ເຊື່ອມຕໍ່ WPA2/WPA3-Enterprise (802.1X)

ກ່ອນເລີ່ມ

• ສະຖານທີ່ໃຊ້ແພັກເກັດ Wi-Fi ອົງກອນ ແລະ ມີ ຜູ້ໃຊ້ອົງກອນ ຢ່າງໜ້ອຍໜຶ່ງລາຍຊື່ (ສ້າງຜູ້ໃຊ້ເອງ ນຳເຂົ້າ CSV ຫຼື ເຊື່ອມ Microsoft 365 / Google Workspace)
• Access Point ທີ່ຮອງຮັບ WPA2-Enterprise ຫຼື WPA3-Enterprise ແລະ ຕັ້ງ RADIUS server ໄດ້ ເຊັ່ນ UniFi, Omada, Aruba, Ruckus, Cisco, MikroTik
• ເລືອກວ່າ Access Point ຈະສົ່ງ RADIUS ໄປໃສ: ເຄື່ອງ Hotspot ທີ່ສະຖານທີ່ (ພະນັກງານຕໍ່ໄດ້ເຖິງວ່າເນັດຫຼຸດ) ຫຼື RADIUS ຂອງສະຖານທີ່ເທິງ Cloud (ບໍ່ຕ້ອງມີເຄື່ອງ Hotspot)

ໃຊ້ ແບບຊື້ຂາດ? ຕັ້ງ 802.1X ທີ່ໜ້າຜູ້ດູແລຂອງເຄື່ອງ ເມນູ 802.1X ແທນ (ເບິ່ງຫົວຂໍ້ດ້ານລຸ່ມ) ບໍ່ຕ້ອງໃຊ້ Console

1. ຕັ້ງຄ່າລາຍຊື່ຜູ້ໃຊ້

1. ໄປທີ່ Identity ແລ້ວເປີດລາຍຊື່
2. ທີ່ ກຸ່ມ ຕັ້ງຈຳນວນອຸປະກອນຕໍ່ຄົນ ແລະ ຄວາມໄວ ຖ້າຕ້ອງການແຍກພະນັກງານແຕ່ລະກຸ່ມໄປຄົນລະວົງ ໃສ່ VLAN (802.1X) ຂອງກຸ່ມນັ້ນ
3. ທີ່ສ່ວນ Wi-Fi ອົງກອນ (WPA2/WPA3-Enterprise) ໃສ່ ຊື່ Wi-Fi ຂອງອົງກອນ (SSID) ໃຫ້ກົງກັບຊື່ທີ່ຈະຕັ້ງໃນ Access Point ສ່ວນ ຊື່ເຊີເວີ (EAP) ໃຊ້ຄ່າທີ່ລະບົບໃຫ້ໄດ້ເລີຍ ແລ້ວກົດ ບັນທຶກ
4. ທີ່ສະຖານທີ່ທີ່ຈະໃຊ້ ກົດ ໃຊ້ທີ່ນີ້ ເພື່ອໃຫ້ຄົນໃນລາຍຊື່ນີ້ເຂົ້າໄດ້

2. ເປີດ 802.1X ທີ່ສະຖານທີ່

ເປີດສະຖານທີ່ ແທັບ ໃຜເຂົ້າໄດ້ ແລ້ວເປີດສະວິດໃນສ່ວນ Wi-Fi ອົງກອນ (802.1X) ລະບົບຈະສະແດງຄ່າທີ່ຕ້ອງໃສ່ໃນ Access Point:

• ເຄື່ອງ Hotspot: Access Point ຕ້ອງຢູ່ໃນວົງທີ່ເຄື່ອງ Hotspot ດູແລ (ຝັ່ງ LAN) ເຄື່ອງຮັບ RADIUS ຈາກວົງນັ້ນເທົ່ານັ້ນ ຕັ້ງ RADIUS accounting ນຳ ເພື່ອໃຫ້ສິດໝົດທັນທີເມື່ອເຄື່ອງອອກຈາກ Wi-Fi
• RADIUS ເທິງ Cloud: ລໍໃຫ້ຂໍ້ຄວາມຂຶ້ນວ່າ RADIUS ສະເພາະອົງກອນນີ້ເຮັດວຽກຢູ່ກ່ອນ ລະຫວ່າງທີ່ຍັງບໍ່ພ້ອມ ລະຫັດ ແລະ ບັນຊີຜູ້ໃຊ້ຍັງລັອກອິນຜ່ານໜ້າລັອກອິນໄດ້ ແຕ່ WPA2/WPA3-Enterprise ຍັງໃຊ້ບໍ່ໄດ້ Access Point ຕ້ອງອອກອິນເຕີເນັດທາງ UDP 1812 ໄດ້
• ຖ້າກົດ ສ້າງລະຫັດໃໝ່ ລະຫັດລັບເດີມໃຊ້ບໍ່ໄດ້ທັນທີ ຕ້ອງໃສ່ລະຫັດໃໝ່ໃນ Access Point ທຸກຕົວ
• VLAN ຕາມກຸ່ມຕ້ອງມີເທິງສະວິດນຳ ຖ້າໃຫ້ເຄື່ອງ Hotspot ແຈກ IP ໃນວົງນັ້ນ ຕິດຕັ້ງເຄື່ອງດ້ວຍ --vlan ໝາຍເລກດຽວກັນ

3. ຕັ້ງຄ່າເຄື່ອງພະນັກງານ

ທາງທີ່ງ່າຍທີ່ສຸດແມ່ນສົ່ງລິ້ງ ໜ້າຕັ້ງຄ່າສຳລັບພະນັກງານ (ຢູ່ໃນໜ້າລາຍຊື່ຜູ້ໃຊ້) ໃຫ້ພະນັກງານ ເຂົ້າລະບົບດ້ວຍຊື່ຜູ້ໃຊ້ ຫຼື ບັນຊີ Microsoft / Google ຂອງບໍລິສັດ ເລືອກເຄື່ອງ ແລ້ວດາວໂຫຼດໄຟລ໌ຕັ້ງຄ່າ ເຄື່ອງຈະຕໍ່ Wi-Fi ອົງກອນດ້ວຍໃບຢັ້ງຢືນ (EAP-TLS) ໄດ້ເອງ ໜ້ານີ້ໃຊ້ໄດ້ເມື່ອຕັ້ງຊື່ Wi-Fi ແລະ ເປີດ 802.1X ທີ່ສະຖານທີ່ຢ່າງໜ້ອຍໜຶ່ງແຫ່ງແລ້ວ

• iPhone, iPad, Mac: ດາວໂຫຼດໂປຣໄຟລ໌ ແລ້ວເປີດ ການຕັ້ງຄ່າ › ໂປຣໄຟລ໌ທີ່ດາວໂຫຼດແລ້ວ › ຕິດຕັ້ງ
• Android: ດາວໂຫຼດໄຟລ໌ໃບຢັ້ງຢືນ ແລະ ຈົດລະຫັດຂອງໄຟລ໌ ຕິດຕັ້ງທີ່ ການຕັ້ງຄ່າ › ຄວາມປອດໄພ › ການເຂົ້າລະຫັດ ແລະ ຂໍ້ມູນເຂົ້າລະບົບ › ຕິດຕັ້ງໃບຢັ້ງຢືນ › ໃບຢັ້ງຢືນ Wi-Fi ແລ້ວຕໍ່ Wi-Fi ດ້ວຍ EAP: TLS ແລະ ໃສ່ໂດເມນຕາມທີ່ໜ້າສະແດງ
• Windows: ດັບເບິນຄລິກໄຟລ໌ › ຜູ້ໃຊ້ປັດຈຸບັນ › ໃສ່ລະຫັດຂອງໄຟລ໌ ແລ້ວເລືອກ Wi-Fi ຂອງອົງກອນ › ເຊື່ອມດ້ວຍໃບຢັ້ງຢືນ
• ໃບຢັ້ງຢືນໃຊ້ໄດ້ 1 ປີ ເບິ່ງ ແລະ ກົດ ຍົກເລີກ ໃບຢັ້ງຢືນຂອງເຄື່ອງທີ່ເສຍ ຫຼື ພະນັກງານທີ່ລາອອກໄດ້ໃນໜ້າລາຍຊື່ຜູ້ໃຊ້ ເຄື່ອງນັ້ນຈະຕໍ່ບໍ່ໄດ້ອີກ

ຖ້າຈະໃຊ້ຊື່ຜູ້ໃຊ້ ແລະ ລະຫັດຜ່ານ (PEAP) ໃຫ້ເລືອກ Wi-Fi ຂອງອົງກອນ ແລ້ວຕັ້ງ EAP: PEAP, Phase 2: MSCHAPv2, ໃສ່ຊື່ຜູ້ໃຊ້ ແລະ ລະຫັດຜ່ານຈາກລາຍຊື່ ແລະ ໂດເມນຕາມ ຊື່ເຊີເວີ (EAP) ຖ້າໜ້າຈັດການບອກວ່າໃບຢັ້ງຢືນຂອງເຊີເວີເຊື່ອຖືໄດ້ທົ່ວໄປ Android ເລືອກ “ໃຊ້ໃບຢັ້ງຢືນຂອງລະບົບ” ສ່ວນ iPhone, Mac ແລະ Windows ກົດຢືນຢັນຄັ້ງທຳອິດຄັ້ງດຽວ ຖ້າບໍ່ແມ່ນ ໃຫ້ຕິດຕັ້ງໃບຢັ້ງຢືນ CA ຈາກໜ້າຈັດການກ່ອນ

ແບບຊື້ຂາດ: 802.1X ເທິງເຄື່ອງຂອງທ່ານ

1. ທີ່ໜ້າຜູ້ດູແລຂອງເຄື່ອງ ເມນູ 802.1X ກົດ ເປີດ 802.1X ເຄື່ອງຈະສ້າງ CA ໃບຢັ້ງຢືນເຊີເວີ ແລະ RADIUS Secret ໃຫ້ເອງ ຜູ້ໃຊ້ເທິງເຄື່ອງ ແລະ Active Directory ໃຊ້ໄດ້ທັນທີ
2. ໃສ່ ຊື່ Wi-Fi (SSID) ແລະ ກວດ ຊື່ເຊີບເວີ ແລ້ວບັນທຶກ
3. ທີ່ Access Point ຕັ້ງ SSID ເປັນ WPA2/WPA3-Enterprise ໃສ່ RADIUS server ເປັນ IP ຂອງເຄື່ອງໃນວົງທີ່ Access Point ຢູ່ ພ້ອມພອດ ແລະ Secret ຕາມທີ່ໜ້າ ຕັ້ງຄ່າທີ່ Access Point ສະແດງ
4. ຕັ້ງຄ່າເຄື່ອງພະນັກງານ: ດາວໂຫຼດ CA ຫຼື ໂປຣໄຟລ໌ iPhone/Mac (ຊື່+ລະຫັດຜ່ານ) ຈາກໜ້າດຽວກັນ ຫຼື ກົດ ອອກໃບຢັ້ງຢືນອຸປະກອນ (EAP-TLS) ແລ້ວສົ່ງໄຟລ໌ ແລະ ລະຫັດຜ່ານໄຟລ໌ໃຫ້ເຈົ້າຂອງເຄື່ອງທາງຊ່ອງທາງທີ່ປອດໄພ

• PEAP-MSCHAPv2 ໃຊ້ໄດ້ກັບຜູ້ໃຊ້ທີ່ສ້າງເທິງເຄື່ອງ ຜູ້ໃຊ້ທີ່ສ້າງກ່ອນເປີດ PEAP ຕ້ອງປ່ຽນລະຫັດຜ່ານໜຶ່ງຄັ້ງ ຜູ້ໃຊ້ Active Directory ໃຊ້ EAP-TTLS ຫຼື ໃບຢັ້ງຢືນແທນ
• ໃບຢັ້ງຢືນອຸປະກອນອາຍຸ 2 ປີ ຄົນລະບໍ່ເກີນ 5 ເຄື່ອງ (ເກີນແລ້ວໃບເກົ່າສຸດຖືກເພີກຖອນ) ເພີກຖອນໄດ້ທີ່ ໃບຢັ້ງຢືນອຸປະກອນ
• ຖ້າບໍລິສັດມີ CA ທີ່ອຸປະກອນເຊື່ອຖືຢູ່ແລ້ວ (ເຊັ່ນ AD CS) ອັບໂຫຼດໃບຢັ້ງຢືນເຊີເວີ ແລະ Private key ແບບ PEM ແທນຂອງເຄື່ອງໄດ້

ຢ່າກົດຍອມຮັບໃບຢັ້ງຢືນທີ່ຊື່ບໍ່ກົງກັບ ຊື່ເຊີເວີ (EAP) ແລະ ເທິງ Android ຢ່າເລືອກ “ບໍ່ກວດສອບ” ເພາະອາດເປັນ Wi-Fi ປອມທີ່ດັກລະຫັດຜ່ານພະນັກງານ