Switch 802.1X Yapılandırması: MAB ve İzleme Kipi

Switch 802.1X yapılandırması, bir erişim portunu ona takılan cihazın kimliği doğrulanana kadar kapalı tutmaktır. Switch cihaza kimliğini sorar, cevabı bir RADIUS sunucusuna iletir ve portu yalnız sunucudan kabul gelirse açar. Bu yazıda ayar satırlarını lab switch’imde yazıyor, kabul ve ret akışını ölçüyor, yazıcı ve kamera gibi 802.1X konuşamayan cihazlar için MAB’i ve geçişin güvenli yolu olan izleme kipini kuruyorum.

Ölçümün en pahalı dersi ilk satırdaydı. 802.1X’i açan tek satır switch’in 52 portunu aynı saniyede kapattı. Kabulün 28 milisaniye, reddin bir saniye, MAC adresiyle girişin 90 saniye sürdüğünü ve MAB ile içeride olan bir bilgisayarın neden her yirmi dakikada bir ağdan düştüğünü de aşağıda gösteriyorum.

Süpermarket şubesinde raf gözüne ürün dizmeye gelen firma elemanı, rafa dokunmadan önce adını söyler. Şube bu adı kendisi bilmez, merkezdeki onay masasını arar. Cevap gelene kadar rafın önünde bir ip gerili kalır. Masa “tamam” derse ip kalkar, “hayır” derse eleman rafa yaklaşamaz. 802.1X’te raf gözü switch portudur, eleman ağa bağlanan cihazdır, onay masası da RADIUS sunucusudur.

Bu yazı switch yapılandırma rehberimizdeki erişim portlarını korumak adımının 802.1X tarafıdır ve Kurumsal Network Kurulumu hizmetimize aittir. 802.1X’in protokol tarafını, yani üç rolü ve PEAP ile EAP-TLS farkını RADIUS nedir yazımızda anlattık. Bu işi müşterilerimizin ağında envanterden zorunlu kipe kadar nasıl yürüttüğümüzü de ağ erişim kontrolü sayfamızda açıkladık.

Switch 802.1X Yapılandırmasından Önce: Üç Rol ve Hazırlık

802.1X’te üç taraf konuşur ve switch ortadakidir. Cihaz kimliğini sunan taraftır (supplicant), switch soruyu soran ve kararı porta uygulayan taraftır (authenticator), RADIUS sunucusu da kararı veren taraftır. Switch kararı kendisi vermediği için yapılandırma switch’ten değil sunucudan başlar.

Switch’te ilk satırı yazmadan önce beş şeyi hazırlıyorum:

1. RADIUS sunucusu switch’i tanıyor. Switch sunucuda bir istemci olarak kayıtlı ve paylaşılan anahtar iki tarafta aynı. Sunucunun kurulumunu FreeRADIUS kurulumu ve Windows Server NPS kurulumu rehberlerimizde anlattık.
2. Konsol kablosu takılı. 802.1X’i açan satır portları kapatır ve SSH ile bağlı olduğunuz port da onların arasındadır. Değişikliği bu yüzden konsoldan yapıyorum.
3. Açık kalacak portların listesi hazır. Uplink’ler, başka switch’lere giden portlar, sunucular ve access point’ler kimlik sormadan açık tutulur. Bunun neden şart olduğunu bir sonraki bölümde ölçtüm.
4. 802.1X konuşamayan cihazların listesi hazır. Yazıcı, IP kamera ve kartlı geçiş panosu gibi cihazlar MAC adresiyle alınır. Bu cihazların hangi porta bağlı olduğunu LLDP ve switch’in MAC tablosundan çıkarabilirsiniz.
5. İstemcilerin ayarı hazır. Windows’ta kablolu 802.1X istemcisi (Wired AutoConfig servisi) varsayılan olarak kapalıdır. Servis açılmadığı sürece bilgisayar switch’in sorusuna hiç cevap vermez.

Switch’te 802.1X’i Açmak: Tek Satır, Bütün Portlar

Sunucu hazır, konsol takılı. Şimdi switch’e sunucuyu tanıtıp 802.1X’i açıyorum.

Switch’te 802.1X üç parçayla açılır. Önce sunucu tanımlanır, sonra 802.1X sorularının RADIUS’a gideceği söylenir, en son genel anahtar açılır:

configure
radius-server host auth 192.168.1.129
key "<paylaşılan anahtar>"
exit
aaa authentication dot1x default radius
dot1x system-auth-control
exit

Bu switch’in fabrika ayarında her portun 802.1X kipi zaten auto idi. Genel anahtar kapalıyken bu kip hiçbir şey yapmaz:

gmsw01#show dot1x
Administrative Mode............... Disabled
...
Port      Admin Mode         Oper Mode               Reauth   Reauth
                                                     Control  Period
--------- ------------------ ----------------------- -------- ----------
Gi1/0/1   auto               N/A                     FALSE    3600
Gi1/0/2   auto               Authorized              FALSE    3600
Gi1/0/3   auto               N/A                     FALSE    3600
...

auto, portun kimlik sormaya hazır olduğunu söyler ve eksik olan tek şey genel anahtardır. Bu yüzden dot1x system-auth-control satırı port port değil, bütün switch’te birden devreye girer. Anahtarı açtığım saniye switch’in logu şunu yazdı:

<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 274 %% Gi1/0/1 status is Unauthorized
<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 275 %% Gi1/0/2 status is Unauthorized
<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 277 %% Gi1/0/3 status is Unauthorized
...
<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 326 %% Gi1/0/48 status is Unauthorized
...
<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 330 %% Te1/0/4 status is Unauthorized
<189> Sep 28 02:40:49 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 331 %% Link Down: Vl5

Aynı saniyede 48 bakır portun ve 4 adet 10 gigabit portun hepsi Unauthorized oldu, kablo takılı olmayanlar dahil. Bilgisayarımın bağlı olduğu Gi1/0/2 kapandı ve VLAN 5 arayüzü düştü. Bu satırı SSH’tan yazsaydım oturumum da aynı saniyede giderdi.

En pahalı kayıp uplink ve switch’ler arası portlardadır. Bu portlar da Unauthorized olunca switch ağın geri kalanından kopar; ona zincirle bağlanmış başka bir switch varsa onun kullanıcıları da aynı saniyede gider.

Uplink ve Sunucu Portları: force-authorized

Kimlik sormayacak portlar force-authorized kipine alınır. Bu kipte port, 802.1X açık olsa bile soru sormadan açık kalır. Bu satırları genel anahtardan önce yazın:

configure
interface gi1/0/1
dot1x port-control force-authorized
exit
exit

Etkisini bilgisayarımın portunda ölçtüm, çünkü uplink portumda kablo yoktu. 802.1X zorunlu kipteyken bilgisayar kimlik doğrulamasını geçemiyordu ve switch’e 150 saniye boyunca attığım ping’lerin hiçbiri cevap almadı. Aynı portu force-authorized yaptığım anda ilk ping cevap verdi:

gmsw01#show dot1x interface gi1/0/2
...
Port      Admin Mode         Oper Mode               Reauth   Reauth
                                                     Control  Period
--------- ------------------ ----------------------- -------- ----------
Gi1/0/2   force-authorized   Authorized              FALSE    3600
...
Authenticator PAE State........................ Force Authorized

Bir tuzağı da not edin. force-authorized yaptığım Gi1/0/1 da 802.1X’i açtığım anda logda Unauthorized diye geçti, çünkü switch açılış anında 52 portun hepsi için bu satırı basıyor. Portun gerçek durumunu log değil, show dot1x interface çıktısındaki Oper Mode söyler.

RADIUS Cevap Vermezse Port Açılmaz

Lab switch’im masamda duruyor ve o gün RADIUS sunucusunun bulunduğu ağa bağlı değildi. Bu, 802.1X’in bir sunucu arızasında ne yaptığını görmek için iyi bir fırsattı. Bilgisayar kimliğini söyledi, switch onu aldı ama sunucuya iletemedi:

gmsw01#show dot1x interface gigabitethernet 1/0/2 statistics
...
Last EAPOL Frame Source........................ 5811.22B1.0E54
EAP Response/Id Frames Received................ 1
...
gmsw01#show radius statistics
...
Server Host Address............................ 192.168.1.129
...
Access Requests................................ 0

Switch’in logu sebebi yazıyordu:

<189> Sep 28 02:40:49 gmsw01-1 RADIUS[radius_task]: radius_txrx.c(973) 292 %% RADIUS: Failed to send the request. A problem communicating with the RADIUS server.
<189> Sep 28 02:40:49 gmsw01-1 DOT1X[dot1xTask]: dot1x_radius.c(251) 294 %% Failed to authenticate on logical interface Gi1/0/32 due to radius comm failure.

Port Unauthorized kaldı ve kimlik doğrulayıcının durumu Held oldu. 802.1X arızada kapalı kalır, yani sunucuya ulaşılamıyorsa kimse girmez. Zorunlu kipe geçmeden önce ikinci bir RADIUS sunucusu kurmanın sebebi budur. Tek RADIUS sunucusunun neden yetmediğini RADIUS yazımızda anlattık.

Logdaki logical interface Gi1/0/32 fiziksel 32. port değildir. Switch her cihaza bir mantıksal port numarası veriyor ve bu lab’da o numara 32’ydi; fiziksel port Gi1/0/2 idi. Arıza ararken yanlış kabloya gitmemek için bunu bilin.

802.1X Kabul ve Ret: Switch ile RADIUS Arasında Ne Konuşuluyor?

Switch’im sunucuya ulaşamadığı için kabul ve reddi gerçek switch’te ölçemedim. 802.1X’in iki ucunu bu yüzden Veri Merkezi’ndeki iki sanal switch’e, vmsw01 ve vmsw02’ye kurdum. Adlardaki vm Veri Merkezi’nin lokasyon kodudur. Kurulum şöyleydi:

• vmsw01 kimlik soran switch’ti. Açık kaynak hostapd bir portunda 802.1X kimlik doğrulayıcısı olarak çalıştı.
• vmsw02 kimliğini sunan cihazdı. wpa_supplicant kullanıcı adı ve parolayla, PEAP ile girmeye çalıştı.
• radius01 kararı verdi. Üzerinde FreeRADIUS çalışıyordu.

PEAP’te sunucu kararı tek turda vermez. Her Access-Request’e bir Access-Challenge ile karşılık verip konuşmayı sürdürür, kararı en son Access-Accept ya da Access-Reject ile bildirir. Süreyi cihazın ilk 802.1X çerçevesinden (EAPOL-Start) portun kararına kadar ölçtüm.

Üç deneme yaptım ve her birinde kimlik doğrulayıcının logunu, iki cihaz arasındaki çerçeveleri ve RADIUS paketlerini birlikte kaydettim:

Kabul denemesinde kimlik doğrulayıcının logu şöyleydi. Satır başındaki zaman damgalarını çıkardım:

port2: STA 00:50:56:3a:02:02 IEEE 802.1X: received EAPOL-Start from STA
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: unauthorizing port
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: STA identity 'ilker.pehlivan'
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: decapsulated EAP packet (code=1 id=45 len=22) from RADIUS server: EAP-Request-MD5 (4)
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: received EAP packet (code=2 id=45 len=6) from STA: EAP Response-unknown (3)
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: decapsulated EAP packet (code=1 id=46 len=6) from RADIUS server: EAP-Request-PEAP (25)
...
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: decapsulated EAP packet (code=3 id=53 len=4) from RADIUS server: EAP Success
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: authorizing port
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: authenticated - EAP type: 25 (PEAP)

Bu logda üç şeye bakılır:

1. Kullanıcı adı açıkta gider. STA identity 'ilker.pehlivan' satırı, adın şifreli tünel kurulmadan önce geçtiğini gösterir; switch onu okur ve loglar. Parola tünelin içindedir ve switch onu görmez.
2. Önce yöntem pazarlığı yapılır. Sunucu önce EAP-MD5 önerdi, çünkü FreeRADIUS’un varsayılanı budur. Cihaz bunu reddetti (Response-unknown (3)), sunucu da PEAP önerdi.
3. Karar son satırda porta uygulanır. EAP Success gelince kimlik doğrulayıcı authorizing port yazdı ve port açıldı.

Örnekteki mağaza şubesinde firma elemanı adını kapıda yüksek sesle söyler, parolasını ise mühürlü bir zarfta verir. Şube zarfı açmadan merkeze gönderir. Adı herkes duyar, parolayı yalnız merkez okur.

Ret denemeleri iki şey daha gösterdi:

1. Ret bir saniye gecikir. Kabul 28 milisaniyede gelirken ret 1,02 saniye sürdü. FreeRADIUS reddi kasıtlı olarak bir saniye bekletir (reject_delay = 1), çünkü bu bekleme art arda parola deneyen birini yavaşlatır.
2. Switch yanlış parolayla olmayan kullanıcıyı ayırt edemez. İki denemede mesaj sayısı da süre de aynıydı. Parola kontrolü tünelin içinde yapılır ve switch’e yalnız “hayır” ulaşır. Sebebi RADIUS sunucusunun logunda arayın.

Örnekteki mağaza şubesinde onay masası “hayır” derken sebebini söylemez. Şube görevlisi elemanın adının mı yanlış olduğunu, yoksa kaydının mı olmadığını bilemez; bunu yalnız merkez bilir.

Çıkış: Port, Cihaz Haber Verince Kapanır

İşini bitiren cihaz “çıkıyorum” der. 802.1X’te bunun adı EAPOL-Logoff çerçevesidir ve kimlik doğrulayıcı onu aldığı anda portu kapattı:

port2: STA 00:50:56:3a:02:02 IEEE 802.1X: authenticated - EAP type: 25 (PEAP)
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: received EAPOL-Logoff from STA
port2: STA 00:50:56:3a:02:02 IEEE 802.1X: unauthorizing port

Cihaz yeniden giriş istediğinde port 19,5 milisaniyede açıldı. İstemci programını çıkış göndermeden kapattığımda ise hatta logoff çerçevesi hiç gitmedi ve port, kimlik doğrulayıcı durana kadar yetkili kaldı. Gerçek bir switch’te kablo çekilince bağlantı düşer ve port kapanır; sanal hatta bağlantı düşmediği için bu durumu bu lab’da ölçmedim.

MAB: 802.1X Desteklemeyen Cihazı MAC Adresiyle Almak

MAB (MAC Authentication Bypass), 802.1X konuşamayan bir cihazı MAC adresiyle ağa almaktır. Switch önce 802.1X ile kimlik sorar. Cevap gelmezse cihazın MAC adresini kullanıcı adı ve parola yerine koyup sunucuya kendisi sorar. Yazıcı, IP kamera ve kartlı geçiş panosu gibi 802.1X istemcisi olmayan cihazlar bu yolla girer.

Bazı teslimatlarla adını söyleyecek bir eleman gelmez, yalnız barkodlu koliler gelir. Görevli bir süre “Kim getirdi?” diye sorar, cevap alamayınca kolinin barkodunu onaylı listede arar. MAC adresi kolinin barkodudur.

Lab switch’im RADIUS’a ulaşamadığı için MAB’i switch’in kendi iç kullanıcı listesiyle (IAS) ölçtüm. MAC adresi bu listede hem kullanıcı adı hem parola olarak, ayraçsız 12 büyük harfle durur:

configure
aaa authentication dot1x default ias
aaa ias-user username 581122B10E54
password 581122B10E54
exit
interface gi1/0/2
dot1x port-control mac-based
dot1x mac-auth-bypass
exit
exit

Porttaki iki satırın işi ayrıdır:

1. dot1x port-control mac-based portun arkasındaki her cihazı ayrı ayrı doğrulamasını sağlar.
2. dot1x mac-auth-bypass 802.1X cevabı gelmezse MAC adresine geçilmesini sağlar.

RADIUS kullandığınızda MAC adresi sunucuda bir kullanıcı olarak kayıtlı olur. Switch’in bu adresi RADIUS’a hangi biçimde gönderdiğini (ayraçla mı, küçük harfle mi) bu lab’da ölçmedim. İlk isteği sunucunun logunda görün ve listeyi o biçimle yazın.

Bilgisayarımın 802.1X istemcisi kapalıydı, yani switch’in gözünde bir yazıcıdan farkı yoktu. Portu kapatıp açtım ve logu izledim:

<189> Sep 28 03:49:52 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 502 %% Link Up: Gi1/0/2
<189> Sep 28 03:49:52 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 503 %% Gi1/0/2 status is Unauthorized
<189> Sep 28 03:51:22 gmsw01-1 DOT1X[dot1xTask]: dot1x_local.c(176) 508 %% Local Dot1x Authenticated Successfully.
<189> Sep 28 03:51:22 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 509 %% Gi1/0/2 status is authorized

Kablo bağlandıktan tam 90 saniye sonra port açıldı. Switch bu sürede 802.1X ile kimlik sordu ve cevap bekledi, cevap gelmeyince MAC adresine geçti. Beklemenin süresini portun zamanlayıcıları belirler (Transmit Period 30, Maximum Requests 2, Guest-vlan Timeout 90); hangisinin ne kadar katkı verdiğini tek tek ölçmedim. Sonuç şudur: MAB ile giren her cihaz, her bağlanışında bir buçuk dakika ağsız kalır.

Cihazın hangi yolla girdiğini show dot1x clients söyler:

gmsw01#show dot1x clients gigabitethernet 1/0/2
Interface...................................... Gi1/0/2
User Name...................................... 581122B10E54
Supp MAC Address............................... 5811.22B1.0E54
Session Time................................... 295
Filter Id......................................
VLAN Assigned.................................. 5

User Name alanında MAC adresi duruyorsa cihaz MAB ile girmiştir.

MAB’in Zayıf Yanı: MAC Adresi Kopyalanabilir

MAB bir kimlik doğrulaması değil, bir tanımadır. MAC adresi cihazın gönderdiği her çerçevede açıkça yazar ve çoğu işletim sisteminde ağ kartının ayarından değiştirilebilir. Listedeki bir yazıcının adresini öğrenen biri o adresi kendi bilgisayarına yazıp aynı porttan girebilir.

Market benzetmesinin koptuğu yer de burasıdır. Görevli barkodun fotokopi olduğunu anlamaz, switch de MAC adresinin kopya olduğunu anlamaz. Bu yüzden MAB ile giren cihazları ayrı bir VLAN’a alın ve o VLAN’ı yalnız ihtiyaç duyduğu yere açın. Yazıcılar yazıcı sunucusuna, kameralar kayıt cihazına ulaşsın, başka hiçbir yere ulaşmasın. VLAN’lar arası izinleri nasıl planladığımızı ağ segmentasyonu yazımızda anlattık.

802.1X İzleme Kipi: Kimseyi Dışarıda Bırakmadan Listeyi Çıkarmak

MAB listesi hazır, 802.1X satırları yazıldı. Zorlamaya geçmeden önceki son adım izleme kipidir. İzleme kipi (monitor mode), 802.1X’i açıp kararı uygulamadan yalnız kaydetmektir. Kimlik doğrulaması başarısız olan cihaz yine içeri alınır ve switch bunu loga yazar. Amaç, zorlamayı açmadan kimin dışarıda kalacağını görmektir. Yöntemi ağ erişim kontrolü sayfamızda anlattık; burada switch tarafındaki davranışını ölçüyorum.

Örnekteki mağaza şubesi, ad sorma kuralının ilk haftasında listede olmayan elemanı da rafa alır ama defterine yazar. Hafta sonunda defter, kural zorunlu olduğunda kimin rafın önünde kalacağının listesidir.

İzleme kipi iki satırla açılır:

configure
dot1x system-auth-control
dot1x system-auth-control monitor
exit

Üç ölçüm yaptım ve üçü de bu kipin sınırını gösteriyor:

1. monitor satırı tek başına 802.1X’i açmaz. 802.1X kapalıyken yalnız ikinci satırı yazdığımda Monitor Mode Enabled göründü ama Administrative Mode Disabled kaldı. Switch hiç kimlik sormadı ve port sorgusuz açıktı. Bu izleme değil, 802.1X’in kapalı hâlidir.
2. Reddedilen cihaz içeri alındı ve loga düştü. Portta MAB açıktı ama bilgisayarın MAC adresini listeye yazmamıştım. Port açıldıktan 90 saniye sonra MAB reddedildi ve port yine de açıldı.
3. Hiç konuşmayan cihaz izleme kipinde de dışarıda kaldı. MAB kapalıyken, 802.1X istemcisi de kapalı olan bilgisayarın portu 100 saniye sonra hâlâ Unauthorized idi. Switch kimlik sormaya devam ediyordu (Authenticator PAE State Connecting) ve hiç cevap alamadı.

İkinci ölçümde switch reddi ve açılışı aynı saniyede yazdı:

<189> Sep 28 05:10:34 gmsw01-1 DOT1X[dot1xTask]: dot1x_local.c(276) 860 %% Failed to Process Local Auth Response, User Not Found. Authenticated through Monitor Mode.
<189> Sep 28 05:10:34 gmsw01-1 TRAPMGR[trapTask]: traputil.c(735) 861 %% Gi1/0/2 status is authorized

İkinci ve üçüncü ölçüm birlikte okununca izleme kipinin kuralı belli olur. Kip yalnız başarısız olan denemeyi affeder, hiç başlamayan denemeyi affetmez. 802.1X konuşamayan her cihaz için MAB’i izleme haftasından önce açın. Açmazsanız bu cihazlar izleme haftasında da ağsız kalır ve defterde bile görünmez.

Zorlamaya Geçiş: İzleme Kipiyle Girenler Anında Çıkarılır

İzleme kipini kapattığım saniye, o kiple içeri alınmış cihaz portundan çıkarıldı. Switch bunu konsola hata seviyesinde yazdı:

gmsw01(config)#no dot1x system-auth-control monitor

gmsw01(config)#
<187> Sep 28 05:12:59 gmsw01-1 DOT1X[dot1xTask]: dot1x_control.c(7108) 870 %% Interface Gi1/0/32 moved from authenticated state as monitor mode is not operational.

Zorlama açıldıktan sonra aynı bilgisayarla 150 saniye bekledim ve port bir daha açılmadı. Defterdeki liste boşalmadan izleme kipini kapatırsanız, listede kalan her cihaz o saniyede ağdan düşer.

Switch 802.1X Yapılandırmasını Doğrulamak

Kurulum bitti. Şimdi hangi portun neden açık ya da kapalı olduğunu switch’in kendisinden okuyoruz. İlk bakılacak yer show dot1x interface çıktısıdır:

gmsw01#show dot1x interface gigabitethernet 1/0/2
Administrative Mode............... Enabled
Dynamic VLAN Creation Mode........ Disabled
VLAN Assignment Mode.............. Disabled
Monitor Mode...................... Disabled

Port      Admin Mode         Oper Mode               Reauth   Reauth
                                                     Control  Period
--------- ------------------ ----------------------- -------- ----------
Gi1/0/2   mac-based          Authorized              FALSE    3600
...
MAB mode (configured).......................... Enabled
MAB mode (operational)......................... Enabled

Logical Supplicant     AuthPAE            Backend    VLAN Username      Filter
Port    MAC-Address    State              State       Id                 Id
------- -------------- ------------------ ---------- ---- ------------- ------
32      5811.22B1.0E54 Authenticated      Idle       5    581122B10E54

Bu çıktıda beş yere bakılır:

1. Administrative Mode 802.1X’in genel anahtarıdır. Disabled ise port hangi kipte olursa olsun kimlik sorulmaz.
2. Monitor Mode Enabled ise ret uygulanmaz, yalnız loga yazılır.
3. Admin Mode portun kipini gösterir. auto kimlik sorar, mac-based her cihazı ayrı sorar, force-authorized hiç sormaz.
4. Oper Mode portun o anki kararıdır. Authorized açık, Unauthorized kapalı demektir; N/A portta bağlantı olmadığını gösterir.
5. Alttaki tablo mac-based portta her cihaz için bir satır taşır. Username alanında MAC adresi yazıyorsa cihaz MAB ile girmiştir. Logical Port sütunundaki 32, logdaki Gi1/0/32’nin kaynağıdır.

Kapalı bir portta ikinci bakılacak yer sayaçlardır. Switch’in sorduğu ile cihazın cevapladığı arasındaki fark, sorunun hangi tarafta olduğunu söyler:

gmsw01#show dot1x interface gi1/0/2 statistics
Port........................................... Gi1/0/2
EAPOL Frames Received.......................... 7
EAPOL Frames Transmitted....................... 54
EAPOL Start Frames Received.................... 3
...
EAP Response/Id Frames Received................ 4
...
EAP Request/Id Frames Transmitted.............. 34

Bu sayaçlar switch açıldığından beri birikir. Switch bu portta 34 kez kimlik sormuş, 4 cevap almış. Cevaplar sorulardan çok azsa cihazın 802.1X istemcisi kapalıdır ya da hiç yoktur ve sorun cihazdadır. Cevaplar geliyor ama port kapalı kalıyorsa bakılacak yer RADIUS sunucusunun logudur.

Switch’in logunda karşılaştığım satırlar şunlardı:

Sayaçtaki EAPOL Start Frames Received 3 satırı bir sonraki bölümün ipucudur. Bu portta bir cihaz, switch sormadan üç kez kendiliğinden kimlik göndermeye başlamıştı.

802.1X İstemcisi ile MAB Çakışması: 20 Dakikada Bir Kopan Bilgisayar

MAB ile içeri alınmış bir Windows bilgisayarın 802.1X istemcisi açık kalırsa, bilgisayar her yirmi dakikada bir yaklaşık üç dakika ağdan düşer. Lab’da bunu switch’in logunu Windows’un event log’uyla yan yana koyarak ölçtüm.

Bilgisayarın 802.1X istemcisi açıktı ve kimliği ilker.pehlivan idi. Portta MAB kuruluydu: switch’in iç listesinde bilgisayarın MAC adresi vardı, ilker.pehlivan yoktu. İki günlüğü yan yana okuyabilmek için önce switch’in saatini bilgisayarla aynı NTP kaynağına ve aynı saat dilimine bağladım; üç okumada iki saat arasındaki fark bir saniyenin altında kaldı. Sonra 802.1X’i açtım:

İki saat sütunu aynı saati gösteriyor, çünkü iki cihaz aynı NTP kaynağından besleniyordu. İki cihazın günlüğünü yan yana okuyacaksanız önce saatlerini aynı kaynağa ve aynı saat dilimine bağlayın. Saat dilimi girilmemiş bir switch günlüğe UTC yazar ve her satırda farkı elle hesaplamanız gerekir; ayarını switch NTP ayarı yazımızın saat dilimi bölümünde anlattık.

Ölçümden dört şey çıktı:

1. Windows’un bekleme süresi retin gerekçesine bağlı. Kimlik doğrulama yöntemi uyuşmayınca (“Açık Eap hatası alındı”) 600 saniye, kimlik bulunamayınca (“Bu profille kaydedilen kimlik bilgileri geçersiz”) 1200 saniye bekledi. Döngünün yirmi dakikası ikincisinden geliyor ve üç deneme bir saniye sapmayla yirmi dakika arayla geldi. Sanal lab’daki Linux istemcisi ise retten sonra 47 saniye boyunca hiç yeniden denemedi; bu aralık istemci yazılımına göre değişir.
2. Her deneme MAB yetkisini de düşürdü. Switch’in User Not Found satırı ile portun Unauthorized olması aynı saniyede.
3. MAB’in cihazı geri alması üç dakika sürdü. Üç turun üçünde de tam üç dakika; yirmi dakikanın üçü kesintiydi.
4. Switch’in sayacı Windows’la örtüşüyor. EAPOL Start Frames Received, Windows’un kendiliğinden başlattığı her denemede bir arttı: 08:35:56 denemesiyle 4’ten 5’e, 08:55:56 denemesiyle 6’ya çıktı. Switch’in başlattığı konuşmalar Start olarak sayılmıyor. Bu sayaç clear counters ile sıfırlanmadı, bu yüzden değerine değil artışına bakın.

Windows bekleme süresini olayın içine kendisi yazıyor. 08:15:57’deki 15506 olayının metni şöyleydi:

TimeCreated : 29.09.2026 08:15:57
Id          : 15506
Message     : Ağ kimlik doğrulaması denemeleri bu ağ bağdaştırıcısında geçici olarak askıya alındı.
...
              	Neden Kodu: Bu profille kaydedilen kimlik bilgileri geçersiz
              	Engelleme süreölçer uzunluğu (saniye): 1200

Örnekteki mağaza şubesinde barkodu listede olan teslimatla gelen eleman, yirmi dakikada bir görevliye listede olmayan bir adla kendini tanıtıyor. Görevli adı bulamayınca elemanı raftan çıkarıyor, üç dakika sonra barkoda bakıp yeniden alıyor.

Çözüm iki yoldan biridir:

1. Cihaz 802.1X ile girecekse kimliğini RADIUS sunucusunda tanımlayın.
2. Cihaz MAB ile girecekse 802.1X istemcisini kapatın. Windows’ta bu istemci Wired AutoConfig servisidir.

Kullanıcı “her yirmi dakikada bir birkaç dakikalığına internet gidiyor” diyorsa önce bu döngüye bakın. Windows’un event log’undaki 15514 (kimlik doğrulaması başarısız), 15506 (denemeler askıya alındı) ve 15507 (denemeler yeniden başladı) olayları düzeni tek bakışta gösterir:

Get-WinEvent -LogName 'Microsoft-Windows-Wired-AutoConfig/Operational' -MaxEvents 200 | Where-Object Id -in 15506,15507,15514 | Sort-Object TimeCreated | Format-Table TimeCreated, Id -AutoSize

TimeCreated            Id
-----------            --
...
29.09.2026 08:15:57 15507
29.09.2026 08:15:57 15514
29.09.2026 08:15:57 15506
29.09.2026 08:35:56 15507
29.09.2026 08:35:56 15514
29.09.2026 08:35:56 15506
29.09.2026 08:55:56 15507
29.09.2026 08:55:56 15514
29.09.2026 08:55:56 15506

On ve yirmi dakikalık beklemeleri bu bilgisayarda (Windows 11) ölçtüm; olay metni süreyi kendisi yazıyor, Microsoft’un belgelerindeki karşılığını aramadım.

Switch 802.1X Yapılandırmasında Sık Yapılan Hatalar

• 802.1X’i SSH’tan açmak. Açılış anında bütün portlar kapandı ve bağlı olduğunuz port da onların arasındadır.
• Uplink’i muaf tutmadan açmak. Rampaya ip gerilir ve arkadaki switch’in bütün kullanıcıları kopar. force-authorized satırları genel anahtardan önce yazılır.
• Tek RADIUS sunucusuyla zorlamaya geçmek. Sunucuya ulaşılamayınca port kapalı kaldı (radius comm failure, durum Held).
• İzleme kipini tek satırla açmak. monitor satırı 802.1X’i açmıyor, iki satır birlikte gerekir.
• MAB’i açmadan izleme kipine güvenmek. Hiç konuşmayan cihaz izleme kipinde de dışarıda kaldı.
• MAB’i kimlik doğrulaması sanmak. MAC adresi kopyalanabilir, bu yüzden MAB ile girenler ayrı bir VLAN’a alınır.
• MAB ile giren bilgisayarda 802.1X istemcisini açık bırakmak. Bilgisayar her yirmi dakikada bir üç dakika ağdan düşer.
• Logdaki Unauthorized satırına güvenmek. force-authorized port da açılış anında bu satırı bastı; gerçek durumu show dot1x interface söyler.

Sonuç: 802.1X’i Açmak Bir Satır, Portları Açık Tutmak Bir Plan

Switch 802.1X yapılandırması üç parçayla açılır ve lab’da sonuncusu 52 portu birden kapattı. Kabul 28 milisaniyede, ret bir saniyede, MAC adresiyle giriş 90 saniyede geldi. Asıl iş satırlar değil sıralamadır:

1. Uplink, sunucu ve yönetim portlarını force-authorized yapın.
2. 802.1X konuşamayan cihazları MAB listesine yazın.
3. İzleme kipini açın ve logdaki Authenticated through Monitor Mode satırları bitene kadar listeyi düzeltin.
4. İkinci RADIUS sunucusu ayaktayken zorlamaya geçin.

Örnekteki mağaza şubesinin müdürü, “bundan sonra her rafta ad sorulacak” anonsunu yapmadan önce rampayı kuraldan muaf tutar, barkodla gelecek teslimatları listeye yazar ve ilk hafta defter tutar. Anons en son yapılır.

Erişim portlarını korumanın öbür yarısı, ağa takılan sahte bir DHCP sunucusunu durdurmaktır; onu switch DHCP snooping yapılandırması yazımızda ölçtüm. 802.1X’in bir switch’i canlıya alma sırasındaki yerini switch yapılandırma rehberimizde gösterdik.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn