UCF_WPA2: Cấu hình an ninh mạng Wi-Fi doanh nghiệp (WPA2-Enterprise) tại Đại học Central Florida
UCF_WPA2 không phải là một "loại an ninh mạng" mới, mà là **tên SSID (Network Name)** của mạng Wi-Fi **WPA2-Enterprise (802.1X)** do Đại học Central Florida (University of Central Florida - UCF) triển khai cho sinh viên, giáo viên, nhân viên.
1. Bản chất kỹ thuật: WPA2-Enterprise (802.1X / RADIUS)
| Đặc điểm | WPA2-Personal (PSK - Pre-Shared Key) | WPA2-Enterprise (UCF_WPA2) |
|---|---|---|
| Xác thực | Mật khẩu chung (PSK) - Ai biết pass đều vào được. | 802.1X / EAP - Mỗi user/thiết bị có **credential riêng** (Username + Password / Certificate). |
| Mã hóa | AES-CCMP (Buộc). | AES-CCMP (Buộc). |
| Key Management | PMK (Pairwise Master Key) = PSK. Cứng, khó thu hồi. | Dynamic Key Derivation. PMK tạo ra từ quá trình EAP authentication. Session key độc lập mỗi phiên. Thu hồi ngay khi disable account. |
| Server xác thực | Không có (AP tự verify). | RADIUS Server (AAA) (Cisco ISE, Aruba ClearPass, Microsoft NPS, FreeRADIUS). Tích hợp AD/LDAP/Cloud IdP. |
| EAP Method phổ biến | Không áp dụng. | PEAP-MSCHAPv2 (Phổ biến nhất), EAP-TLS (Cert-based, an toàn nhất), EAP-TTLS/PAP, EAP-FAST. |
| Phân quyền (Authorization) | Khó khăn (VLAN tĩnh dựa trên SSID). | Dynamic VLAN / DACL / SGT (Security Group Tag) từ RADIUS reply attributes. Sinh viên vào VLAN Student, Staff vào VLAN Staff, IoT vào VLAN IoT. |
| Quản trị | Đổi pass = phải đổi trên mọi thiết bị. | Quản trị tập trung tài khoản (AD/Entra ID). Disable user = mất mạng ngay. Password policy áp dụng thống nhất. |
2. Cách kết nối UCF_WPA2 (Hướng dẫn cho User)
- Chọn mạng Wi-Fi: **UCF_WPA2**.
- Cài đặt bảo mật: **WPA2-Enterprise / 802.1X EAP**.
- EAP Method: **PEAP** (Protected EAP).
- Phase 2 Authentication: **MSCHAPv2** (Mặc định).
- CA Certificate: **Do not validate** (hoặc "Use system certificates" / "Don't validate" - tùy OS). *Lưu ý: Good practice là cài Root CA của UCF để validate.*
- Identity (Username): **NID** (Network ID - tên đăng nhập UCF, ví dụ: `jdoe`).
- Password: **Mật khẩu NID** (cùng mật khẩu đăng nhập myUCF, Webcourses, Email).
- Anonymous Identity: Để trống hoặc `anonymous@ucf.edu`.
- Nhấn **Connect / Join**.
Lưu ý: Windows có thể cảnh báo "Can't verify server identity" do không validate cert → Chọn "Connect" vẫn an toàn trong môi trường UCF.
3. Ưu điểm của mô hình UCF_WPA2 (WPA2-Enterprise)
- An ninh cao: Không có mật khẩu chung bị chia sẻ/rò rỉ. Mỗi tài khoản độc lập.
- Kiểm soát truy cập細粒度 (Granular): Dựa trên Group Membership (AD) → Gán VLAN, ACL, Firewall policy động.
- Tuân thủ (Compliance): Đáp yêu cầu FERPA, HIPAA (dữ liệu y tế), PCI-DSS, GLBA, CMMC.
- Khả năngAudit: Log đầy đủ: Ai, Khi nào, Đâu (AP), VLAN nào, Dung lượng.
- Khả năng mở rộng: Hỗ trợ hàng chục ngàn thiết bị đồng thời.
4. Mạng Wi-Fi khác của UCF
- UCF_WPA2: Chính thức, an toàn, cho sinh viên/nhân viên (802.1X).
- UCF_Guest / UCF_Visitor: Captive Portal (Web auth), giới hạn băng thông, cách ly mạng (Guest VLAN), timeout ngắn. Dành cho khách.
- eduroam: Roaming học thuật toàn cầu. Dùng credential UCF (NID@ucf.edu) để kết nối tại bất kỳ trường nào tham gia eduroam.
- MyResNet (Ký túc xá): Đăng ký thiết bị (MAC/Serial) qua portal → Kết nối thiết bị không hỗ trợ 802.1X (PS4, Xbox, Smart TV, Printer, IoT).
5. Khắc phục sự cố thường gặp
- Sai NID/Password: Reset pass tại mynid.ucf.edu.
- Cert error: Chọn "Don't validate" / "Trust on first use". Hoặc cài Root CA UCF (tải từ UCF IT).
- Driver Card mạng cũ: Cập nhật driver Wi-Fi mới nhất từ trang web hãng (Intel, Realtek, Qualcomm).
- Thiết bị không hỗ trợ 802.1X (PS4, TV, Printer): Đăng ký **MyResNet** (ở ký túc xá) hoặc dùng dây LAN. Không kết nối được UCF_WPA2.
- Tài khoản bị khóa/Disabled: Liên hệ UCF IT Support (Service Desk).
Tóm lại: **UCF_WPA2 = WPA2-Enterprise (802.1X PEAP-MSCHAPv2) với RADIUS backend.** Đây là tiêu chuẩn vàng an ninh Wi-Fi cho tổ chức lớn. User dùng **NID + Password NID** để đăng nhập. An toàn, quản trị tập trung, tuân thủ, phân quyền động.