802.1X и NAC — пускать в сеть только проверенных

802.1X — это аутентификация порта коммутатора (или точки доступа Wi-Fi): пока устройство не докажет личность, порт открыт только для EAP-трафика к RADIUS-серверу (в нашей схеме — FAC). После успеха порт открывается, и можно динамически назначить VLAN по группе AD.

Связанные темы курса

• AD CS — сертификаты для EAP-TLS выпускаются оттуда; неверный шаблон = и ESC1, и сломанный 802.1X.
• LLMNR/NBT-NS poisoning — 802.1X сокращает круг тех, кто вообще попадает в тот же L2-сегмент.
• Tiering — динамический VLAN по группе AD и есть физическая граница уровней.

Выбор EAP-метода

• PEAP-MSCHAPv2 — клиент аутентифицируется доменными логином/паролем внутри TLS-туннеля. Просто и работает везде, но…
• EAP-TLS — клиент предъявляет сертификат устройства, выпущенный AD CS. Никаких паролей в эфире.

Здесь прямая связь с уроками про AD CS: для EAP-TLS заводится шаблон сертификата рабочей станции с автовыдачей (autoenrollment) через GPO — доменная машина сразу готова к 802.1X.

Роль Fortinet: FAC — RADIUS-сервер, который проверяет сертификат или учётку и возвращает атрибут VLAN (Tunnel-Private-Group-ID); FortiGate управляет FortiSwitch и централизованно настраивает 802.1X на портах.

Практика в лаборатории

• В AD CS создайте шаблон «Workstation-Auth» на основе Workstation Authentication с автовыдачей и Client Authentication, включите в GPO: Computer Configuration → Policies → Windows Settings → Security Settings → Public Key Policies → Autoenrollment.
• На FAC: Authentication → RADIUS Service → Policy → New. Клиент — коммутатор или точка доступа; метод — EAP-TLS (или PEAP при необходимости); субъект — группа AD CN=Workstations; в ответе — Tunnel-Type=VLAN, Tunnel-Medium-Type=802, Tunnel-Private-Group-ID=<VLAN ID>.

config switch-controller 802-1X-settings
    set link-down-flush enable
end

config switch-controller managed-switch
    edit <FortiSwitch-ID>
        config ports
            edit "port5"
                set 802-1X enable
                set security-mode 802.1X
            next
        end
    next
end

На клиенте: проверьте наличие сертификата машины (certlm.msc) и настройте проводной 802.1X через GPO — Computer Configuration → Policies → Windows Settings → Security Settings → Wired Network, с включённой проверкой сертификата сервера и доверенным корнем вашей CA. Проверка: порт без аутентификации мёртв (кроме EAP), после успеха — нужный VLAN.

Риски и детектирование

• Rogue AP + PEAP = кража доменных учёток. Детект: массовые неудачные 802.1X с одного места, жалобы на подозрительный Wi-Fi, новые сертификаты RADIUS в сети. Профилактика — EAP-TLS.
• Guest VLAN как лазейка: если после неудачи клиент попадает в guest VLAN с интернетом, атакующий просто ждёт таймаута. Guest VLAN должен быть по-настоящему изолирован.
• MAB (MAC Authentication Bypass) для принтеров — это обход: MAC легко подделать. Принтеры — в отдельный VLAN с ACL, MAB применять точечно.
• FAC логирует каждую попытку 802.1X; правило «более N неудач на порт за минуту → заблокировать порт» — готовый детект грубого перебора.

Митигация

• По возможности только EAP-TLS; сертификаты машин, не пользователей.
• Жёсткая валидация сертификата RADIUS-сервера на клиентах — через GPO, не вручную.
• Guest VLAN изолирован, без маршрутов к серверам.
• Мониторинг журналов FAC: неудачные аутентификации по портам.