专栏《计算机网络基础》对应总览第六篇 网络安全本篇角色从「连上 Wi‑Fi / 插上网线」这一米讲清接入认证、隔离与二层信任读完你能说清 PSK 与 802.1X 差在哪设计访客隔离的最小方案在「仅无线异常」时按信任链路排查导读关联成功不等于你进对了门办公室里常有一种幻觉笔记本右下角已经显示「已连接 Corp-WiFi」钉钉、邮箱、内网文档样样通于是默认「我是受控终端」。家里也有一种幻觉摄像头、扫地机器人、孩子的平板和电脑在同一网段反正「都在自家墙里」。链路层篇写过同广播域里邻居默认能互相喊话。安全上这句要改写得更刺耳一点——二层连通常常等于信任预支。接入安全要做的不是把信号加密调到玄学参数而是回答三个问题谁有资格关联/链路 up关联之后落在哪张网能不能碰生产若某人已经进来横向还能走多远本篇按「概念 → 家庭/办公场景 → 现状 → 原理与加固 → 排障」展开。一、概念接入侧到底在控制什么1.1 开着门还是门口查证件无线里最常见的两种姿势方式直觉适合短板PSK预共享密钥一把钥匙发给所有人家庭、小团队钥匙一传就失控难追责到人轮换伤筋动骨802.1X企业级每人/每机自己的身份常接 Radius/AD/IdP办公网要身份源与证书/账号体系初期建设成本高PSK 解决的是「别让路人随便进」。它解决不了「钥匙在离职同事手机里还留着」「外包用同一个密码连了一个季度」。有线侧对应的是端口随便插 vs 802.1X/MAB/端口安全。很多园区有线反而比无线松——墙上的口默认 VLAN 就是办公网谁插谁上网。1.2 无线「加密」和「认证」别搅在一起口语里「我们 Wi‑Fi 加密了」通常指 WPA2/WPA3 把空中报文保护起来让隔壁难偷听。这是机密性。它不等于你已经通过公司身份认证你被放进了正确的 VLAN你的终端是健康的补丁、磁盘加密、EPP。把这三件事分开后面排障才不会在「信号满格但上不了内网」时对着信号条发呆。1.3 那些「看起来像安全」的弱补丁做法实际效果更靠谱的替代隐藏 SSID降低偶尔路过的人看见名字对会主动探测的人几乎无意义强认证 访客隔离MAC 过滤维护成本高MAC 可改802.1X 或至少强 PSK 分段「管理帧也加密了就绝对安全」协议在演进别当唯一防线纵深隔离 最小权限不是说这些开关永远别碰而是别把它们写成安全架构的主心骨。1.4 访客网与 IoT 网隔离比口号重要访客要的是上网不是碰打印服务器和研发 NAS。IoT 要的是厂商云和局部联动不是浏览域控。隔离的常用落点单独 SSID → 落到单独 VLAN / 子网防火墙/ACL访客 → 仅允许出网必要协议禁止进办公网段同一 SSID 靠动态 VLAN企业方案——小团队用双 SSID 往往更省事。没有隔离的「访客密码」只是多发一把进机房的钥匙。1.5 二层上的「邻居问题」防护视角同网段里ARP/ND、DHCP、流氓 AP同名诱骗、未授权交换机都会冲击「我连的是真网」这一假设。第五篇讲过机制本篇只强调防守姿态关键广播域少让不相关设备二层互通关键关键入口做认证对异常网关、重复 IP、突然的证书告警优先换出口对比蜂窝热点 vs 当前 Wi‑Fi。不在这里展开「如何实施欺骗」——那既不合规也对排障无必要。工程师要的是怀疑链路不可信时怎么快速自证。1.6 802.1X 在无线里实际怎么走直觉企业 Wi‑Fi 常见链路可以简化成终端 ←→ AP/控制器 ←→ RADIUS或云 IdP 桥 ←→ AD/证书服务终端带上用户名密码或客户端证书RADIUS 点头后控制器才把终端放进某个 VLAN有的方案靠 Tunnel-Private-Group-ID 一类属性下发。所以「连不上公司 Wi‑Fi」可能坏在四段里的任一段密码错、证书过期、RADIUS 超时、VLAN 的 DHCP 池空了。帮助台若只会回复「重启一下」工单会在同一症状上打转。有线 802.1X 同理只是「关联」换成「链路 up EAPOL」。打印机、门禁这种不会 802.1X 的设备常用MABMAC 认证旁路或固定口固定 VLAN——方便也最容易成为审计时被点名的例外例外表必须有主人。1.7 WPA2 与 WPA3选型时看什么对运维够用的差别WPA2-PSKWPA3-Personal企业 802.1X身份粒度共享密钥共享密钥握手更抗离线猜每人/每机老设备兼容最好部分 IoT 跟不上看超管客户端轮换代价全员改密码同左吊销账号/证书过渡期「混合模式」能让老手机连上也会让策略变模糊。清单里写死最低可接受模式是什么会议室投屏盒子如果锁死整网停留在混合就要评估换硬件而不是永远迁就。1.8 强制门户Captive Portal的安全含义酒店、机场、部分访客网会在你「关联成功」后劫持 HTTP逼你点同意。对终端而言在完成门户前DNS/HTTP 行为异常是预期门户过程中证书告警也可能出现——先完成门户或换网络再判断业务证书是否真坏企业自己若用门户做访客认证要避免门户页混进钓鱼式仿冒品牌、证书、跳转要干净并限制访客只能出网。二、场景2.1 家庭一把密码撑起整栋数字生活典型画像光猫桥接或路由、2.4G/5G、十几个 IoT、偶尔端口转发打游戏或看监控。高频坑主网与「给亲戚连的」同一 PSK为了外网看摄像头UPnP 或手动转发把设备推到公网路由器管理口账号还是 admin/出厂旧设备只支持落后加密套件拖垮整网策略。最小加固可周末做完路由器管理仅限有线或指定设备改掉默认口令。开访客 SSID亲戚朋友只进访客。摄像头/IoT 能进独立网段就独立不能就至少别端口映射到 WAN。Wi‑Fi 密码够长且不复用聊天软件密码能上 WPA3 就上老设备再评估是否值得拖后腿。关掉不需要的 UPnP需要外网访问时改用厂商安全隧道或自建经鉴权的入口而不是裸端口。2.2 办公会议室密码与「临时」永久化会议室投屏、参观团、外包驻场最容易逼出「先开个开放 SSID 顶一天」。一天变一年。更好的默认员工802.1X证书或账号失败有明确帮助台流程访客独立 SSIDPortal 或一次性凭证出网可审计进不去办公 VLAN哑终端 / 打印单独 VLAN MAB 或固定口不与研发平铺。有线侧同样要有主人会议室墙上的口是不是默认进了生产网这比无线更少被人审计。2.3 咖啡厅与客户现场默认链路不可信你无法加固别人的 AP。你能做的是调整自己的信任假设敏感操作走公司 VPN 或至少确认 HTTPS 证书无告警不在不可信网络上做明文协议管理证书突然异常、强制门户插页先换网络再查业务。这是把 06-01 的「信任边界」画到笔记本网卡外侧。2.4 案例会议室「临时密码」怎样变成永久后门时间线可以长这样大客户来访IT 开了Guest-TempPSK 写在白板。参观结束没人关 SSID白板照片进了群相册。三个月后安全扫描授权发现访客 VLAN 与办公 VLAN 仅靠「自觉」ACL 根本没写。同一天研发 NAS 出现陌生 SMB 探测——未必已失陷但暴露面已经成立。复盘动作通常不是再买一台高级 AP而是访客 SSID 默认策略改为「工单创建、自动到期」访客 → 办公显式 DENY并每季度用测试机验证白板/聊天禁止留永久 PSK改一次性凭证或 Portal。2.5 案例家里摄像头「外网也能看」需求合理实现常错路由器 UPnP 自动映射或云账号共用家庭密码。相对稳妥的路径是厂商官方加密隧道 / 经鉴权的中继而不是「把 8080 捅到公网」。若必须自建前面应有独立网段、强认证入口、失败锁定、固件更新渠道——这已经接近做一个小公网服务成本往往高于买靠谱云服务。2.6 案例有线墙口进了生产 VLAN外包在开放工位插上网线DHCP 直接进研发网段打印机发现协议、源码机 NAS 广播一览无余。无线侧 802.1X 做得很漂亮也救不了这根线。对策访客区 Access VLAN 默认隔离生产口要 802.1X 或至少「未认证进隔离 VLAN」临时改 VLAN 必须写到期日。三、现状接入侧这几年在变什么家庭仍以 PSK 为主但路由器官方已经普遍给访客网、家长控制不开是习惯问题不是没有旋钮。企业无线走向集中管控 802.1X纯 PSK 办公网越来越难通过客户安全问卷。WPA3在推进过渡期「混合模式」兼容老设备会带来策略摇摆——清单里要写清最低加密要求。BYOD 与承包商让「一个 VLAN 装所有人」成本越来越高隔离从可选项变必选项。IoT 暴增默认口令、常年不补丁使「物联网专用网段」从极客建议变成运维常识。四、原理从关联到落网段4.1 无线侧一条简化时间线发现 SSID → 认证/关联 → 四次握手派生密钥 → 拿地址DHCP→ 出网或访内网 ↑ 身份在这里失败连不上 身份过了但 VLAN 错能上网却进错生产 密钥/加密失败关联反复、吞吐异常排障时按阶段切是「根本关联不上」还是「关联了但 DHCP 失败」还是「有地址但策略挡」。4.2 访客隔离在设备上长什么样逻辑上至少两刀刀1二层/VLAN 分开广播域切开 刀2三层 ACL —— 访客网段 → 办公网段 DENY→ 互联网按需 ALLOW只做 NAT 出网、不做 ACL有时访客仍能扫到你错误地接到同一 L2 的打印机。隔离要验证不能只看「开了访客按钮」。4.3 有线端口被遗忘的接入面墙口 → 接入交换机端口 VLAN → 可选802.1X → 用户 VLAN临时改 Access VLAN 去「救火」事后不收回等于永久开了偏门。变更要有到期时间——这和安全组临时放行是同一类纪律。4.4 客户端隔离Client Isolation什么时候开很多家用路由、部分企业 SSID 有「AP 隔离 / 无线隔离」同一 SSID 下终端不能互访只能出网关。适合纯上网访客。不适合需要 AirDrop、本地投屏、共享打印机的员工网——一开就「无线打印全挂」会被骂着关回去连访客隔离一起关掉。所以隔离策略要按 SSID 拆访客开隔离办公按需IoT 网段用三层 ACL 限制「只能访问厂商云与网关」而不是一刀切。4.5 可疑链路时的自证顺序终端侧在授权范围内怀疑当前 Wi‑Fi 不可信时1. 关掉 Wi‑Fi开蜂窝热点复现业务 2. 对比两端 dig 结果与证书指纹openssl 3. 若仅 Wi‑Fi 异常暂停敏感操作换已知网络或 VPN 4. 公司网报给网络岗提供时间、SSID、截图不要自行「扫描邻居」自证的目标是保护自己的会话与数据不是取证打穿别人的 AP。4.6 DHCP 也是接入信任的一部分假 DHCP 会发「错误网关 / 错误 DNS」后面所有「锁」都可能指到别处。分段与接入认证降低其成功率终端上突然网关变了、DNS 变成陌生地址应视为高优先级异常。排障时看# Linux ip route; resolvectl status 2/dev/null || cat /etc/resolv.conf # 地址是否来自预期网段 ip -br addrWindows 可用ipconfig /all看 DHCP 服务器地址是否为已知网关。五、应用两份可执行清单5.1 家庭清单打印贴路由器旁边也行管理口令非默认WAN 侧不能直达管理页访客 SSID 已开主网 PSK 不告知访客无必要端口转发UPnP 按需IoT 与电脑隔离能做多少做多少固件更新过至少一年内看过发布说明5.2 办公最小基线中小团队版员工与访客 SSID 分离访客不能进办公网段实测过员工侧有个人身份802.1X 或等效避免永久性万能密码会议室临时策略有负责人与截止日期有线墙口 VLAN 有文档访客区域物理口不进生产帮助台有「连不上公司 Wi‑Fi」的标准问答证书过期、账号锁定、VLAN验证访客隔离的朴素办法授权网络内连访客尝试访问一个仅办公网可达的内网地址应失败再测出网应成功。失败模式写进文档避免「好像隔离了」。5.3 办公进阶项有编制再做RADIUS 高可用与证书自动续期避免「认证服务器挂了全员断网」动态 VLAN员工/承包商/哑终端自动落不同网段有线 802.1X 与无线策略对齐例外表季度审终端姿态补丁、磁盘加密与入网联动——做不到就先做「非公司设备进访客」无线控制器配置备份与变更 diff5.4 帮助台话术可直接贴知识库用户说你先问你先做连不上公司 Wi‑Fi员工还是访客笔记本还是手机有无证书过期提示查账号状态 / 证书有效期 / 是否连错 SSID能上网不能进 OA是否连成了访客VPN 开了没核对 VLAN/IP 段是否办公网只有开会区不行是否临时 SSID墙口还是无线查会议室临时策略是否过期错乱打印不了是否开了客户端隔离打印机组在哪网段对照隔离与 ACL而不是重装驱动六、问题定位仅无线不行时怎么拆现象先查备注完全关联不上密码/802.1X 账号证书、SSID 是否隐藏导致手工配置错、频段/协议不兼容看客户端具体错误码别只看「无法连接」关联成功无地址DHCP 池、中继、VLAN 是否到对的 SVIipconfig/ip addr看是否 APIPA有地址不能出网默认路由、DNS、访客 ACL 误伤对比有线同一账号是否正常能出网不能访内网本来就该如此访客或员工 VLAN/ACL 错对照网络图仅某 SSID 证书狂报强制门户、错误代理、DNS 异常换蜂窝对比见 06-04同网段设备互访异常隔离选项、AP 客户端隔离、交换机 ACL「AP 隔离」有时会挡打印机场景抓包与iw/airport细节因 OS 而异原则是先切阶段再下工具。七、小结接入安全的核心是身份 落网段 横向限制不是藏 SSID。PSK 管「有没有钥匙」802.1X 管「钥匙是谁的」。访客与 IoT 没有隔离就等于提前预支了二层信任。不可控网络上默认链路不可信用 VPN/HTTPS/换出口保护自己。有线墙口与无线会议室密码往往是审计盲区。