802.1X ve NAC Geçişi: İzleme Modundan Zorlamaya Aşamalı Plan

Toplantı odasındaki boş prize dizüstüsünü takan herkes, çoğu kurumda doğrudan kullanıcı VLAN’ına düşer. Kimse sormaz, kimse kaydetmez. 802.1X tabanlı ağ erişim kontrolü (NAC) porta bağlanan cihazın kim olduğunu doğrulayıp ona uygun ağı verir; ama bir gecede zorlama moduna alınan 802.1X, sabah yazıcıları, IP telefonları ve sertifikası eksik istemcileri ağdan düşürür. Aşağıdaki plan, kablolu ağda 802.1X’i ölçülebilir aşamalarla ve geri dönüş yolu açık tutularak devreye almak içindir.

NAC neyi çözer, neyi çözmez

802.1X üç rolden oluşur: bağlanan cihaz (supplicant), switch veya kablosuz erişim noktası (authenticator) ve kimlik doğrulama sunucusu (RADIUS). Switch, kimlik doğrulama tamamlanana kadar porttan yalnız EAPOL çerçevelerinin geçmesine izin verir; kararı RADIUS sunucusu verir ve gerekirse VLAN, indirilebilir ACL (dACL) veya başka yetkilendirme öznitelikleri döndürür. 802.1X ile RADIUS özniteliklerinin birlikte kullanımı bilgilendirici nitelikteki RFC 3580’de açıklanır.

NAC’ın çözdüğü sorunlar: yetkisiz cihazın iç ağa doğrudan erişimi, cihaz tipine göre farklı ağ ve yetki atanması, hangi cihazın ne zaman hangi porta bağlandığının kaydı. Çözmedikleri ise kurumsal siber güvenlik açısından en az bunlar kadar önemlidir. Kimliği doğrulanmış ama ele geçirilmiş bir bilgisayarın yaptıklarını engellemez, segmentasyonun yerini tutmaz, MAB ile giren cihazlarda MAC adresi taklidine karşı zayıftır. VLAN ile gerçek ağ güvenliği arasındaki fark yazısında anlatılan segmentasyon sınırları NAC’tan sonra da geçerlidir. NAC yalnız kapıdaki görevlidir. İçeride olanı görmez.

Kimlik doğrulama yöntemleri: EAP-TLS, PEAP ve MAB

Yöntem	Kimlik kanıtı	Güçlü yanı	Sınırlaması
EAP-TLS	İstemci sertifikası	Parola yok; karşılıklı sertifika doğrulama	Sertifika dağıtımı ve yenileme altyapısı gerekir
PEAP-MSCHAPv2	Kullanıcı/makine parolası	Kolay başlangıç, AD ile doğrudan çalışır	Sunucu sertifikası doğrulanmazsa kimlik bilgisi ele geçirilebilir
MAB	MAC adresi	Supplicant’ı olmayan cihazlar için tek seçenek	MAC taklidiyle atlatılabilir; kimlik doğrulama değil, tanımadır

Kurumsal Windows istemciler için hedef EAP-TLS ve makine sertifikasıdır (RFC 5216). Makine kimlik doğrulaması, kullanıcı oturum açmadan önce cihazın ağa çıkmasını sağlar; grup politikası, oturum açma betikleri ve uzaktan yönetim buna bağlıdır. PEAP geçiş adımı olarak kullanılabilir. Bu durumda istemcilerde RADIUS sunucu sertifikasının doğrulanması ve güvenilen sunucu adlarının tanımlanması zorunlu tutulmalıdır; aksi halde sahte bir erişim noktası veya switch parola karmalarını toplayabilir. Sahada en sık gördüğümüz PEAP hatası tam olarak budur: “Sunucu sertifikasını doğrula” kutusu boş bırakılmış profil.

RADIUS ve sertifika altyapısı tasarımı

802.1X açıldığı anda RADIUS kritik altyapıya dönüşür: Sunucu yanıt vermezse yeni bağlanan veya yeniden doğrulanan cihazlar ağa çıkamaz. Tasarımda şu kararları önceden netleştirin:

• Yedeklilik: En az iki RADIUS düğümü, mümkünse farklı lokasyonlarda; switch’lerde iki sunucu ve ölü sunucu algılama (dead criteria) tanımı. Tek RADIUS tek arıza noktasıdır.
• Kritik VLAN / erişilemez sunucu davranışı: Tüm RADIUS sunucuları erişilemezse portun hangi ağa alınacağı önceden belirlenir.
• Kimlik kaynağı: Active Directory grupları yetkilendirme kurallarının temelidir; cihaz ve kullanıcı grupları ayrı tutulur.
• PKI: Makine sertifikaları için otomatik kayıt (autoenrollment), yenileme ve iptal (CRL/OCSP) erişilebilirliği. RADIUS sunucusu CRL’e erişemezse tüm doğrulamaları reddedebilir; bu, sahada sabahları toplu kesinti olarak karşımıza çıkar.
• Loglama: RADIUS kabul/ret kayıtları SIEM’e aktarılır. Ret nedenleri sorun gidermenin ana kaynağıdır.

İzleme, düşük etkili ve kapalı mod aşamaları

Geçişin özü, 802.1X’i önce hiçbir şeyi engellemeden çalıştırıp veri toplamaktır. Cisco’nun tanımladığı ve diğer üreticilerde benzer karşılıkları bulunan üç aşamalı model şöyledir:

Aşama	Port davranışı	Amaç
İzleme (monitor)	Kimlik doğrulama başarısız olsa da trafik geçer	Hangi cihazın neden başarısız olduğunu görmek
Düşük etkili (low-impact)	Doğrulamadan önce yalnız ön ACL’in izin verdiği trafik (DHCP, DNS, AD, PXE) geçer	Kısmi zorlama; başarılı cihaza dACL ile tam erişim
Kapalı (closed)	Doğrulama olmadan yalnız EAPOL geçer	Tam zorlama; en yüksek güvenlik

Aşamalar arasında tarihle değil ölçütle geçilir. İzleme modundan çıkmanın tipik ölçütü, aktif portların neredeyse tamamında başarılı 802.1X veya bilinçli olarak tanımlanmış MAB sonucunun görülmesi ve kalan başarısız cihazların her birinin açıklanmış olmasıdır. Geçişi bina veya kat bazında yapın; sorun çıkarsa etki o katta kalır.

802.1X desteklemeyen cihazlar için strateji

Yazıcılar, IP telefonlar, kartlı geçiş panelleri, IP kameralar ve üretim cihazları çoğu ortamda başarısız doğrulamaların ana kaynağıdır. Bu cihazlar için katmanlı yaklaşım izlenir:

1. Destekliyorsa 802.1X: Birçok kurumsal yazıcı ve IP telefon sertifika veya PEAP ile 802.1X destekler. Önce bunu kontrol edin.
2. MAB + profilleme: MAC adresi, NAC’ın cihaz profilleme (DHCP, CDP/LLDP özellikleri) verisiyle birlikte değerlendirilir ve cihaz yalnız kendi kategorisine ait VLAN’a ve dACL’e alınır.
3. Dar yetkilendirme: MAB ile giren bir yazıcı yalnız yazdırma sunucusuyla, bir kamera yalnız kayıt sunucusuyla konuşabilmelidir. MAC taklidinin getirisi böylece sınırlı kalır.
4. IP telefon arkasındaki bilgisayar: Çok alanlı (multi-domain) kimlik doğrulama, telefonu ses VLAN’ında, arkasındaki bilgisayarı veri VLAN’ında ayrı ayrı doğrular.

Kamera ve endüstriyel cihaz gibi ayrı bir ağa ait varlıkların portları zaten ayrı segmentteyse NAC kuralları sadeleşir. Erişim portu şablonunu standart hale getirmek için network sitesindeki switch yapılandırma standardı rehberi de işinize yarar.

Switch tarafı örnek yapılandırma ve doğrulama

Aşağıdaki örnek, Cisco IOS-XE üzerinde klasik komut sözdizimiyle izleme modundaki bir erişim portunu gösterir. authentication open satırı izleme modunu sağlar; kapalı moda geçerken bu satır kaldırılır. authentication event server dead satırları, tüm RADIUS sunucuları erişilemez olduğunda portun hangi VLAN’a alınacağını (kritik VLAN) belirler; dead-criteria ve deadtime ise sunucunun ne zaman ölü sayılacağını ve ne kadar süre atlanacağını tanımlar. Yeni IOS-XE sürümlerinde aynı yapılandırma IBNS 2.0 politika sözdizimine dönüştürülebilir; sürümünüze uygun sözdizimini üretici dokümantasyonundan doğrulayın.

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
dot1x system-auth-control
!
radius server NAC-1
 address ipv4 10.10.10.11 auth-port 1812 acct-port 1813
 key <paylasilan-gizli-anahtar>
!
radius server NAC-2
 address ipv4 10.20.10.11 auth-port 1812 acct-port 1813
 key <paylasilan-gizli-anahtar>
!
radius-server dead-criteria time 5 tries 3
radius-server deadtime 15
!
interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 20
 switchport voice vlan 30
 authentication host-mode multi-domain
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 authentication open
 authentication periodic
 authentication timer reauthenticate server
 authentication event server dead action authorize vlan 20
 authentication event server dead action authorize voice
 authentication event server alive action reinitialize
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 10
 spanning-tree portfast

Doğrulama ve sorun gidermede ilk bakılacak komutlar:

show authentication sessions interface GigabitEthernet1/0/10 details
show dot1x interface GigabitEthernet1/0/10 details
test aaa group radius <kullanici> <parola> new-code
debug dot1x all
debug radius authentication

Debug komutlarını yoğun switch’lerde kısa süreli ve dikkatli kullanın; işiniz bitince undebug all ile kapatın. Konsol oturumunu debug çıktısıyla kilitlemek, sahada yaşanan klasik bir hatadır. Windows istemcilerde kablolu 802.1X için “Wired AutoConfig” (dot3svc) hizmetinin çalışıyor olması gerekir; istemci tarafındaki durum netsh lan show interfaces ile görülür.

Sık karşılaşılan kimlik doğrulama hataları

• Supplicant kapalı: Wired AutoConfig hizmeti devre dışı veya kablolu 802.1X profili grup politikasıyla dağıtılmamış. Cihaz MAB’a düşer ve tanımsız MAC olarak reddedilir.
• Sertifika sorunları: Makine sertifikası yok, süresi dolmuş, RADIUS sunucusunun güvendiği CA zincirinde değil veya CRL’e erişilemiyor.
• Sunucu sertifikasına güvenilmiyor: İstemci, RADIUS sunucusunun sertifikasını veren CA’ya güvenmiyor ya da sunucu adı profildeki adla eşleşmiyor.
• Zamanlama sorunları: PXE önyükleme yapan veya hızlı açılan cihazlar, 802.1X zaman aşımı ve MAB’a düşme süresi dolmadan DHCP isteğini tamamlayamaz. Bu cihazlar için tx-period ve kimlik doğrulama sırası ayarlanır.
• Makine/kullanıcı geçişi: Kullanıcı oturum açınca yeniden doğrulama yapılır; kullanıcı yetkisi farklı bir VLAN döndürüyorsa IP adresi değişmez ve bağlantı kopar. Yetkilendirme kuralları makine ve kullanıcı için tutarlı tasarlanmalıdır.
• Yönetilmeyen switch veya hub: Single-host modunda ikinci bir MAC, multi-domain modunda veri alanındaki ikinci bir MAC güvenlik ihlali (violation) üretir ve port varsayılan olarak err-disabled duruma düşebilir; davranış authentication violation ile ayarlanır. Toplantı odalarındaki masaüstü switch’leri envantere alın. Hepsi oradadır.

NAC’ı segmentasyon ve Zero Trust hedefleriyle birlikte tasarlamak için ağ güvenliği ve segmentasyon ile Zero Trust güvenlik mimarisi çalışmaları birlikte ele alınabilir. Aynı cihaz duruşu yaklaşımının uzak erişimdeki karşılığı ZTNA ve VPN karşılaştırması yazısında anlatılıyor.

Sık sorulan sorular

802.1X’i doğrudan kapalı modda açarsam ne olur?

Supplicant’ı yapılandırılmamış istemciler, sertifikası eksik cihazlar ve MAB kuralı tanımlanmamış yazıcı, telefon gibi cihazlar ağa çıkamaz. İzleme modunda başarısız doğrulamaları görüp düzeltmeden zorlamaya geçmek geniş çaplı kesintiye yol açar.

PEAP mi EAP-TLS mi seçmeliyim?

Uzun vadeli hedef EAP-TLS olmalıdır; parola kullanmaz ve karşılıklı sertifika doğrulaması yapar. PEAP hızlı başlangıç için kullanılabilir, ancak istemcilerde RADIUS sunucu sertifikası doğrulaması zorunlu tutulmalıdır.

MAB güvenli bir kimlik doğrulama yöntemi midir?

Hayır, MAB bir tanıma yöntemidir; MAC adresi kolayca taklit edilir. MAB ile giren cihazlar profilleme verisiyle desteklenmeli ve yalnız ihtiyaç duydukları sistemlere erişebilecek dar bir VLAN ve ACL ile sınırlanmalıdır.

RADIUS sunucuları erişilemez olursa kullanıcılar ağdan düşer mi?

Zaten doğrulanmış oturumlar yeniden doğrulama zamanına kadar devam eder. Yeni bağlanan cihazlar ise erişilemez sunucu davranışına göre ya reddedilir ya da önceden tanımlanmış kritik VLAN’a alınır. Bu davranış tasarımda belirlenip test edilmelidir.