WPA-Enterprise en 802.1X: inloggen met je eigen account
Geen gedeeld wachtwoord meer, maar per gebruiker toegang die je kunt intrekken.
· 1 minuten lezen
Zodra meer dan een handvol mensen hetzelfde wifi-wachtwoord kent, is dat wachtwoord geen geheim meer. WPA-Enterprise lost dat structureel op.
Wat het is
In plaats van één netwerksleutel logt elke gebruiker in met eigen inloggegevens of een certificaat. Een RADIUS-server controleert die en vertelt het accesspoint of iemand mag verbinden, en op welk VLAN.
Wat je ermee wint
Iemand uit dienst? Account uitzetten, klaar. Geen netwerkbrede wachtwoordwissel meer. Je ziet per gebruiker wie waar verbindt. En je kunt afdelingen automatisch in het juiste netwerksegment plaatsen op basis van hun groep.
Waar het misgaat
Bij de certificaatvalidatie. Als apparaten niet controleren of ze met de echte RADIUS-server praten, kan een aanvaller een nepnetwerk opzetten en inloggegevens oogsten. Rol daarom je servercertificaat uit via je apparaatbeheer en vergrendel de instelling, zodat gebruikers waarschuwingen niet zomaar kunnen wegklikken.
Certificaten boven wachtwoorden
De volwassen variant gebruikt clientcertificaten via EAP-TLS. Niets om te phishen, niets om te vergeten. Vraagt wel een werkende certificaatuitrol.
En de rest
Apparaten die geen 802.1X kunnen — printers, sensoren, oude scanners — krijgen een eigen netwerk met een sterke sleutel, gescheiden van de werkplekken, met alleen de verbindingen die ze echt nodig hebben.