Ağ Erişim Kontrolü: NPS ve 802.1X ile Kişisel Hesap

Bu projeyi Sistem Kuşu kurulmadan önce, kurumun BT ekibinde çalıştığım dönemde ben yürüttüm.

Yıllardır değişmemiş ortak bir switch parolası, onu bir kez öğrenen herkeste geçerli kalır: ekipten ayrılan biri olduğunda erişim de onunla birlikte kurumun dışına çıkar. Diğer projelerle eş zamanlı olarak, tüm lokasyonlardaki switch ve Wi-Fi erişimini bu paylaşılan statik şifrelerden kişisel AD hesaplarına taşıyarak bu riski kapattık.

Sorun

Lokasyonlardaki switch ve Wi-Fi girişleri, ağ yöneticileri arasında paylaşılan ortak bir parolayla yapılıyordu. Bu, sahada en sık karşılaşılan düzendir ve bilinen iki sınırı vardır: parola değişmediği sürece onu bilen herkeste geçerli kalır, ve kimin hangi cihaza ne zaman girdiği kayıt altına alınmaz.

İkisi de kurum büyüdükçe ağırlaşır. Tek bir ofiste ortak parolayı bilen üç kişi vardır ve üçü de aynı odadadır; lokasyon sayısı arttıkça o parolayı bilenlerin listesi kimsenin tutmadığı bir listeye döner.

Neden bu yol?

En hızlı çözüm parolayı değiştirmekti ve işe yaramazdı: yeni parola da paylaşılacağı için aynı noktaya birkaç ay sonra geri dönülürdü. Kalıcı olan, parolayı değiştirmeyi gereksiz kılan yapıydı.

Bunun için ağ cihazlarının kimlik doğrulamasını kurumun zaten kullandığı dizine bağladık. Ayrı bir kullanıcı veritabanı kurmak da mümkündü ama ikinci bir kimlik kaynağı, ilk gün senkron olan ve sonraki her ay biraz daha ayrışan bir liste demektir. Kimlik tek yerde durursa, işten ayrılan birinin erişimi de tek yerde kapanır.

Nasıl kurduk?

Veri merkezindeki bir sanal sunucuya Windows NPS (Network Policy Server) kurup, tüm lokasyonlardaki switch’lerin girişini AD’de ağ yöneticilerine özel bir güvenlik grubuna bağladık. Artık her yönetici kendi AD hesabıyla giriş yapıyor; stajyerlere ise configleri bozmasınlar diye salt okunur (read-only) yetki veriliyor.

Merkezi doğrulamanın erişilemediği durumlar için ayrı bir acil erişim planı tanımladık: sınırlı yetkili, kayıt altında tutulan bir yerel giriş yolu. Ayrı bir katman olarak, cihazların Wi-Fi’ye girişini sertifika tabanlı 802.1X ile doğrulayan bir sertifika sunucusu kurduk. Aynı dönemde artan sunucu sayısını tek yerden yönetmek için Windows Admin Center’ı da devreye aldık. Tüm kurulum 1 hafta sürdü.

Devreye alındıktan sonra

Her switch girişi artık AD hesabıyla kayıt altında: kim, ne zaman, hangi cihaza bağlandı sorusu saniyeler içinde cevaplanabiliyor. Ekipten biri ayrıldığında yapılacak iş de tek bir adıma indi, hesabının kapatılması.

Bu projede kullanılan protokolün nasıl çalıştığını, 802.1X ile arasındaki farkı ve bir kullanıcı bağlanamadığında izlenecek teşhis sırasını RADIUS sunucusu nedir rehberimizde ele alıyoruz. Ağ erişim kontrolü mimarisi hakkında daha fazla bilgi için Kurumsal Network Kurulumu hizmetimize göz atabilirsiniz.