Аутентифицировать саму точку доступа (802.1X)

Аутентифицировать саму точку доступа (802.1X), UniFi Network

sambom

Guest

22.11.2018 11:42:00

В ситуации, когда мы не можем гарантировать физическую безопасность AP и кабеля, есть ли способ, чтобы сам AP аутентифицировался на RADIUS-сервере по 802.1X или аналогичной технологии? Например, мы не хотим, чтобы кто-либо просто вытащил сетевой кабель из AP и подключил его к другому устройству. MAC-lock — это вариант, но он не является надёжным решением, так как его легко подделать. Спасибо! //Sam

LetsTryThis Guest	#2 18.08.2019 10:28:00 У меня та же ситуация, я тоже думаю, как хотя бы как-то обеспечить безопасность. К тому же, с тех пор как запустили новый сайт сообщества, ссылки на запросы функций выше, кажется, не работают.

scream88

Guest

01.07.2021 17:57:00

@camelCase Ещё если бы поддерживался IPSEC. Тогда нужна была бы какая-то беспроводная контроллер, который завершает все туннели и пересылает трафик (как Cisco WLC). Это создаст много дополнительного трафика на контроллере и не будет удобно для всех. Не поймите меня неправильно, мне нравится эта идея. Но тогда должна быть возможность включать это только для тех AP, которым это реально нужно, а не для всех вообще. Ещё один вариант — просто поддерживать 802.1X? Насколько я знаю, AP может аутентифицироваться, например, с помощью сертификата. Если что-то подключается без сертификата, устройство попадает в определённый «default VLAN».

camelCase Guest	#4 01.07.2021 09:33:00 ipSec PSK... Аутентичность + конфиденциальность

sambom Guest	#5 24.06.2021 09:18:00 @UI-Team Есть ли способ гарантировать, что к порту коммутатора подключен ТОЛЬКО UniFi AP? Или как можно обеспечить хорошую безопасность в такой ситуации, если физическую безопасность поддерживать невозможно?

sdmolenaar

Guest

10.11.2020 23:25:00

Пожалуйста, UBNT, не могли бы вы дать обновление по этому вопросу? Я очень надеюсь на решение, так как к одному из вторичных портов AP AC pro подключились нежелательные гости и получили прямой доступ к управляемой VLAN без тегирования...

LetsTryThis Guest	#7 25.05.2020 10:25:00 Ну, раньше точно была такая просьба о функции, до того как Ubiquity перестроил форум. Я тогда за неё голосовал. Только вот не уверен, где теперь этот запрос.

cyber035 Guest	#8 25.05.2020 09:40:00 Есть запрос на эту функцию? Это ОБЯЗАТЕЛЬНАЯ ФУНКЦИЯ!!! Если её скоро не добавят, мы перестанем пользоваться UBNT.

mtrmhs

Guest

21.05.2020 15:44:00

Не могу поверить, насколько непрофессиональным оказывается оборудование Unifi. Потратил целый день, пытаясь настроить проводную аутентификацию RADIUS на Unifi-Switch, чтобы она работала с портом Unifi-AP-Cable. В итоге нашёл вот этот пост, где написано, что сам Unifi AP не может аутентифицироваться через RADIUS 802.1X. К тому же Unifi не предлагает никакого другого разумного способа защитить проводной трафик между коммутатором и точкой доступа. Похоже, они просто хотят продавать своё Mesh-оборудование на любой случай, чтобы совсем отказаться от проводов.

scream88 Guest	#10 21.04.2020 21:07:00 Я тоже это ищу. Есть ли новости по поводу такой функции или хотя бы хорошие способы временного решения?

jsayer2221

Guest

#11

18.02.2020 16:19:00

Ищу подобную функцию на продуктах Edgeswitch для проводного 802.1x на портах с подключёнными точками доступа. Коммутаторы Cisco поддерживают режим 802.1x host-mode multi-user, который по сути подтверждает только первое устройство, подключившееся к порту, после чего все остальные MAC-адреса могут передавать трафик без повторной аутентификации. Это отлично работает для точек доступа: точка доступа аутентифицируется по своему MAC-адресу, а пользователям Wi-Fi достаточно пройти аутентификацию только в беспроводной сети. Ubiquiti Edgeswitch же аутентифицирует каждый отдельный MAC-адрес, который появляется на порту, из-за чего пользователям Wi-Fi приходится проходить аутентификацию и в беспроводной сети, и заново на проводном порту. Для внутренних пользователей это лишний второй этап аутентификации, а особенно неудобно для гостевых Wi-Fi пользователей.

victorhooi Guest	#12 02.04.2019 13:11:00 Есть ли сейчас какие-то обходные пути для этого? Или какой-то способ на логическом уровне предотвратить, чтобы кто-то просто не отключил Unifi AP и не подключил своё устройство? Полагаю, что MAC-безопасность на самом коммутаторе не сработает — ведь тогда будут заблокированы все Wi-Fi клиенты, которые тоже идут через этот порт. https://community.ui.com/feature-requests/c165d5b2-0610-4ff5-8853-459f4ac68313 кажется запросом на добавление такой функции, но, похоже, он никуда не продвинулся — поэтому я и думал про какие-то временные решения.

Читают тему (гостей: 1)