کنترل دسترسی شبکه NAC چیست؟ راهنمای 802.1X برای شبکه سازمانی

در بسیاری از شرکت‌ها هر دستگاهی که به پریز شبکه یا رمز وای‌فای دسترسی پیدا کند، پس از اتصال می‌تواند بخشی از شبکه داخلی را ببیند. لپ‌تاپ پیمانکار، رایانه شخصی کارمند، تلفن IP، پرینتر و حتی تجهیز ناشناخته ممکن است در یک محدوده قرار بگیرند. این مدل زمانی قابل‌قبول بود که تعداد دستگاه‌ها محدود و محیط بسته بود؛ اما با دورکاری، BYOD، شعب متعدد و تجهیزات هوشمند، اتصال فیزیکی دیگر نباید به معنی مجوز دسترسی باشد.

کنترل دسترسی شبکه NAC (Network Access Control) کمک می‌کند پیش از ورود هر کاربر و دستگاه، هویت و شرایط آن بررسی شود و سپس فقط سطح دسترسی متناسب تخصیص یابد. استاندارد 802.1X، سرور RADIUS، سوئیچ مدیریتی و سامانه هویت اجزای رایج این معماری هستند. اجرای درست NAC می‌تواند دستگاه ناشناس را قرنطینه کند، کاربر مالی را به VLAN مربوط هدایت کند و دسترسی مهمان را از منابع داخلی جدا نگه دارد.

NAC چیست و چه مسئله‌ای را حل می‌کند؟

NAC مخفف Network Access Control است. این مفهوم مجموعه‌ای از سیاست‌ها و ابزارها برای پاسخ به چهار پرسش است: چه کسی متصل می‌شود؟ با چه دستگاهی؟ از کدام نقطه؟ و به چه منابعی باید دسترسی داشته باشد؟ نتیجه می‌تواند اجازه اتصال، محدودسازی، قرنطینه یا رد کامل درخواست باشد.

NAC جایگزین فایروال یا آنتی‌ویروس نیست. فایروال جریان‌های شبکه را کنترل می‌کند؛ آنتی‌ویروس وضعیت تهدید روی Endpoint را بررسی می‌کند؛ و NAC تصمیم می‌گیرد دستگاه در زمان اتصال وارد کدام بخش شبکه شود. ترکیب این کنترل‌ها بخشی از معماری Zero Trust در شبکه سازمانی است که اعتماد پیش‌فرض به شبکه داخلی را حذف می‌کند.

802.1X چگونه کار می‌کند؟

استاندارد IEEE 802.1X کنترل دسترسی مبتنی بر پورت را فراهم می‌کند. تا زمانی که احراز هویت موفق نشده، پورت سوئیچ یا اتصال وای‌فای اجازه ترافیک عادی نمی‌دهد. سه نقش اصلی در این فرایند وجود دارد:

• Supplicant: نرم‌افزار روی دستگاه کاربر که اطلاعات احراز هویت را ارائه می‌کند؛
• Authenticator: سوئیچ یا اکسس‌پوینت که دسترسی پورت را کنترل می‌کند؛
• Authentication Server: معمولاً سرور RADIUS که اطلاعات را با سامانه هویت بررسی و تصمیم را اعلام می‌کند.

فرایند به‌صورت خلاصه چنین است: دستگاه به پورت متصل می‌شود؛ سوئیچ فقط پیام‌های احراز هویت را عبور می‌دهد؛ Supplicant هویت را از طریق EAP ارائه می‌کند؛ سوئیچ پیام را به RADIUS می‌فرستد؛ و پس از تأیید، سیاستی مانند VLAN، ACL یا Session Timeout روی اتصال اعمال می‌شود.

تفاوت NAC، RADIUS و 802.1X

NAC چتر بزرگ‌تر است. یک پیاده‌سازی ساده می‌تواند فقط از 802.1X و RADIUS استفاده کند، درحالی‌که سامانه پیشرفته‌تر وضعیت آنتی‌ویروس، وصله، گواهی دستگاه، مالکیت، موقعیت و رفتار را نیز ارزیابی می‌کند.

روش‌های احراز هویت در شبکه سازمانی

نام کاربری و رمز عبور

کاربر با اطلاعات دایرکتوری احراز می‌شود. راه‌اندازی آن ساده‌تر است، اما در برابر فیشینگ و اشتراک رمز ضعف دارد. استفاده از پروتکل‌هایی که Credential را به‌صورت امن محافظت می‌کنند ضروری است.

گواهی دیجیتال دستگاه یا کاربر

گواهی توسط زیرساخت PKI صادر و روی دستگاه مدیریت‌شده نصب می‌شود. این روش تجربه کاربری بهتری دارد و وابستگی به رمز را کاهش می‌دهد. مدیریت صدور، تمدید، لغو و حفاظت از کلید خصوصی بخش اصلی پروژه است.

احراز هویت ترکیبی

در محیط‌های حساس می‌توان هویت کاربر و گواهی دستگاه را هم‌زمان بررسی کرد. بنابراین رمز معتبر روی لپ‌تاپ ناشناس الزاماً دسترسی کامل ایجاد نمی‌کند. این مدل برای سازمان‌هایی که دستگاه شرکتی و شخصی را تفکیک می‌کنند مناسب است.

NAC چه سیاست‌هایی می‌تواند اجرا کند؟

• انتقال کاربر به VLAN بر اساس واحد سازمانی؛
• قرنطینه دستگاه فاقد آنتی‌ویروس یا وصله ضروری؛
• ایجاد دسترسی اینترنت‌محور برای مهمان؛
• محدودکردن پیمانکار به یک سرویس مشخص و بازه زمانی معین؛
• ثبت موقعیت فیزیکی اتصال کاربر به پورت سوئیچ؛
• اعمال ACL پویا برای دستگاه‌های IoT؛
• رد اتصال حساب غیرفعال یا گواهی منقضی؛
• تغییر سیاست بر اساس ساعت، شعبه یا وضعیت امنیتی.

هرچه سیاست پیچیده‌تر باشد، احتمال خطای عملیاتی نیز بیشتر می‌شود. نقطه شروع باید چند سناریوی ارزشمند و قابل‌اندازه‌گیری باشد، نه ده‌ها شرطی که تیم پشتیبانی قادر به عیب‌یابی آن نیست.

پیش‌نیازهای فنی اجرای NAC

فهرست دارایی و طبقه‌بندی دستگاه‌ها

قبل از فعال‌سازی باید بدانید چه دستگاه‌هایی در شبکه وجود دارند. کلاینت Windows، تلفن IP، پرینتر، دوربین، دستگاه حضور و غیاب، Access Point و تجهیزات صنعتی روش احراز هویت یکسانی ندارند. مالک، مدل، MAC، نقش و نیاز ارتباطی هر گروه ثبت شود.

سوئیچ و وای‌فای سازگار

سوئیچ مدیریتی باید قابلیت 802.1X، RADIUS، VLAN پویا و ترجیحاً Accounting و Change of Authorization را پشتیبانی کند. در وای‌فای، WPA2-Enterprise یا WPA3-Enterprise و اتصال Controller یا Access Point به RADIUS لازم است. راهنمای سوئیچ مدیریتی یا غیرمدیریتی تفاوت قابلیت‌های لازم را توضیح می‌دهد.

سامانه هویت و زمان دقیق

Active Directory یا Directory مشابه، گروه‌ها و وضعیت حساب را فراهم می‌کند. DNS و NTP باید پایدار باشند؛ خطای زمان می‌تواند گواهی و احراز هویت را مختل کند. حساب‌های سرویس نیز باید با حداقل مجوز و رمز یا Secret مدیریت‌شده ایجاد شوند.

PKI و چرخه گواهی

اگر از Certificate استفاده می‌شود، فقط نصب CA کافی نیست. Template، مدت اعتبار، Auto Enrollment، لغو گواهی، CRL، نگهداری کلید و صدور برای دستگاه‌های خارج از دامنه باید طراحی شوند. گواهی منقضی می‌تواند صدها کاربر را هم‌زمان از شبکه خارج کند.

نقشه راه اجرای NAC در هفت مرحله

1. کشف و مشاهده: دستگاه‌ها، پورت‌ها، کاربران و جریان‌های موجود را بدون مسدودسازی ثبت کنید.
2. تعریف گروه‌ها: کاربر سازمانی، مدیر، مهمان، پیمانکار، تلفن، پرینتر و IoT را جدا کنید.
3. طراحی سیاست: برای هر گروه روش احراز هویت، VLAN، ACL و رفتار خطا را مشخص کنید.
4. آزمایش محدود: یک طبقه، واحد یا SSID کم‌ریسک را انتخاب کنید و Help Desk را درگیر کنید.
5. حالت Monitor: خطاها را ثبت کنید، اما هنوز کاربران را مسدود نکنید.
6. اجرای مرحله‌ای: ابتدا دستگاه‌های استاندارد و سپس استثناها را وارد Enforcement کنید.
7. بازبینی و بهینه‌سازی: نرخ موفقیت، خطا، استثنا و زمان رفع مشکل را ماهانه بررسی کنید.

در طراحی خدمات اکتیو شبکه، وابستگی بین سوئیچ، VLAN، RADIUS، DHCP، DNS و فایروال باید مستند شود. اجرای NAC روی شبکه‌ای که پورت‌ها و VLANها مستند نیستند، مشکل موجود را پیچیده‌تر می‌کند.

سناریوی عملی: کاربر مالی با لپ‌تاپ سازمانی

کارمند مالی لپ‌تاپ تحت مدیریت را به پورت شبکه متصل می‌کند. دستگاه با گواهی خود به RADIUS معرفی می‌شود و هویت کاربر نیز از Directory بررسی می‌گردد. سامانه می‌بیند دستگاه متعلق به شرکت است، گواهی معتبر دارد و کاربر عضو گروه مالی است. سپس VLAN مالی و ACL دسترسی به نرم‌افزار حسابداری تخصیص داده می‌شود.

اگر همان کاربر از لپ‌تاپ شخصی متصل شود، گواهی دستگاه وجود ندارد. سیاست می‌تواند او را به شبکه مهمان یا VLAN محدود هدایت کند که فقط اینترنت و پورتال درخواست دسترسی را دارد. بدین ترتیب دانستن نام کاربری به‌تنهایی برای ورود کامل کافی نیست.

دستگاه‌هایی که 802.1X پشتیبانی نمی‌کنند

پرینتر، تلفن IP، دوربین و برخی تجهیزات قدیمی ممکن است Supplicant نداشته باشند. راه رایج استفاده از MAC Authentication Bypass یا MAB است؛ سوئیچ MAC را به RADIUS ارسال می‌کند و سیاست بر اساس فهرست ثبت‌شده اعمال می‌شود. چون MAC قابل جعل است، MAB نباید هم‌سطح گواهی در نظر گرفته شود.

برای کاهش ریسک این دستگاه‌ها:

• آن‌ها را در VLAN جدا قرار دهید؛
• ACL را فقط به سرورهای لازم محدود کنید؛
• پورت فیزیکی و مدل دستگاه را ثبت کنید؛
• رفتار و مقصدهای شبکه را پایش کنید؛
• تعویض دستگاه‌های بدون پشتیبانی را زمان‌بندی کنید.

طراحی High Availability و حالت خرابی

اگر RADIUS یا Directory در دسترس نباشد، کاربران ممکن است نتوانند وارد شبکه شوند. حداقل دو سرور احراز هویت، مسیر شبکه مستقل و پایش سرویس لازم است. همچنین باید تصمیم بگیرید در حالت خرابی، پورت Fail-Open باشد یا Fail-Close.

برای شبکه عمومی یا حساس، Fail-Close امنیت بیشتری دارد؛ اما ممکن است عملیات را متوقف کند. برای بعضی دستگاه‌های حیاتی می‌توان Critical VLAN محدود تعریف کرد. این تصمیم باید بر اساس ریسک و تداوم کسب‌وکار باشد و در سناریوی آزمایشی تمرین شود.

امنیت پروتکل EAP

انتخاب روش EAP اهمیت زیادی دارد. روش‌های قدیمی یا تنظیم نادرست اعتبارسنجی Certificate می‌تواند کاربر را در برابر سرور جعلی آسیب‌پذیر کند. دستگاه باید گواهی سرور RADIUS را اعتبارسنجی کند و CA و نام سرور مجاز به‌صورت سیاست مرکزی تعیین شوند.

برای محیط‌های مدیریت‌شده، EAP-TLS با گواهی معمولاً گزینه قوی‌تری است؛ اما هزینه PKI و عملیات گواهی را دارد. روش نهایی باید با نوع دستگاه، توان تیم و الزامات امنیتی انتخاب شود.

شاخص‌های سنجش موفقیت پروژه

گزارش باید فقط تعداد پورت فعال را نشان ندهد؛ علت ردشدن، گواهی‌های نزدیک انقضا، دستگاه‌های خارج از سیاست و استثناهای قدیمی نیز مهم‌اند. این موارد می‌توانند در برنامه پشتیبانی ماهانه شبکه بررسی شوند.

اشتباه‌های رایج در اجرای NAC

• فعال‌کردن Enforcement در کل شبکه بدون دوره Monitor؛
• نداشتن فهرست دستگاه‌های فاقد 802.1X؛
• وابستگی به یک سرور RADIUS؛
• اعتبارسنجی‌نکردن گواهی سرور روی کلاینت؛
• دادن دسترسی گسترده به MAB؛
• طراحی سیاست‌های بسیار پیچیده و غیرقابل‌عیب‌یابی؛
• نداشتن حساب و روش دسترسی اضطراری؛
• بی‌توجهی به تلفن IP و Voice VLAN؛
• نبود مستندات پورت، VLAN، Attribute و Rule.

پرسش‌های متداول درباره NAC

آیا NAC فقط برای سازمان‌های بزرگ مناسب است؟

خیر. شرکت متوسط نیز می‌تواند با RADIUS، 802.1X و سیاست‌های محدود شروع کند. پیچیدگی راهکار باید متناسب با تعداد کاربر و تنوع دستگاه باشد.

آیا NAC جلوی نفوذ را کاملاً می‌گیرد؟

خیر. NAC دسترسی اولیه و حرکت دستگاه‌ها را کنترل می‌کند، اما همچنان به مدیریت وصله، Endpoint Security، فایروال، بکاپ و پایش نیاز است.

آیا می‌توان هم شبکه کابلی و هم وای‌فای را پوشش داد؟

بله. 802.1X برای هر دو کاربرد دارد. طراحی SSID، سوئیچ، Controller، RADIUS و سیاست Directory باید هماهنگ باشد.

اگر کاربر اینترنت دارد اما به منابع داخلی دسترسی ندارد چه باید بررسی شود؟

نتیجه RADIUS، VLAN تخصیص‌یافته، ACL، Group Membership، Certificate، DHCP و Rule فایروال بررسی شوند. لاگ مشترک میان این مؤلفه‌ها مسیر عیب‌یابی را کوتاه می‌کند.

پیاده‌سازی NAC چقدر زمان می‌برد؟

به تعداد شعب، سازگاری سوئیچ‌ها، وضعیت Directory، تنوع دستگاه و آمادگی PKI بستگی دارد. پروژه باید با فاز کشف و آزمایش شروع شود؛ زمان صرف‌شده برای شناخت استثناها از اختلال گسترده جلوگیری می‌کند.

جمع‌بندی

NAC اتصال به شبکه را از یک مجوز عمومی به تصمیمی مبتنی بر هویت و وضعیت دستگاه تبدیل می‌کند. 802.1X، RADIUS، Directory، VLAN و ACL اجزای کلیدی این تصمیم هستند. موفقیت پروژه بیشتر از خرید محصول به فهرست دارایی، طراحی سیاست ساده، اجرای آزمایشی، High Availability و مستندسازی وابسته است.

اگر نمی‌دانید چه دستگاه‌هایی به شبکه متصل‌اند یا کاربران پس از اتصال دسترسی بیش از نیاز دارند، ارزیابی اولیه شبکه می‌تواند قابلیت سوئیچ‌ها، وضعیت VLAN، سامانه هویت و استثناهای موجود را مشخص کند. نصیر ارتباط می‌تواند طراحی، اجرای آزمایشی و استقرار مرحله‌ای کنترل دسترسی شبکه را همراه با مستندات و پشتیبانی پس از تحویل انجام دهد.