Ağ Erişim Kontrolü: 802.1X, NAC ve Çok Faktörlü Doğrulama

Ağ erişim kontrolü, bir cihazın ağa bağlanmadan önce kim olduğunu kanıtlamasıdır: switch portuna kablo takan ya da kurumsal Wi-Fi’a bağlanan her cihaz, ortak bir parolayla değil kendi kimliğiyle içeri alınır. Sahada bu işin iki adı birlikte anılır; 802.1X kapıdaki kontrolün protokolü, NAC ise o kontrolün etrafındaki düzenin adıdır. Biz bu işi uçtan uca kuruyoruz: doğrulama sunucusu, dizin ve sertifika tarafı, switch ve kablosuz denetleyici yapılandırması, tanınmayan cihazlar için ayrı bir ağ bölümü ve yönetici erişiminde çok faktörlü kimlik doğrulama.

Merkezi bir sınav salonuna girdiğiniz anı hatırlayın. Kapıda duran görevli sizi tanımaz, tanımak zorunda da değildir; iki şey ister: kimliğinizi ve giriş belgenizi. İkisi birden yoksa içeri alınmazsınız, kapıda beklersiniz. Salonda hangi sırada oturacağınız da size bırakılmaz, listede yazılıdır. Üstelik o liste salonun kendi defteri değildir, merkezden gelmiştir; görevli kararı vermez, sorar ve uygular. Ağ erişim kontrolü tam olarak bu düzendir. Switch portu kapıdaki görevlidir, doğrulama sunucusu listeyi tutan merkezdir ve karar hiçbir zaman kapıda verilmez.

Çoğu kurumda eksik olan da burasıdır. Firewall binanın dış kapısını tutar, ama toplantı odasındaki priz kimseye kimlik sormaz. Kurumsal network kurulumu hizmetimizin bu kolu, ağın içeride kimi tanıdığıyla ilgilenir.

Ağ Erişim Kontrolünde Ne Yapıyoruz, İş Nerede Bitiyor?

Yaptıklarımız:

• Envanter ve keşif. Hangi switch’ler 802.1X destekliyor, kaç port kullanımda, ağda kimliği olmayan kaç cihaz var; iş bu listeyle başlar.
• Doğrulama sunucusu kurulumu. Windows tarafında NPS, Linux tarafında FreeRADIUS; hangisinin kurulacağı mevcut altyapıya göre belirlenir ve tek sunucuya bırakılmaz. Sunucunun kendisi de sıfırdan gerekiyorsa sunucu kurulumu tarafını da biz üstleniyoruz.
• Dizin entegrasyonu. Erişim, kullanıcının Active Directory hesabına ve grup üyeliğine bağlanır; kişi işten ayrıldığında hesabı kapandığı an ağ erişimi de kapanır.
• Sertifika altyapısı. Sertifika tabanlı doğrulama (EAP-TLS) tercih edildiğinde kurumun kendi sertifika otoritesi devreye girer; sertifikaların dağıtımı ve yenilenmesi de kurulumun parçasıdır.
• Switch ve kablosuz denetleyici yapılandırması. Portlarda 802.1X, kimliksiz cihazlar için MAC doğrulaması, uygun yerlerde port güvenliği ve doğrulama sonucuna göre otomatik VLAN ataması.
• Tanınmayan cihaz için ayrı ağ bölümü. Doğrulamayı geçemeyen cihaz ağdan kopmaz, sınırlı bir bölüme alınır; oradan nereye gidebileceği yazılıdır.
• Çok faktörlü kimlik doğrulama. Yönetici erişimi, uzak masaüstü ve VPN gibi dışarıya bakan kapılarda parolanın tek başına yetmediği bir katman.
• Aşamalı devreye alma ve acil erişim planı. Önce izleme kipi, sonra zorlama; ve merkez erişilemez olduğunda ne yapılacağı baştan yazılı.
• Cihaz ve lisans tedariki. Kurulum bir cihaz ya da lisans gerektiriyorsa tedarikini de biz üstleniyoruz; elinizdekiler işi görüyorsa onu da açıkça söylüyoruz.

Bu işin bittiği yer:

• Bu bir ürün satın alma işi değil. Tedarik gerekiyorsa üstleniyoruz, ama sayfanın anlattığı değer kutunun içinde durmuyor: elinizdeki switch’lerin, dizinin ve GPO’larının birbirine bağlanmasında duruyor. Yeni cihaz almadan çözülebilen bir kurulumu, cihaz alarak çözmeyi önermiyoruz.
• Uç nokta koruması ayrı bir katman. Cihazın içindeki zararlıyı bulmak antivirüs ve uç nokta koruma tarafının işi; onu da veriyoruz ama başka bir hizmet olarak. Ağ erişim kontrolü cihazın içine bakmaz, ağda ne olduğuna ve nereye gidebildiğine bakar. İkisi birbirinin yerine geçmez, birbirini tamamlar; o katmanın kendi içindeki ayrımı antivirüs ve EDR farkı rehberimizde anlattık.
• Fiziksel geçiş bu kurulumun parçası değil. Kartlı kapı, turnike ve personel devam sistemleri ayrı bir iştir ve kartlı geçiş kurulumunu da yapıyoruz; buradaki kapı fiziksel değil, switch portudur.

Ağ Erişim Kontrolü Kime Gerekir?

Bu iş her kuruma aynı gün gerekmez. Ama beş durumdan biri varsa, gecikmiş demektir.

• Kurumsal Wi-Fi parolası ortaksa ve personel değişiyorsa. Ortak parolayı bilen herkes, işten ayrıldıktan sonra da bilmeye devam eder. Kişisel hesapla girişte ise hesap kapandığı an erişim de kapanır.
• Switch ve router yönetimi ortak bir parolayla yapılıyorsa. Cihazda bir yapılandırma değiştiğinde “bunu kim yaptı” sorusunun cevabı yoksa, sorun güvenlikten önce hesap verebilirlik sorunudur.
• Ziyaretçiye açık prizler varsa. Toplantı odası, lobi ve fuaye prizleri fiziksel olarak korunmayan ağ kapılarıdır; misafir Wi-Fi tarafını ayırmak yetmez, kablolu taraf da sorulmalıdır.
• Ağda kimliği olmayan cihazlar çoğaldıysa. Kamera, yazıcı, kartlı geçiş ünitesi ve benzeri cihazlar kullanıcı hesabı taşımaz; hepsi kurumsal ağda serbest dolaşıyorsa, ağın en zayıf cihazı ağın güvenlik seviyesini belirliyor demektir.
• Bir denetim yükümlülüğünüz varsa. Erişimin kişiye bağlanması ve kayıt altına alınması, ISO 27001 gibi çerçevelerin ve KVKK teknik tedbirlerinin ortak beklentisidir. Denetimde sorulan soru “güvenlik cihazınız var mı?” değil, “kimin neye eriştiğini gösterebiliyor musunuz?” olur.

Kurumsal Wi-Fi’ı yeni kuruyorsanız bu iki iş aynı projede yürür: kablosuz tarafın kapsama ve cihaz planı kurumsal Wi-Fi kurulumu sayfasının konusu, kimin nasıl bağlanacağı ise bu sayfanın.

802.1X ve NAC Nasıl Kuruluyor?

Süreç altı adımdan geçer ve en kritik olanı üçüncüsüdür.

1. Keşif ve envanter. Switch modelleri ve yetenekleri, port sayıları, kablosuz denetleyici durumu, dizin yapısı ve ağdaki kimliksiz cihazlar çıkarılır.
2. Doğrulama sunucusu ve dizin tarafı. Sunucu kurulur, dizine bağlanır, access policy’ler gruplara göre yazılır. Sertifika tabanlı doğrulama seçildiyse sertifika otoritesi ve dağıtım bu aşamada hazırlanır.
3. İzleme kipi. 802.1X portlarda açılır ama kimseyi engellemez, yalnız kaydeder.
4. Ayıklama. İzleme kipinin ürettiği “geçemeyenler” listesi tek tek kapatılır: eksik ayar, eski işletim sistemi, kimliksiz cihaz, unutulmuş bir test makinesi.
5. Zorlamanın açılması. Liste boşaldığında kapı kapanır. Bu aşama lokasyon lokasyon, hatta kat kat yapılır; hepsi birden değil.
6. Kayıt ve devir. Kimin ne zaman bağlandığı syslog tarafına akıtılır, acil erişim planı yazılı olarak teslim edilir ve yönetim ekranları anlatılır.

Teslimden sonrası için de bir cümle gerekiyor. Ağ erişim kontrolü kurulduğu gün en temiz halindedir ve o düzen kendiliğinden sürmez: her yeni cihaz, her yeni çalışan ve her sertifika yenilemesi listeye dokunur. Policy’lerin bakımı, yeni cihazların kaydı ve doğrulama kayıtlarının izlenmesi kurumsal bakım anlaşması kapsamında bize devredilebilir; kendi ekibiniz sürdürecekse teslim dosyası tam da bunun için yazılır.

İzleme Kipi: Kapıyı Kapatmadan Önce Listeyi Doğrulamak

Bu aşama sürenin uzamış hali değil, işin kendisidir. Sınav salonu benzetmesi burada tam oturuyor: liste hatalıysa kapıda bekletilen kişi hile yapan biri değil, adı yanlış yazılmış birisidir ve onu kapıda tutmak kimseyi güvende tutmaz.

İzleme kipi bu yüzden var. Ağ, hangi cihazın doğrulamayı geçeceğini geçemeyeceğini önceden söyler ve siz kimseyi kesintiye uğratmadan listeyi düzeltirsiniz. Ayıklama listesinde en sık çıkan üç şey şudur: yapılandırması hiç yapılmamış bir grup masaüstü, kimliği olmayan ve kimsenin varlığını hatırlamadığı bir cihaz, ve kayıtlarda görünmeyen bir switch. Üçü de kurulum bittikten sonra değil, bu aşamada bulunmalıdır.

İzleme kipinin bir sınırı da var. Kip, doğrulamayı geçemeyen cihazı içeri alır ama 802.1X hiç konuşmayan bir cihazı almaz; o cihaz için MAC doğrulaması önceden açılmalıdır. Switch’te bunu ve izleme kipi kapanınca içeridekilerin anında çıkarıldığını switch 802.1X yapılandırması yazımızda ölçtüm.

Çok Faktörlü Doğrulama Nereye Konur?

Çok faktörlü kimlik doğrulama, ağın her kapısına değil dışarıya bakan kapılara ve en yetkili hesaplara konur. Kapıdaki görevlinin kimlik yanında bir de giriş belgesi istemesi gibi: parola bildiğiniz bir şey, ikinci faktör ise elinizde olan bir şeydir ve parolanın çalınması tek başına yetmez.

Sıralama önemlidir, çünkü hepsini birden açmak projenin en sık takıldığı yerdir. Önce uzaktan erişim (VPN ve uzak masaüstü), sonra yönetici hesapları, sonra dışa bakan uygulamalar. Kablolu ağdaki günlük kullanıcı girişi bu listenin sonundadır: orada zaten cihaz sertifikası ve dizin hesabı birlikte çalışıyorsa, üstüne bir katman daha koymak günlük işi yavaşlatır ve karşılığında az şey kazandırır.

Sahada Ne Yaptık?

Bu işin en yoğun hali, tek bir merkezden yönetilen çok lokasyonlu bir ağda kurulmasıdır:

• NPS ve 802.1X ile kişisel hesaba geçiş: switch girişleri paylaşılan parolalardan kişisel Active Directory hesaplarına taşındı, kablosuz taraf için ayrı bir sertifika sunucusu kuruldu ve iş bir haftada tamamlandı. O projede öğrendiğimiz şey şuydu: zor olan kurulum değil, hangi cihazın hangi gruba ait olduğuna karar vermek.

Teknik derinlik için üç adres var. Kapının arkasında ne olup bittiği, yani doğrulama sunucusunun dört mesajı, EAP yöntemleri arasındaki fark ve bağlanamayan kullanıcıda izlenecek teşhis sırası RADIUS sunucusu rehberimizde; aynı sunucunun Linux tarafındaki kurulumu adım adım FreeRADIUS rehberimizde; sertifika tabanlı doğrulamanın dayandığı iç sertifika otoritesi ise sertifika otoritesi nedir yazımızda anlatılıyor.

Ağ Erişim Kontrolü Fiyatını Ne Belirler?

Bandın nerede oturacağını dört kalem belirler ve dördü de keşifte görülebilir.

• Mevcut altyapının hazır olup olmaması. Kurulabilir bir sunucu var mı, kablosuz denetleyici ayarlı mı, dizin grupları ve GPO’lar bu işe uygun mu? Bu dördü hazırsa iş yapılandırmadır; değilse önce kurulacak bir katman var demektir.
• Kullanıcı ve cihaz sayısı. Policy sayısı kullanıcıyla değil grupla artar, ama ayıklama aşamasının süresi doğrudan cihaz sayısına bağlıdır.
• Lokasyon sayısı. Her lokasyonun kendi switch’leri, kendi kenar durumları ve kendi devreye alma penceresi olur; iş adres sayısıyla büyür.
• Sertifika mı, parola mı? Sertifika tabanlı doğrulama daha güçlüdür ve bir sertifika altyapısı ile dağıtım planı ister; parola tabanlı yöntem daha hızlı kurulur.

Teklifleri karşılaştırırken tek soru işinizi görür: izleme kipi var mı? Doğrudan zorlamayla başlayan bir plan, ayıklama işini sizin üstünüze yıkıyordur ve o iş devreye alma günü, en pahalı biçimde yapılır.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn