---
id: site-4-802-1x
puvodni: net4.3
nazev: 802.1X
popis: Port pustí data, až když se zařízení představí.
nazev_cviceni: Kvíz: 802.1X
nadpis_kvizu: Kvíz k tématu 802.1X
---

# Výklad

## Nejdřív průkaz
*Port*

- Počítač se prokáže certifikátem nebo jménem a heslem.
- Switch se ptá serveru RADIUS.
- Až pak pustí port do dané VLAN.
- Neznámé zařízení zůstane venku nebo v omezené síti.

> Tip: dokud ověření neskončí, na portu nemá téct běžný provoz.

## Ne všechno umí 802.1X
*Lidé a věci*

- Počítač v doméně zvládne ověření sám.
- Tiskárna, kamera a telefon často ne.
- MAB pustí zařízení podle MAC adresy. Tu jde zfalšovat.
- Výjimka má být na konkrétní port, ne na celý switch.

> Tip: tiskárna bez klienta potřebuje výjimku, ne vypnutí celé ochrany.

## Kam koho pustit
*VLAN*

- Úspěch může přiřadit VLAN podle skupiny.
- Neúspěch skončí v síti bez přístupu k serverům.
- Účet jde odebrat, aniž by se měnilo heslo Wi-Fi.
- Stejný princip sedí na kabel i na podnikovou Wi-Fi.

> Tip: učitel a host nemají po ověření skončit ve stejné VLAN.


# Kvíz

## Kdo rozhodne, že zařízení smí do sítě?
- [x] RADIUS na základě údajů od switche
- Sám kabel podle barvy
- DNS záznam A
- STP root
> Switch se ptá, server odpovídá.

## Proč MAB není silné ověření?
- [x] MAC adresu lze zfalšovat
- MAC adresa je jednorázové heslo
- MAB šifruje silněji než certifikát
- Funguje jen na IPv6
> Adresa na štítku není průkaz.

## Kam patří zařízení, které ověřením neprojde?
- [x] Do omezené sítě nebo nikam
- Do VLAN serverů
- Na trunk všech VLAN
- Do správy routeru
> Neúspěch nemá otevírat vnitřní síť.

## Jaká je výhoda účtů proti jednomu heslu Wi-Fi?
- [x] Jednomu člověku jde přístup odebrat
- Heslo se nemusí nikdy měnit, protože účty ho ruší
- Netřeba RADIUS ani switch
- WEP pak stačí
> Sdílené heslo po odchodu člověka zná pořád.