2024-04-29 - 从MAC地址到802.1X安全实践：MAC地址安全管理之三

第三篇是 MAC 地址安全管理这个话题最后一篇。在第二篇已经充分讨论了仅靠 MAC 地址是无法从根本上实现安全管理的，因此需要更复杂的机制，也就是需要在局域网内实施必不可少的 IEEE 802.1X 协议。

IEEE 802.1X（以下简称 802.1X） ，即基于端口的网络访问控制，是通过对用户进行身份验证而控制安全接入局域网的保护机制。这套机制的具体使用方法在网络上有很多教程，网络设备的生产厂家也会提供配置说明和配置范例。

对于大型企业或者说大规模的局域网接入，802.1X 是必不可少的接入层安全控制措施。尤其是无线局域网环境下，家庭用的 WPA-Personal 因为可管理性的缺陷而并不适合企业内网的大规模部署，甚至会产生因管理措施不到位而导致的安全漏洞，此时非使用 802.1X / WPA2-Enterprise 不可。

但配置教程和厂商说明书，基本上都不会把安全控制同时说明。就算在后期实施了加固，那也只是后期：

中间这一段时间就是网络安全的空白期。

回想一下网络安全“三同步”要求中的同步实施，可见该要求并不仅仅是对信息系统中的软件部分，而是包括对整个 IT 基础设施环境的。

所以如何确保 802.1X 协议安全实施，是 MAC 地址安全管理的关键。本篇就聚焦于实施 802.1X 要注意的安全问题。