WPA2-Personal или WPA2-Enterprise: общий пароль или индивидуальные учётные данные

В режиме Personal (его иногда называют PSK) у сети один общий пароль. Каждый, кто его знает, подключается, и для всех устройств ключ сеанса выводится из одного и того же секрета. Настраивается это за минуту и подходит для дома и небольших мест.

В режиме Enterprise общего пароля нет. Роутер или точка доступа передаёт проверку внешнему серверу аутентификации, обычно RADIUS, а тот сверяет учётные данные пользователя: логин и пароль либо сертификат. Итог для каждого клиента индивидуальный ключ.

Для организаций разница проявляется и в удобстве. Сотруднику не нужно узнавать пароль сети: он входит теми же данными, которыми пользуется в других системах, а администратор видит единый список пользователей.

Общий пароль удобен, но у него есть недостаток: он не привязан к человеку. Если сотрудник уволился, гость увидел запись в блокноте или пароль знает половина двора, единственный способ закрыть доступ, это сменить пароль на всех устройствах сразу.

В Enterprise доступ отзывается для одной учётной записи. Журналы показывают, кто и когда подключался. Один скомпрометированный клиент не раскрывает ключи остальных, потому что у каждого свой сеанс. Для организаций с требованиями к аудиту это решающий довод.

Но Enterprise не даёт автоматической безопасности: неверная настройка проверки сертификата сервера на клиентах делает сеть уязвимой для поддельной точки доступа.

При расследовании инцидентов индивидуальные ключи помогают определить, какое именно устройство было источником подозрительного трафика. В сети с общим паролем такая привязка невозможна без дополнительных средств.

Personal не требует ничего, кроме роутера. Enterprise требует сервера RADIUS, каталога пользователей или базы учётных записей, сертификатов, аккуратной настройки клиентов. Нужен человек, который будет всё это поддерживать: продлевать сертификаты, отзывать доступ, разбирать жалобы «не подключается».

Для небольшого офиса такие затраты могут быть неоправданными, но существуют готовые решения: некоторые роутеры и контроллеры содержат встроенный сервер аутентификации, а облачные системы берут на себя часть работы.

За пределами дома есть и промежуточный вариант: отдельные пароли на пользователя, которые поддерживают некоторые устройства, хотя универсальным он не является.

Также существуют облачные сервисы аутентификации, где сервер RADIUS размещён у провайдера услуги. Они снижают нагрузку на администратора, но переносят часть доверия к внешней стороне, что стоит учесть при оценке рисков.

Практически все современные телефоны, ноутбуки и планшеты умеют подключаться к Enterprise-сетям. Проблемы возникают с бытовой техникой: умные розетки, телевизоры, консоли, принтеры часто поддерживают только пароль общего вида. Им приходится выделять отдельную сеть или отдельный сегмент.

Ещё одна тонкость: настройка Enterprise на устройствах требует выбора метода проверки, установки корневого сертификата, указания имени сервера. Ошибки здесь встречаются чаще, чем при вводе пароля, и без документации пользователи теряются.

Personal подходит для дома, малого офиса без требований к аудиту, гостевой сети, где основной риск обычный. В сочетании с длинным паролем и современным шифрованием этого достаточно.

Enterprise оправдан, когда пользователей много, состав меняется, нужно быстро отключать людей, нужны журналы, а к сети подключены рабочие данные. Он и требует сопровождения. Если ресурсов на него нет, лучше корректно настроенный Personal с гостевой сетью, чем небрежно построенный Enterprise.

В обоих случаях проверьте обновления прошивки и разделите гостей и служебные устройства по разным сетям.

Первая ошибка: развернуть Enterprise ради ощущения безопасности, не подготовив проверку сертификата сервера на клиентах. Пользователи соглашаются с любым предупреждением, и защита оказывается формальной. Вторая ошибка: оставить общий пароль неизменным годами, хотя круг людей, знающих его, вырос.

Третья ошибка связана с гостями: им не нужен доступ к внутренним ресурсам, поэтому отдельная гостевая сеть с простым паролем и изоляцией уместнее, чем выдача основного ключа. Четвёртая: смешивать в одной сети критичные рабочие устройства и умную технику с низким уровнем защиты. Сегментация решает проблему лучше, чем смена режима шифрования.

Перед внедрением опишите, кто подключается, какие устройства и какие данные нужно защищать, и только после этого выбирайте режим. Для малого офиса разумный минимум длинный пароль, современное шифрование, отдельная гостевая сеть и регулярное обновление прошивки.