802.1X ile Ağ Erişim Kontrolü: Yalnızca Yetkili Cihazlar Ağa Bağlansın

Kısa cevap: 802.1X, bir cihazın kablolu ya da kablosuz ağa bağlanabilmesi için önce kimliğini doğrulamasını sağlayan bir ağ erişim kontrol standardıdır. Switch ya da kablosuz erişim noktası, bağlanmak isteyen cihazın bilgilerini bir RADIUS sunucusuna iletir; sunucu kullanıcı hesabını ya da cihaz sertifikasını doğrularsa port açılır ve cihaz uygun VLAN’a alınır. Böylece boş bir ağ prizine takılan yabancı bir bilgisayar ağa erişemez ve ortak bir kablosuz parola paylaşılmasına gerek kalmaz. Kurulum; yönetilebilir switch ve kurumsal erişim noktaları, bir kimlik sunucusu ve yazıcı gibi 802.1X desteklemeyen cihazlar için ayrı bir plan gerektirir.

Nasıl çalışır?

• İstemci: Ağa bağlanmak isteyen bilgisayar, telefon ya da başka bir cihaz.
• Doğrulayıcı: Switch portu ya da kablosuz erişim noktası; doğrulama tamamlanana kadar normal trafiğe izin vermez.
• Kimlik sunucusu: RADIUS sunucusu, kullanıcı dizini ya da sertifikalarla kimliği kontrol eder ve erişim kararını bildirir.
• Dinamik VLAN: Sunucu, kullanıcının ya da cihazın grubuna göre hangi VLAN’a alınacağını da belirleyebilir.

Doğrulama yöntemleri

• Kullanıcı adı ve parola: Kurumsal hesapla doğrulama; kurulumu kolaydır ancak parola güvenliğine bağlıdır.
• Sertifika: Kurum tarafından cihaza yüklenen sertifikayla doğrulama; daha güçlüdür ve kullanıcıya parola sormaz, ancak sertifika yönetimi gerektirir.
• MAC tabanlı istisna: 802.1X desteklemeyen yazıcı, kamera ve IP telefonlar için MAC adresine göre sınırlı erişim tanımlanır; MAC adresleri taklit edilebildiği için bu cihazlar ayrı ve kısıtlı VLAN’larda tutulur.

Geçiş planı

1. Switch ve erişim noktalarının 802.1X desteği ile kimlik sunucusu seçeneği belirlenir.
2. Ağdaki tüm cihazların listesi çıkarılır; desteklemeyen cihazlar için istisna ve VLAN planı yapılır.
3. Önce kablosuz kurumsal ağda ya da tek bir test portunda denenir.
4. Başlangıçta doğrulanamayan cihazlar engellenmek yerine kaydedilerek izlenir; sorunlar giderilince zorunlu hale getirilir.
5. Misafirler için ayrı, internete sınırlı bir ağ sunulur.

Kullanılmayan prizlerin korunmasını ağ port güvenliği, kablosuz ağ güvenliğini ofis WiFi güvenliği ve WPA3, bölümlendirmeyi VLAN ile ağ bölümlendirme yazımızda anlattık.

Sık sorulan sorular

802.1X küçük ofis için fazla mı?

Çok küçük ofislerde port güvenliği, kullanılmayan prizlerin kapatılması ve güçlü kablosuz parola çoğu zaman yeterlidir. Ziyaretçi trafiğinin fazla olduğu, kişisel veri yoğun çalışan ya da personel değişiminin sık olduğu işletmelerde 802.1X belirgin fayda sağlar.

Kimlik sunucusu çalışmazsa ağ durur mu?

Yeni bağlantılar doğrulanamayabilir. Bu nedenle kimlik sunucusu yedekli kurulur ya da switchlerde sunucuya ulaşılamadığında uygulanacak kontrollü bir yedek davranış tanımlanır.

Personelin kişisel telefonları nasıl bağlanır?

Kişisel cihazlar genellikle kurumsal ağa değil, misafir ya da kişisel cihaz ağına alınır. Kurumsal kaynaklara erişmesi gerekiyorsa mobil cihaz yönetimiyle kaydedilen cihazlara sertifika dağıtılır.