Bài 82b: Thực hành WPA2-Enterprise — Wi-Fi xác thực từng người dùng qua RADIUS trên WLC

⏱️ Thời lượng: 45–60 phút · 📶 Độ khó: Trung bình · 🧰 Công cụ: Cisco Packet Tracer 8.x · 📌 Cần học trước: Bài 35b, Bài 76b, Bài 82

Sơ đồ lab Bài 82b · ⬇️ Tải sơ đồ (SVG) · 🔍 Mở cỡ lớn

💡 Liên hệ thực tế

Ở Bài 35b, cả công ty dùng chung một mật khẩu Wi-Fi VnExperts@2026. Một nhân viên nghỉ việc vẫn biết mật khẩu đó; muốn chặn người đó, bạn phải đổi mật khẩu và báo lại cho tất cả mọi người.

WPA2-Enterprise giải quyết chuyện này: mỗi người đăng nhập Wi-Fi bằng tài khoản riêng. WLC không tự kiểm tra mật khẩu mà hỏi máy chủ RADIUS (chuẩn 802.1X). Khoá tài khoản một người trên máy chủ là người đó mất Wi-Fi ngay, những người khác không bị ảnh hưởng.

Quy tắc ghi nhớ: WPA2-Personal = PSK, một mật khẩu chung. WPA2-Enterprise = 802.1X + RADIUS, mỗi người một tài khoản. Trên WLC, Authentication Key Management chọn 802.1X thay cho PSK.

🎯 Mục tiêu bài lab

• Bật dịch vụ RADIUS trên Server-PT, khai báo WLC là client và tạo tài khoản người dùng.
• Khai báo máy chủ RADIUS trên WLC.
• Tạo WLAN mới bảo mật WPA2-Enterprise (802.1X, AES).
• Kết nối laptop bằng username/password; thử sai mật khẩu và khoá tài khoản.

📋 Chuẩn bị, địa chỉ và đấu nối

Bài này nối tiếp Bài 35b. Mở file 35b đã làm xong (WLC1 đã join AP1, đã có dynamic interface staff VLAN 10 và WLAN VNX-Staff), Save As sang file mới rồi thêm:

⚙️ Các bước thực hiện

⚠️ Giao diện WLC trong Packet Tracer là bản mô phỏng rút gọn. Tên menu có thể khác nhẹ giữa các phiên bản — hãy tìm mục có tên tương đương.

⚙️ Bước 1 — Thêm máy chủ RADIUS

Kéo thêm 1 Server-PT, đặt tên SRV-RADIUS, nối vào SW1 Fa0/5. Đặt IP tĩnh 192.168.99.20/24, gateway 192.168.99.1. Trên SW1:

SW1(config)# interface fastEthernet 0/5
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 99

Kiểm tra: từ PC-Admin ping 192.168.99.20 thành công.

⚙️ Bước 2 — Cấu hình dịch vụ RADIUS trên SRV-RADIUS

SRV-RADIUS → Services → AAA → Service On.

1. Network Configuration: Client Name WLC1, Client IP 192.168.99.5, Secret RadiusVNX@2026, ServerType Radius → Add.
2. User Setup: thêm an / An@2026 và binh / Binh@2026.
3. Ghi lại giá trị ô Radius Port trên trang này — bước sau phải khai báo cùng số port trên WLC.

Client IP là địa chỉ management của WLC, vì WLC là thiết bị gửi yêu cầu xác thực tới RADIUS — không phải laptop, cũng không phải AP.

⚙️ Bước 3 — Khai báo máy chủ RADIUS trên WLC

PC-Admin → Web Browser → https://192.168.99.5 → đăng nhập.

1. Tab SECURITY → AAA → RADIUS → Authentication → New…
2. Server IP Address: 192.168.99.20; Shared Secret Format: ASCII; Shared Secret và Confirm: RadiusVNX@2026; Port Number: trùng với Radius Port đã ghi ở Bước 2 (WLC mặc định 1812); Server Status: Enabled.
3. Apply → Save Configuration.

⚙️ Bước 4 — Tạo WLAN VNX-Secure với WPA2-Enterprise

1. Tab WLANs → Create New → Go. Profile Name và SSID VNX-Secure, ID 2 → Apply.
2. Tab General: Status ☑ Enabled; Interface/Interface Group(G): staff.
3. Tab Security → Layer 2: Layer 2 Security WPA+WPA2; ☑ WPA2 Policy, mã hoá AES; Authentication Key Management: ☑ 802.1X, bỏ chọn PSK.
4. Tab Security → AAA Servers: ở Authentication Servers, Server 1 chọn máy chủ 192.168.99.20.
5. Apply → Save Configuration.

📎 So với Bài 35b, chỗ khác duy nhất ở Layer 2 là 802.1X thay cho PSK — và ở đây đó là lựa chọn đúng, không phải lỗi.

⚙️ Bước 5 — Kết nối Laptop2 bằng tài khoản riêng

Thêm Laptop2, đổi card mạng sang WPC300N như Bài 35b.

Cách 1 (giống người dùng thật): Laptop2 → Desktop → PC Wireless → tab Profiles → New → đặt tên profile → chọn SSID VNX-Secure → Advanced Setup: IP lấy tự động (DHCP); Security WPA2-Enterprise; Encryption AES; Login Name an, Password An@2026 → Save → Connect to Network.

Cách 2 (khai báo tay): Laptop2 → tab Config → Wireless0: SSID VNX-Secure, Authentication WPA2 (loại có User ID/Password, không phải WPA2-PSK), User ID an, Password An@2026, Encryption Type AES; IP Configuration DHCP.

Laptop2 nhận địa chỉ 192.168.10.x, gateway 192.168.10.1. Nếu chưa có IP, bấm Fast Forward Time hoặc đổi qua lại Static/DHCP.

⚙️ Bước 6 — Thử sai mật khẩu và khoá tài khoản

1. Đổi Password của Laptop2 thành sai123 → laptop không kết nối được WLAN.
2. Sửa lại mật khẩu đúng → kết nối lại được.
3. Trên SRV-RADIUS, xoá user an (giả lập nhân viên nghỉ việc). Ngắt và kết nối lại Laptop2 → không vào được. Đổi Laptop2 sang tài khoản binh → vào được. Không ai khác phải đổi mật khẩu.

🔍 Kiểm tra kết quả

🛠️ Lỗi thường gặp & cách xử lý

🏆 Thử thách mở rộng

1. Laptop1 (đang dùng VNX-Staff, WPA2-PSK) và Laptop2 (VNX-Secure, WPA2-Enterprise) có cùng mạng IP không? Vì sao?
2. Công ty muốn khách đến chơi dùng Wi-Fi riêng, không cần tài khoản, tách hẳn khỏi mạng nhân viên. Bạn sẽ tạo thêm những gì trên WLC và switch?

💬 Hỏi & Đáp nhanh

❓ Trong 802.1X, ai là supplicant, authenticator, authentication server?

✅ Supplicant: laptop (người xin vào). Authenticator: WLC (người gác cổng, chuyển thông tin xác thực đi). Authentication server: máy chủ RADIUS (người quyết định cho vào hay không).

❓ WPA3 khác gì?

✅ WPA3-Personal thay PSK bằng SAE, chống dò mật khẩu offline tốt hơn. WPA3-Enterprise vẫn dùng 802.1X như WPA2-Enterprise, thêm tuỳ chọn mã hoá mạnh hơn. Packet Tracer chưa mô phỏng đầy đủ WPA3, nên bài này dùng WPA2.

❓ Vì sao RADIUS mà không phải TACACS+?

✅ 802.1X dùng RADIUS (kèm EAP) để chuyển thông tin xác thực. TACACS+ thường dùng cho quản trị thiết bị (Bài 76b).

📝 Bài tập đánh giá

Câu 1: Khi cấu hình WLAN WPA2-Enterprise trên WLC, Authentication Key Management phải chọn gì?

• A. PSK
• B. 802.1X
• C. CCKM
• D. Open

Câu 2: Trên máy chủ RADIUS, mục Client IP cần khai báo địa chỉ nào?

• A. Địa chỉ của laptop
• B. Địa chỉ của AP
• C. Địa chỉ management của WLC
• D. Địa chỉ gateway VLAN 10

👉 Đáp án

• Câu 1: B — PSK là chế độ Personal.
• Câu 2: C — WLC là authenticator, là thiết bị trực tiếp nói chuyện với RADIUS.

💡 Output trong bài là output mẫu trên Packet Tracer, trên máy bạn có thể khác một chút (ví dụ địa chỉ MAC).

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng