山姆的 IT 日常

當使用 Android 手機連線到一個 802.1X 的網路，在 EAP 方法 (Method) 選擇使用 PEAP 或是 EAP-TTLS 時，在下方的欄位會看到一個叫做 匿名使用者 (anonymous identity)。

最近在重新複習 FreeRADIUS 的架構，剛好在測試的過程中，我把家裡的 FortiGate 從 7.2.9 upgrade 到 7.2.10，在 FortiGate GUI 上面執行 Test Connectivity 就發生 invalid secret for the server 這個錯誤訊息

這個問題源自於名為 Blast-RADIUS (CVE-2024-3596) 的 RADIUS 協定漏洞，只要是在不安全的網路環境裡面使用非 EAP 驗證框架搭配 RADIUS over UDP 協定，就容易遭受中間人攻擊

先前有提到 eduroam 採用的是 RADIUS 及 802.1X 的技術，那麼這一篇來談談在 TANet 上面導入這項服務需要注意的一些事情。

以前待過的學校最近要開始建置 eduroam 國際跨校漫遊的 802.1X 服務，所以回頭複習了一下之前的建置紀錄，重新喚醒記憶。

前面提到了 FortiGate 如何透過 External Connectors (Threat Feeds) 來獲取 RBL，進而運用在 Firewall Policy 上過濾進出流量之外，也可以保護 FortiGate 自身所提供的服務。

網路攻擊一直都是網管及資安人員關心的議題，但攻擊行為模式層出不窮，很難一次到位(也幾乎不太可能)，而 IP 防護是基本也是至少能做到的事情。

FortiOS 從 6.0 開始提供一個名叫 Automation stitches 的功能，可以讓我們在 FortiGate 平台上做一些自動化的機制，而裡面包含了一個本篇要說明的 Webhook 功能。

以往我過去的習慣都會將 2.4G / 5G 這兩個 band 使用同一個 SSID name，然後利用 controller 的功能來協助 devices 選擇最適合的 band 來傳輸。

Network Access Control(NAC)一直以來在Cyber Security領域中都有它的角色存在，各網通大廠也都相繼提出解決方案，當然Alcatel-Lucent Enterprise也不例外。