домена, а личный смартфон сотрудника без корпоративного сертификата физически не может подключиться к корпоративному SSID, даже зная логин и пароль владельца! |
Красота единого SSID с динамическим назначением VLAN по атрибутам RADIUS (Tunnel-Private-Group-ID)!
Не создавайте в радиоэфире 7 разных Wi-Fi сетей (каждый лишний SSID на точке доступа съедает до 10–15 % чистого эфирного времени на рассылку служебных кадров Beacon каждые 102,4 мс!):
- в эфире светятся ВСЕГО ДВА
SSID:Corp-Enterprise(WPA2/WPA3-Enterprise 802.1X): когда подключается ноутбук бухгалтера,FreeRADIUSсмотрит его группу в домене ALD Pro / AD и отдаёт точке доступа команду: поместить этот ноутбук строго в изолированныйVLAN 20 (Finance)! Подключается ноутбук разработчика ->FreeRADIUSсажает его вVLAN 40 (Dev)! Уволили сотрудника в 16:00 -> отозвали сертификат -> в 16:00:05 точка доступа по пакетуRADIUS CoA Disconnectмгновенно выкидывает его ноутбук из эфира!Corp-Guest(полностью изолированныйVLAN 99с обязательной законной SMS/Госуслуги-идентификацией пользователей публичного Wi-Fi по Постановлению Правительства РФ № 758!) — для личных телефонов сотрудников и ноутбуков гостей без малейшего маршрута во внутреннюю сеть и VLAN корпоративных принтеров!
Бесшовный роуминг по коридорам без обрыва звонка ВКС в Контур.Толке / IVA: 802.11r / k / v!
Без протокола быстрого роуминга при переходе руководителя с открытым ноутбуком из кабинета в переговорную полное повторное рукопожатие EAP-TLS с сервером RADIUS занимает 450–800 мс — на 2 секунды пропадает голос!
- Включите на Wi-Fi контроллере триаду стандартов IEEE
802.11k(список соседних точек) +802.11v(подсказка перейти на более сильную точку ДО падения сигнала ниже-72 dBm) +802.11r Fast BSS Transition(кэширование ключей между точками доступа)! - Переключение ноутбука между точками доступа на ходу сокращается с
800 мсдо< 15 миллисекунд— ни один голосовой пакет WebRTC не теряется!
Важная деталь настройки NetworkManager на ноутбуках Astra Linux / РЕД ОС!
Никогда не оставляйте в профиле NetworkManager для 802.1X галочку «Сертификат ЦС не требуется (No CA certificate is required)»! Обязательно прописывайте в корпоративном профиле строго два параметра:
- Путь к внутреннему корневому сертификату организации
/etc/ssl/certs/corp-root-ca.pem; - Точное доменное имя сервера аутентификации в поле
Domain / Subject Match:radius.corp.local— теперь ноутбук физически откажется разговаривать с любой поддельной точкой доступа в аэропорту или кафе!
Чек-лист радиопланирования офиса на 5 ГГц / 6 ГГц
- [ ] На корпоративном
SSIDполностью отключён перегруженный микроволновками и Bluetooth старый диапазон2,4 ГГц(или оставлен только для старых сканеров) — все ноутбуки работают на чистых непересекающихся каналах5 ГГцна уменьшенной мощности передатчиков (11–14 dBm), чтобы соседние кабинеты через гипсокартон не глушили друг друга!
Частые вопросы
Что делать, если главный контроллер FreeRADIUS в серверной перезагружается на обновление — весь офис останется без Wi-Fi?
Ни в коем случае: на каждой корпоративной точке доступа настраиваются минимум ДВА независимых IP-адреса серверов Primary RADIUS (в стойке А) и Secondary RADIUS (в стойке Б / облаке)! Выключение первого сервера на обслуживание вообще не замечается ни одним ноутбуком в офисе!