宁盾科技+河东电子 | 宁盾无线网络认证助力河东电子BYOD入网安全认证 – 作者:宁盾nington

广州市河东电子有限公司（HDL），是一家总部位于广州的国际化科技公司，致力于智能家居技术、智能建筑技术、专业影视舞台灯光等领域，为客户提供从设计、咨询、产品到工程实施的全方位解决方案。HDL于1985年成立，以专业影视舞台灯光闻名中国市场。2004年开始独立研发生产智能家居和智能建筑系统产品，并且成功开拓国际市场，在全球100多个国家建立起由核心代理商、经销商及工程商组成的销售服务网络，在中国和海外已完成多个智能工程项目。

随着移动互联网的发展，BYOD（Bring Your Own Device）办公趋势到来。智能手机、平台电脑……越来越多的移动办公终端需要接入无线网络，如何构建一个安全可靠无线网络环境成为了无线网络建设的头等大事。

广州市河东电子有限公司遇到的正是这样的挑战，越来越多的BYOD设备使用WPA2认证可以直接入网，但是企业却无法对BYOD设备进行有效管理，企业网络安全受到威胁。因此，广州市河东电子有限公司希望在当前网络构架上对网络内接入的终端设备做准入认证，记录下用户上网信息，方便后续对用户信息做实名审查及问题追溯。

用户需求：

1、员工接入网络时需使用802·1X认证，认证完成后才能接入网络；

2、终端接入网络后，记录其MAC地址用于二次免认证；

3、上网用户实名审计，联动上网行为审计实现实名认证+实名审计。

解决方案：

宁盾认证服务器与交换机对接，同步企业AD账号源校验用户接入企业网络的有效性。由于802.1x认证中需使用PEAP-MSCHAPv2认证协议，与常规Radius认证的PAP协议不兼容，为简化用户配置流程，可采用默认的MS CHAP v2认证协议（微软VPN拨号默认使用MS CHAP v2）。而MS CHAP v2协议传输的鉴权信息为哈希值，不能解密出明文密码，这种情况下可使用NPS做为MS CHAP v2认证协议代理，代替LDAP认证协议。拓扑图如下：

图|802.1X认证拓扑图

802.1x认证效果：

图：802.1x认证效果

方案价值：

1、一人一码，提升网络接入安全。对比WPA2认证，802.1x认证实现了每个人使用独立的账号密码进行认证，认证过程中只有确保账号密码安全的情况下方才允许其接入；

2、无客户端认证，节省运维成本。由于Windows10 、MACOS系统均已兼容1x认证协议，因此零客户端认证成为企业的友好选择。

来源：freebuf.com 2020-12-04 10:39:52 by: 宁盾nington