ຄວາມປອດໄພ Wi-Fi: WPA3, 802.1X ແລະ ການແຍກແຂກໃຫ້ແຍກແທ້

ສັນຍານ Wi-Fi ບໍ່ຢຸດຢູ່ທີ່ຝາຫ້ອງການ. ຄົນທີ່ນັ່ງໃນລົດຢູ່ບ່ອນຈອດ ຫຼື ຢູ່ຫ້ອງການຊັ້ນລຸ່ມ ສາມາດເຫັນ SSID ຂອງທ່ານ ແລະ ພະຍາຍາມເຊື່ອມຕໍ່ໄດ້. ສາມບັນຫາທີ່ພວກເຮົາພົບເລື້ອຍທີ່ສຸດເມື່ອເຂົ້າໄປກວດ:

• ລະຫັດ Wi-Fi ດຽວທີ່ໃຊ້ມາຫຼາຍປີ, ພະນັກງານທີ່ລາອອກແລ້ວກໍຍັງຮູ້.
• SSID "Guest" ທີ່ມີຊື່ຕ່າງກັນ ແຕ່ຢູ່ Subnet ດຽວກັບ Server.
• ອຸປະກອນເກົ່າທີ່ເຮັດໃຫ້ AP ທັງໝົດຖືກຕັ້ງໄວ້ WPA/TKIP ເພື່ອໃຫ້ເຄື່ອງດຽວເຊື່ອມໄດ້.

ໂໝດຄວາມປອດໄພ

WPA3-Personal ໃຊ້ SAE ແທນ Handshake ແບບ PSK ຂອງ WPA2. ຜົນທີ່ສຳຄັນ: ຜູ້ທີ່ບັນທຶກ Handshake ໄດ້ ບໍ່ສາມາດເອົາໄປເດົາລະຫັດແບບ Offline ໄດ້ອີກ, ແລະ ມີ Forward Secrecy (ຮູ້ລະຫັດພາຍຫຼັງ ກໍຖອດ Traffic ທີ່ບັນທຶກໄວ້ກ່ອນໜ້າບໍ່ໄດ້). WPA3 ບັງຄັບ Protected Management Frames (802.11w) ເຊິ່ງກັນການໂຈມຕີ Deauthentication ທີ່ເຕະຜູ້ໃຊ້ອອກຈາກ Wi-Fi.

ຄື້ນ 6 GHz (Wi-Fi 6E ແລະ Wi-Fi 7) ອະນຸຍາດແຕ່ WPA3 ແລະ OWE ເທົ່ານັ້ນ. ຖ້າ SSID ຂອງທ່ານຍັງເປັນ WPA2 ມັນຈະບໍ່ອອກອາກາດໃນ 6 GHz ເລີຍ.

Wi-Fi 7 ໄປໄກກວ່ານັ້ນ. Multi-Link Operation (MLO) ທີ່ອຸປະກອນໜຶ່ງໃຊ້ສອງ ຫຼື ສາມຄື້ນພ້ອມກັນ ຕ້ອງເປັນ WPA3 ໃນທຸກລິ້ງຂອງການເຊື່ອມຕໍ່, ແລະ Wi-Fi 7 ເພີ່ມທາງເລືອກທີ່ແຂງແຮງກວ່າເກົ່າ ເຊັ່ນ ການເຂົ້າລະຫັດ GCMP-256. ສະນັ້ນ SSID ແບບ WPA2 ຫຼື WPA2/WPA3 Transition ຈະໃຫ້ປະໂຫຍດເຕັມທີ່ກັບ Laptop ແລະ ມືຖື Wi-Fi 7 ບໍ່ໄດ້. ລະຫວ່າງຍ້າຍລະບົບ, ຫຼາຍສະຖານທີ່ຈຶ່ງເປີດ SSID ແບບ WPA3 ຢ່າງດຽວແຍກໄວ້ສຳລັບອຸປະກອນໃໝ່.

802.1X (Enterprise): ແຕ່ລະຄົນ Login ດ້ວຍບັນຊີຂອງຕົນ ຫຼື Certificate ຂອງເຄື່ອງ ຜ່ານ RADIUS ທີ່ເຊື່ອມກັບ Active Directory ຫຼື Entra ID. ເມື່ອພະນັກງານລາອອກ ປິດບັນຊີເທື່ອດຽວ ບໍ່ຕ້ອງປ່ຽນລະຫັດ Wi-Fi ໃຫ້ທຸກຄົນ. ເລືອກ EAP-TLS (Certificate) ສຳລັບເຄື່ອງທີ່ອົງກອນຈັດການ. ຖ້າໃຊ້ PEAP (ລະຫັດຜ່ານ) ໃຫ້ຕັ້ງຄ່າເຄື່ອງໃຫ້ກວດ Certificate ຂອງ RADIUS Server ສະເໝີ; ຖ້າບໍ່ກວດ AP ປອມສາມາດເກັບລະຫັດຜູ້ໃຊ້ໄດ້.

OWE (Enhanced Open): ເຊື່ອມຕໍ່ໂດຍບໍ່ມີລະຫັດຄືກັບ Open Wi-Fi ແຕ່ແຕ່ລະຄົນມີການເຂົ້າລະຫັດຂອງຕົນ, ຄົນຂ້າງໆດັກຟັງບໍ່ໄດ້. OWE ບໍ່ໄດ້ພິສູດວ່າ AP ແມ່ນຂອງແທ້ ຈຶ່ງບໍ່ປ້ອງກັນ Evil Twin. ໂທລະສັບ ແລະ Laptop ບາງລຸ້ນຍັງບໍ່ຮອງຮັບ OWE; ໃຊ້ OWE Transition Mode ທີ່ AP ສ່ວນຫຼາຍມີ ເພື່ອໃຫ້ເຄື່ອງເກົ່າເຊື່ອມແບບ Open ໄດ້ຢູ່.

ອີກເຫດຜົນໜຶ່ງທີ່ຄວນເຊົາໃຊ້ PEAP-MSCHAPv2: ຕັ້ງແຕ່ Windows 11 ເວີຊັນ 22H2 ເປັນຕົ້ນມາ, Credential Guard ຖືກເປີດເປັນຄ່າເລີ່ມຕົ້ນໃນ PC ທຸລະກິດຈຳນວນຫຼາຍ, ແລະ ມັນບລັອກການເຂົ້າໃຊ້ອັດຕະໂນມັດທີ່ Wi-Fi ແບບ MSCHAPv2 ອາໄສຢູ່. ຜູ້ໃຊ້ຈະຖືກຖາມລະຫັດຜ່ານຊ້ຳໆ ຫຼື ເຊື່ອມຕໍ່ຈາກໜ້າຈໍເຂົ້າໃຊ້ບໍ່ໄດ້. ທາງທີ່ Microsoft ແນະນຳແມ່ນ EAP-TLS ແບບໃຊ້ໃບຢັ້ງຢືນ. ສ່ວນ RADIUS, ທາງເລືອກທີ່ໃຊ້ທົ່ວໄປແມ່ນ Windows NPS, ບໍລິການ Cloud RADIUS ທີ່ແພລດຟອມ Wi-Fi ບາງເຈົ້າມີໃຫ້, ຫຼື FreeRADIUS. ໃບຢັ້ງຢືນຈະແຈກຢາຍໄດ້ງ່າຍທີ່ສຸດຜ່ານເຄື່ອງມືຈັດການອຸປະກອນ ເຊັ່ນ Intune.

SSID ແລະ VLAN

ທຸກ SSID ເພີ່ມ Beacon ທີ່ກິນ Airtime ຂອງທຸກຄົນ. ສາມ ຫຼື ສີ່ SSID ພໍສຳລັບເກືອບທຸກອົງກອນ:

ຢ່າເອົາກ້ອງ CCTV, ເຄື່ອງ Scan ນິ້ວມື ແລະ Smart TV ໄວ້ SSID ດຽວກັບ Laptop. ອຸປະກອນເຫຼົ່ານີ້ອັບເດດຍາກ ແລະ ມັກເປັນຈຸດທີ່ຜູ້ໂຈມຕີໃຊ້ຕັ້ງຫຼັກ.

ການແຍກແຂກທີ່ແຍກແທ້

• VLAN ແຂກແຍກຕ່າງຫາກ, ແລະ Firewall ບລັອກທຸກ Subnet ພາຍໃນ (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) ລວມທັງ Gateway ແລະ ໜ້າ Admin ຂອງ AP/Controller
• Client Isolation ເປີດ, ແຂກເຫັນກັນເອງບໍ່ໄດ້
• ຈຳກັດ Bandwidth ຕໍ່ຄົນ ເພື່ອບໍ່ໃຫ້ຄົນດຽວດາວໂຫຼດຈົນສາຍອິນເຕີເນັດຂອງຫ້ອງການເຕັມ
• DNS Filtering ບລັອກ Domain ອັນຕະລາຍ
• ກວດດ້ວຍຕົວເອງ: ເຊື່ອມ Wi-Fi ແຂກແລ້ວລອງ Ping ແລະ ເປີດໜ້າ Admin ຂອງ Router, NVR ແລະ Server. ຖ້າອັນໃດຕອບ ການແຍກບໍ່ສຳເລັດ
• ເກັບ Log ການເຊື່ອມຕໍ່ (MAC, ເວລາ, IP ທີ່ໄດ້ຮັບ) ໄວ້ໄລຍະໜຶ່ງ ເພື່ອສືບຍ້ອນຫຼັງໄດ້ເມື່ອມີບັນຫາ

ຕົວຢ່າງ: ຕັ້ງເພດານຄວາມໄວຂອງແຂກ

ລັອບບີໂຮງແຮມ ແລະ ຮ້ານອາຫານໃຊ້ສາຍ 200 Mbps ຮ່ວມກັນ. ຄືນທີ່ຄົນຫຼາຍ ມີອຸປະກອນແຂກເຊື່ອມຕໍ່ 80 ເຄື່ອງ, ແຕ່ທີ່ດຶງຂໍ້ມູນພ້ອມກັນແທ້ ມັກບໍ່ເກີນໜຶ່ງສ່ວນສີ່. ຕັ້ງເພດານຕໍ່ອຸປະກອນປະມານ 5 Mbps ຂາລົງ ແລະ 2 Mbps ຂາຂຶ້ນ: ພໍສຳລັບວິດີໂອຄອນ ແລະ ເບິ່ງວິດີໂອ HD, ໃນຂະນະທີ່ 20 ເຄື່ອງທີ່ໃຊ້ເຕັມທີ່ ກໍຍັງກິນພຽງ 100 Mbps. ຈາກນັ້ນກັນ Bandwidth ໄວ້ໃຫ້ POS, ລະບົບຈອງຫ້ອງ ແລະ ພະນັກງານ ດ້ວຍ Traffic Shaping ໃນ Firewall, ເພື່ອບໍ່ໃຫ້ເຄືອຂ່າຍແຂກທີ່ແໜ້ນ ເຮັດໃຫ້ຮູດບັດບໍ່ຜ່ານ. ຫຼັງເດືອນທຳອິດ ໃຫ້ເບິ່ງຕົວເລກແທ້ໃນ Controller ແລ້ວປັບ. ເຄື່ອງມືຄິດໄລ່ Bandwidth ຂອງພວກເຮົາ ຊ່ວຍປະເມີນເທື່ອທຳອິດໄດ້.

ການປ້ອງກັນອື່ນ

• WIDS/WIPS ໃນ Controller: ແຈ້ງເຕືອນເມື່ອມີ AP ທີ່ໃຊ້ຊື່ SSID ຂອງທ່ານ (Evil Twin) ຫຼື AP ທີ່ພະນັກງານເອົາມາສຽບເອງ.
• ປິດ WPS ທຸກເຄື່ອງ.
• ອັບເດດ Firmware ຂອງ AP ແລະ Controller ຢ່າງໜ້ອຍທຸກໄຕມາດ.
• ໜ້າ Admin ເຂົ້າໄດ້ແຕ່ຈາກ VLAN Management.

ຄວາມຜິດພາດທີ່ພວກເຮົາຍັງພົບຢູ່ເລື້ອຍໆ

• ຄິດວ່າການເຊື່ອງ SSID ຫຼື ການກັ່ນຕອງ MAC ແມ່ນຄວາມປອດໄພ. ທັງສອງຢ່າງ ໃຜທີ່ມີເຄື່ອງມືດັກຈັບຟຣີກໍເຫັນໄດ້ໃນບໍ່ເທົ່າໃດວິນາທີ.
• ລະຫັດ Wi-Fi ພະນັກງານພິມຢູ່ເທິງເມນູອາຫານ ເພາະ "ແຂກຖາມເລື້ອຍ".
• Traffic ແຂກຖືກ Bridge ຢູ່ AP ລົງ Native VLAN, ພໍປ່ຽນ AP ໂຕໃໝ່ SSID ແຂກກໍໄປຢູ່ Subnet ຂອງຫ້ອງການ.
• ໃຊ້ລະຫັດດຽວກັນທຸກສາຂາມາຫຼາຍປີ, ຮົ່ວເທື່ອດຽວເປີດໄດ້ທຸກສະຖານທີ່.
• ໜ້າ Captive Portal ທີ່ສົ່ງຜ່ານ HTTP ທຳມະດາ ແຕ່ເກັບເບີໂທ ຫຼື ເລກຫ້ອງ.

ຍ້າຍໄປ WPA3 ໂດຍບໍ່ໃຫ້ເຄື່ອງຫຼຸດ

1. ສຳຫຼວດອຸປະກອນ. Laptop ແລະ ໂທລະສັບຫຼາຍປີມານີ້ສ່ວນຫຼາຍຮອງຮັບ WPA3. ເຄື່ອງພິມ, ເຄື່ອງ Scan ບາໂຄດ, ເຄື່ອງຮັບບັດ ແລະ IoT ລຸ້ນເກົ່າມັກບໍ່ຮອງຮັບ.
2. ເປີດ WPA3 Transition Mode ໃນ SSID ພະນັກງານຊົ່ວຄາວ ແລະ ເບິ່ງໃນ Controller ວ່າເຄື່ອງໃດຍັງເຊື່ອມດ້ວຍ WPA2.
3. ຍ້າຍເຄື່ອງເກົ່າ ໄປ SSID Devices ທີ່ແຍກ VLAN ແລະ ຈຳກັດດ້ວຍ Firewall.
4. ປ່ຽນ SSID ພະນັກງານເປັນ WPA3 ລ້ວນ ເມື່ອບໍ່ມີເຄື່ອງ WPA2 ເຫຼືອ. Transition Mode ທີ່ເປີດຄ້າງໄວ້ຕະຫຼອດ ໝາຍເຖິງຜູ້ໂຈມຕີຍັງໂຈມຕີແບບ WPA2 ໄດ້.
5. ໃສ່ WPA3 ແລະ 802.1X ໃນເງື່ອນໄຂການຈັດຊື້ ອຸປະກອນໃໝ່ທຸກອັນ.

ສະພາບທີ່ຕ່າງກັນ

ຫ້ອງການ SME (ຕ່ຳກວ່າ 30 ຄົນ, ບໍ່ມີ Directory): WPA3-Personal ສຳລັບພະນັກງານ ປ່ຽນລະຫັດເມື່ອມີຄົນລາອອກ, SSID ແຂກແຍກ VLAN ພ້ອມ Client Isolation.

ອົງກອນກາງ-ໃຫຍ່, ທະນາຄານ, ໜ່ວຍງານລັດ: 802.1X ເຊື່ອມກັບ Directory, EAP-TLS ສຳລັບເຄື່ອງຂອງອົງກອນ.

ໂຮງແຮມ ແລະ ຮ້ານອາຫານ: Captive Portal ພ້ອມລະຫັດຕໍ່ຫ້ອງ ຫຼື ຕໍ່ມື້, OWE ໃນ Transition Mode, ແລະ ລະບົບ POS ແຍກ VLAN ຂອງຕົນເອງ ບໍ່ແມ່ນໃຊ້ SSID ພະນັກງານ.

ບໍ່ແຮ່ ແລະ ໂຮງງານ: SSID ສະເພາະສຳລັບອຸປະກອນອຸດສາຫະກຳ ແລະ Tablet ໜ້າງານ, ຈຳກັດດ້ວຍ Firewall. AP ທີ່ຕິດຕັ້ງນອກອາຄານ ຫຼື ເທິງຫຼັງຄາ ຕ້ອງເປັນລຸ້ນ Outdoor ທີ່ກັນນ້ຳ ແລະ ມີ Surge Protection ໃນສາຍ PoE ເພາະລະດູຝົນ ແລະ ຟ້າຜ່າໃນລາວ ເຮັດໃຫ້ AP ແລະ Port Switch ເສຍເລື້ອຍ.

ສິ່ງທີ່ພວກເຮົາເຫັນຢູ່ໜ້າງານໃນລາວ

Router ໄຟເບີຂອງ ISP ມັກມາພ້ອມ Wi-Fi ຂອງມັນເອງທີ່ເປີດຢູ່, ແລະ ຫຼາຍເທື່ອຍັງໃຊ້ລະຫັດທີ່ພິມຢູ່ເທິງປ້າຍ. ຖ້າ AP ຂອງທ່ານເປັນໂຕປ່ອຍ Wi-Fi ຫ້ອງການຢູ່ແລ້ວ, ໃຫ້ປິດຄື້ນຂອງ Router ISP, ບໍ່ດັ່ງນັ້ນປ້າຍນັ້ນຈະກາຍເປັນປະຕູຫຼັງທີ່ຂ້າມທຸກຢ່າງຂ້າງເທິງ. ໃນອາຄານຫ້ອງການທີ່ໃຊ້ຮ່ວມກັນ, ໃຫ້ກວດກ່ອນວ່າ SSID ໃດເປັນຂອງທ່ານແທ້ ກ່ອນປ່ຽນຫຍັງ; ເຄືອຂ່າຍຂອງເພື່ອນບ້ານທີ່ຊື່ຄ້າຍກັນພົບໄດ້ເລື້ອຍ. ແຄັມບໍ່ແຮ່ ແລະ ຫໍພັກຄົນງານ ຕ້ອງການການແຍກຜູ້ໃຊ້ ແລະ ລະຫັດແຕ່ລະຄົນ ຫຼາຍກວ່າໂຮງແຮມອີກ, ເພາະມືຖືສ່ວນຕົວຫຼາຍຮ້ອຍເຄື່ອງໃຊ້ເຄືອຂ່າຍດຽວກັນເປັນເດືອນໆ. ແລະ ເມື່ອໄຟຕົກຕອນ 17:30, AP ຈະ Reboot ຖ້າ Switch PoE ບໍ່ໄດ້ຕໍ່ UPS, ເຊິ່ງຜູ້ໃຊ້ຈະເຫັນເປັນ "Wi-Fi ບໍ່ດີ".

ລອງທົດສອບ Wi-Fi ແຂກດ້ວຍຕົວເອງກ່ອນ

ເອົາໂທລະສັບເຊື່ອມ Wi-Fi ແຂກ ແລ້ວພິມ IP ຂອງ Router ຫຼື NVR ໃນ Browser. ຖ້າໜ້າ Login ຂຶ້ນມາ ສົ່ງຮູບໜ້າຈໍນັ້ນ ແລະ ລຸ້ນ AP/Controller ທີ່ໃຊ້ມາໃຫ້ພວກເຮົາ. ພວກເຮົາຈະບອກວ່າຕ້ອງແກ້ການຕັ້ງຄ່າໃດ ແລະ ອອກແບບ SSID/VLAN ທີ່ເໝາະກັບອຸປະກອນທີ່ທ່ານມີຢູ່.