UniFi Identity — autoryzacja zintegrowana

UniFi Identity pozwala oprzeć dostęp do sieci firmowej na koncie użytkownika zamiast na wspólnym haśle. Pracownik loguje się do Wi-Fi i do VPN swoimi danymi, a dostęp odbierasz wyłączając jedno konto — bez zmieniania hasła w całej firmie. Rozwiązanie integrujemy z Active Directory i Microsoft Entra ID.

Problem, który to rozwiązuje

W większości małych firm hasło do firmowego Wi-Fi zna każdy, kto kiedykolwiek w niej pracował — a często również goście, dostawcy i rodziny pracowników. Nie da się stwierdzić, kto faktycznie korzysta z sieci, a odejście pracownika teoretycznie wymaga zmiany hasła na wszystkich urządzeniach w firmie. W praktyce nikt tego nie robi, więc dostęp zostaje otwarty na lata.

Uwierzytelnianie na konto użytkownika likwiduje ten problem u źródła: każdy loguje się własnymi danymi, widać kto i kiedy się łączył, a odebranie dostępu to jedna operacja.

Co wdrażamy

• Logowanie do Wi-Fi na konto użytkownika — WPA-Enterprise z 802.1X zamiast współdzielonego hasła.
• Dostęp VPN powiązany z kontem — te same dane logowania co do sieci firmowej, z możliwością wymuszenia uwierzytelniania wieloskładnikowego.
• Przypisanie użytkownika do sieci VLAN — sieć, do której trafia urządzenie, wynika z tego, kim jest zalogowana osoba, a nie z tego, do którego gniazdka się podłączyła.
• Dostęp gościnny oddzielony od sieci firmowej, z portalem powitalnym i czasowymi kontami.
• Rejestr logowań — kto, kiedy, z jakiego urządzenia i do której sieci.

Integracja z dostawcami tożsamości

Sens tego rozwiązania polega na tym, żeby nie tworzyć kolejnej, osobnej bazy użytkowników. Konta powinny pochodzić z systemu, w którym firma już nimi zarządza. Realizujemy to na trzy sposoby, zależnie od tego, jak wygląda Twoje środowisko.

Microsoft Entra ID (dawniej Azure AD)

Najlepszy wariant dla firm korzystających z Microsoft 365. Konta i grupy z Entra ID zasilają system dostępu do sieci, a użytkownik loguje się do Wi-Fi tymi samymi danymi co do poczty. Wyłączenie konta w Microsoft 365 odbiera jednocześnie dostęp do sieci firmowej — bez osobnej procedury i bez ryzyka, że ktoś o niej zapomni.

Lokalne Active Directory

Jeżeli w firmie pracuje domena Active Directory, uwierzytelnianie sieciowe opieramy o serwer RADIUS zintegrowany z domeną — najczęściej rolę Network Policy Server (NPS) na serwerze Windows. Użytkownik loguje się do Wi-Fi danymi domenowymi, a polityki dostępu wynikają z przynależności do grup w AD.

Środowisko hybrydowe

Przy lokalnym AD zsynchronizowanym z Entra ID przez Entra Connect wybieramy punkt uwierzytelniania zależnie od tego, gdzie firma faktycznie zarządza kontami i gdzie pracują użytkownicy. Dobór tej ścieżki omawiamy na etapie projektu — to decyzja, która później trudno się odwraca.

Bez katalogu firmowego

Dla mniejszych organizacji bez domeny i bez Microsoft 365 uruchamiamy bazę użytkowników bezpośrednio w rozwiązaniu UniFi. Nadal daje to logowanie imienne i rejestr dostępu, tyle że konta utrzymywane są lokalnie.

Efekty, które zobaczysz

• Offboarding w jednym kroku — wyłączenie konta odbiera dostęp do poczty, plików i sieci naraz.
• Koniec z hasłem na karteczce przy biurku recepcji.
• Kontrola nad urządzeniami prywatnymi — telefony pracowników trafiają do wydzielonej sieci, bez dostępu do serwerów.
• Materiał na potrzeby audytu — rejestr logowań do sieci, przydatny przy audycie bezpieczeństwa i wymaganiach RODO.
• Spójność z resztą zabezpieczeń — te same konta i te same zasady co w ochronie stacji roboczych i danych.

Najczęstsze pytania

Czy każde urządzenie obsłuży logowanie 802.1X?

Komputery, telefony i tablety — tak. Problem pojawia się przy urządzeniach starszych oraz przy sprzęcie produkcyjnym, drukarkach i urządzeniach IoT. Dla nich zostawiamy osobną sieć z uwierzytelnianiem po adresie MAC lub odrębnym kluczem, odciętą regułami zapory od reszty infrastruktury.

Czy to wymaga wymiany punktów dostępowych?

Zwykle nie, jeśli w firmie działa już sprzęt UniFi. Uwierzytelnianie WPA-Enterprise obsługują wszystkie bieżące serie punktów dostępowych — zmiana dotyczy konfiguracji, nie sprzętu.

Co się stanie, gdy padnie internet?

Projektujemy dostęp tak, aby uwierzytelnianie działało również przy braku łącza — z lokalnym serwerem RADIUS albo z awaryjną siecią dla kluczowych stanowisk. To jeden z punktów, które ustalamy przed wdrożeniem.

Ile trwa wdrożenie?

Dla firmy do 50 użytkowników zwykle 2–5 dni roboczych, wliczając integrację z katalogiem i migrację urządzeń na nowy sposób logowania. Najwięcej czasu zajmuje zwykle przepięcie sprzętu, który 802.1X nie obsługuje.