NAC Nedir? 802.1X, RADIUS, MAB ve Ağ Erişim Kontrolü

L2 saldırıları yazısında erişim portunu sahte DHCP sunucusuna, ARP zehirlemeye ve döngülere karşı koruduk. Ama bir soruyu açık bıraktık: porta takılan cihaz kim? Port security bir MAC sınırı koyar, DHCP snooping adres dağıtımını denetler; ikisi de masadaki boş porta takılan yabancı bir dizüstünün VLAN 20’ye girmesini engellemez.

NAC (Network Access Control) bu soruyu cevaplar: cihaz ağa erişmeden önce kimliğini kanıtlar, erişimin kapsamını da port değil kimlik doğrulama sonucu belirler. Bu yazıda NAC’ın temeli olan 802.1X’i, kimlik doğrulama yöntemlerini, dinamik yetkilendirmeyi ve sahada güvenli devreye almayı ele alacağız. Ürünlerin ayrıntılı kurulumuna girmiyoruz; odak, her üreticide aynı standartlarla çalışan switch tarafı ve mimari.

Senaryo

ACL ve L2 yazılarındaki kampüs devam ediyor. Erişim switch’i aynı; NAC için üç VLAN ve bir sunucu ekleniyor.

NAC nedir, neden gereklidir?

NAC, ağa bağlanan her kullanıcının ve cihazın kimliğini doğrulayıp ona uygun erişimi veren mekanizmanın adıdır. Temelinde CIA ve AAA yazısında anlattığımız üç adım vardır:

• Authentication (kimlik doğrulama): Bağlanan kim? Kullanıcı sertifikası, kullanıcı adı ve parola ya da cihazın MAC adresi.
• Authorization (yetkilendirme): Ne yapabilir? Hangi VLAN’a alınacak, hangi erişim listesi uygulanacak.
• Accounting (kayıt): Ne zaman bağlandı, ne kadar kaldı, hangi porttaydı?

NAC ile ACL ve firewall birbirinin yerini tutmaz. ACL ve firewall trafiğe adres ve port üzerinden karar verir; NAC ise o adresin kime verileceğine karar verir. İkisi birlikte çalışır: NAC personeli VLAN 20’ye alır, ACL ve firewall da VLAN 20’nin nereye gidebileceğini belirler.

802.1X nasıl çalışır?

IEEE 802.1X, port tabanlı ağ erişim kontrolü standardıdır ve üç rol tanımlar:

• Supplicant: Bağlanan cihazdaki 802.1X istemcisi. İşletim sistemlerinde yerleşik olarak bulunur.
• Authenticator: Cihazın bağlandığı switch ya da kablosuz erişim noktası. Kimliği kendisi doğrulamaz; araya girer.
• Authentication server: Kararı veren sunucu; pratikte bir RADIUS sunucusu (bizim senaryomuzda 10.0.30.20).

Kimliği doğrulanmamış bir portta switch yalnızca EAPOL çerçevelerini geçirir; DHCP dahil diğer trafik düşer. Cihaz ile switch arasında EAP mesajları EAPOL (EAP over LAN) ile, switch ile sunucu arasında RADIUS içinde taşınır (kimlik doğrulama UDP 1812, accounting UDP 1813). Yaygın modelde switch EAP içeriğini çözmez, olduğu gibi RADIUS’a aktarır (EAP relay); bu yüzden EAP-TLS ya da PEAP gibi yöntemler switch’e değil, istemciye ve sunucuya bağlıdır.

Kimlik doğrulama yöntemleri

EAP-TLS hem istemcinin hem sunucunun sertifikayla doğrulandığı yöntemdir. Parola yoktur; ele geçirilecek bir kullanıcı parolası da yoktur. Kurumsal bilgisayarlar için en güçlü seçenektir (RFC 5216; TLS 1.3 ile kullanımı RFC 9190). Bedeli bir PKI’dır: her cihaza sertifika dağıtmak, yenilemek ve iptal etmek gerekir.

PEAP, sunucuyu sertifikayla doğrular ve bu TLS tünelinin içinde kullanıcıyı genellikle kullanıcı adı ve parolayla (MSCHAPv2) doğrular. Kurulumu kolaydır ama bir şartı vardır: istemci sunucu sertifikasını doğrulamalıdır. Doğrulama kapalıysa, sahte bir erişim noktası ya da sunucu kendini kurumsal ağ gibi gösterip kullanıcının kimlik bilgilerini toplayabilir. PEAP kullanılıyorsa istemcide güvenilen CA ve sunucu adı mutlaka tanımlanmalıdır.

MAB (MAC Authentication Bypass), 802.1X istemcisi olmayan cihazlar içindir: yazıcı, kamera, bazı IP telefonlar, IoT cihazları. Switch cihazdan EAPOL yanıtı alamazsa öğrendiği MAC adresini kullanıcı adı gibi RADIUS’a gönderir. MAB’ın sınırını açıkça bilmek gerekir: MAB bir kimlik doğrulama değil, bir izin listesidir. MAC adresi kopyalanabilir. Bu yüzden MAB ile içeri alınan cihaza tam erişim verilmez; cihaz tipi profiling ile doğrulanır ve yetkisi bir erişim listesiyle daraltılır.

Dinamik yetkilendirme

Kimlik doğrulandıktan sonra sunucu Access-Accept içinde yetkiyi de gönderir. Böylece aynı porta bağlanan farklı cihazlar farklı erişim alır.

VLAN ataması üreticiden bağımsız, RFC 3580’de tanımlı üç attribute ile yapılır: Tunnel-Type = VLAN (13), Tunnel-Medium-Type = 802 ve Tunnel-Private-Group-ID = <VLAN numarası>. VLAN numarası metin olarak taşınır. Atanan VLAN switch’te tanımlı olmalıdır; değilse yetkilendirme uygulanamaz.

Erişim listesi iki şekilde gelir. Filter-Id attribute’u switch’te önceden tanımlı bir listenin adını gönderir. dACL (downloadable ACL) ise listenin içeriğini sunucudan indirir; politika tek yerde tutulur. dACL’nin taşınma biçimi üreticiye özgüdür; RADIUS sunucusu ile switch’in aynı yöntemi desteklemesi gerekir.

Senaryodaki cihazlar için notlar:

• IP telefon ve PC (port 10): İki cihaz aynı portu paylaşır. Switch’in multi-domain modunda olması gerekir: bir oturum ses alanı (VLAN 40), bir oturum veri alanı (VLAN 20) için. Telefonun ses alanına alınması için sunucunun buna uygun yetkiyi döndürmesi gerekir; bu yetkinin biçimi üreticiye göre değişir.
• Yazıcı (port 12): MAB ile VLAN 20’de kalır, ama yalnızca yazdırma trafiğine izin veren bir dACL ile. Statik IP’li yazıcının L2 yazısında anlattığımız DAI ve IP Source Guard istisnaları burada da geçerlidir.
• Misafir: Kimliği olmayan ya da MAB’ı başarısız olan cihaz VLAN 60’a alınır; kayıt bir web portalıyla yapılabilir. Bu otomatik bir davranış değildir: switch’te ya da RADIUS sunucusunda önceden tanımlanmış bir guest/fallback politikası gerekir. VLAN 60’ın yalnızca internete çıkabilmesi de ayrıca ACL ya da firewall kuralıyla sağlanmalıdır.
• Uyumsuz cihaz: Posture kontrolünü (güncel yamalar, çalışan güvenlik ajanı gibi) geçemeyen cihaz, düzeltme kaynaklarından başka hiçbir yere gidemeyen VLAN 90’a alınır.

CoA: yetkiyi sonradan değiştirmek

Yetki yalnızca bağlantı anında verilmez. CoA (Change of Authorization), RFC 5176’da tanımlı bir mekanizmadır: RADIUS sunucusu, açık bir oturumun yetkisini değiştirmek ya da oturumu sonlandırmak için switch’e kendisi istek gönderir. Standartta CoA-Request ve Disconnect-Request için hedef port UDP 3799’dur; bazı cihazlar farklı bir varsayılan kullanır, bu yüzden port iki tarafta aynı ayarlanmalıdır.

Tipik kullanım: firewall bir bilgisayarda şüpheli trafik görür, NAC sunucusuna bildirir, sunucu CoA ile o oturumu karantinaya alır. Kullanıcının kabloyu çıkarıp takmasını beklemeye gerek kalmaz.

NAC mimarisi

Merkezi politika. Kararlar tek bir RADIUS/NAC sunucusunda (pratikte yedekli bir kümede) verilir. Switch’ler ve kablosuz controller’lar bu sunucunun NAS (network access server) istemcileridir. Aynı politika kablolu ve kablosuz ağda geçerli olur: kurumsal bilgisayar ister kabloyla ister Wi-Fi ile bağlansın, aynı kimlikle aynı yetkiyi alır.

Host modları. Bir portta kaç cihazın, nasıl doğrulanacağını belirler:

RADIUS erişilemezse. Sunucuya ulaşılamadığında ne olacağı önceden kararlaştırılmalıdır. Kapalı bir portta bunun anlamı herkesin ağdan düşmesidir. Switch’ler bu durum için bir critical VLAN (sunucu erişilemezken kullanılacak VLAN) ve yeniden deneme davranışı sunar. Bu, CIA yazısındaki fail-open / fail-closed kararının NAC’taki karşılığıdır.

RADIUS’un kendi güvenliği. RADIUS, paylaşılan bir anahtar (shared secret) ve MD5 tabanlı bütünlük kontrolüne dayanan eski bir protokoldür. 2024’te duyurulan BlastRADIUS (CVE-2024-3596), switch ile sunucu arasındaki trafiğe araya girebilen bir saldırganın bir Access-Reject yanıtını Access-Accept’e çevirebildiğini gösterdi. Cisco’nun açıklamasına göre saldırı, istekte Message-Authenticator attribute’u bulunmayan EAP dışı alışverişlere karşı mümkündür; MAB tam olarak böyle bir alışveriştir. Önerilen önlemler:

• Switch’in isteklerde Message-Authenticator göndermesi ve sunucunun bunu zorunlu tutması.
• RADIUS trafiğinin yönetim ağında tutulması.
• Uzun vadede RADIUS’u TLS ya da DTLS ile şifrelemek (RadSec; Catalyst 9300’de varsayılan port 2083).

Üretici yaklaşımları: NAC sunucusu tarafı

Bu ürünler aynı sınıfta değildir; aynı tabloya konup eşitlenmemeli. Ortak noktaları, switch’lere standart RADIUS ile yetki göndermeleridir.

Fortinet tarafında switch’in kendisi FortiSwitch’tir; 802.1X ve MAB doğrudan FortiSwitch’te çalışır. RADIUS sunucusu olarak FortiNAC ya da başka bir RADIUS sunucusu kullanılabilir. Bu ürünlerin kurulumu ayrı yazıların konusu.

Switch konfigürasyonu

Aşağıdaki örnekler erişim switch’inin port 10’unu (IP telefon ve PC) 802.1X ve MAB için yapılandırır. Örnekler yazının başında belirtilen sürümlerin resmî dokümantasyonundaki yapıya göre hazırlandı ve laboratuvarda test edilmedi. Resmî kaynaklardan doğrulayamadığımız komutlar örneklere konmadı; eksik kalan kısımlar her başlıkta belirtildi.

Her üreticide ön koşul aynı: switch RADIUS sunucusuna yönetim adresinden ulaşmalı ve sunucuda bu adres NAS olarak, aynı shared secret ile tanımlı olmalıdır.

Cisco IOS XE (Catalyst 9300)

Catalyst 9000 serisinde 802.1X, IBNS 2.0 adı verilen politika yapısıyla yapılandırılır: ne zaman hangi yöntemin deneneceği bir policy-map type control subscriber içinde tanımlanır.

aaa new-model
!
radius server NAC-1
 address ipv4 10.0.30.20 auth-port 1812 acct-port 1813
 key <guclu-anahtar>
!
aaa group server radius NAC
 server name NAC-1
!
aaa authentication dot1x default group NAC
aaa authorization network default group NAC
aaa accounting dot1x default start-stop group NAC
!
aaa server radius dynamic-author
 client 10.0.30.20 server-key <guclu-anahtar>
!
dot1x system-auth-control
!
class-map type control subscriber match-all DOT1X_NO_RESP
 match method dot1x
 match result-type method dot1x agent-not-found
class-map type control subscriber match-all MAB_FAILED
 match method mab
 match result-type method mab authoritative
!
policy-map type control subscriber NAC-POLICY
 event session-started match-all
  10 class always do-until-failure
   10 authenticate using dot1x priority 10
   20 authenticate using mab priority 20
 event authentication-failure match-first
  10 class DOT1X_NO_RESP do-until-failure
   10 terminate dot1x
   20 authenticate using mab priority 20
  20 class MAB_FAILED do-until-failure
   10 terminate mab
   20 authentication-restart 60
 event agent-found match-all
  10 class always do-until-failure
   10 terminate mab
   20 authenticate using dot1x priority 10
!
interface GigabitEthernet1/0/10
 switchport access vlan 20
 switchport mode access
 switchport voice vlan 40
 access-session host-mode multi-domain
 access-session port-control auto
 mab
 dot1x pae authenticator
 spanning-tree portfast
 service-policy type control subscriber NAC-POLICY

Politika, oturum başladığında 802.1X ve MAB’ı birlikte başlatır; 802.1X’e öncelik verir. İstemci 802.1X’e yanıt vermezse MAB’a geçer; sonradan bir 802.1X istemcisi görülürse MAB’ı bırakıp 802.1X’e döner. aaa authorization network satırı olmadan sunucudan gelen VLAN uygulanmaz. aaa server radius dynamic-author bloğu, switch’in 10.0.30.20’den gelen CoA isteklerini kabul etmesini sağlar.

Huawei S serisi (V200R023)

Huawei S serisinde 802.1X, profil tabanlı yapıyla yapılandırılır: RADIUS şablonu, AAA domain’i, 802.1X erişim profili ve bunları birleştiren kimlik doğrulama profili.

radius-server template NAC
 radius-server authentication 10.0.30.20 1812
 radius-server accounting 10.0.30.20 1813
 radius-server shared-key cipher <guclu-anahtar>
#
aaa
 authentication-scheme NAC
  authentication-mode radius
 accounting-scheme NAC
  accounting-mode radius
  accounting realtime 15
 domain kampus
  authentication-scheme NAC
  accounting-scheme NAC
  radius-server NAC
#
dot1x-access-profile name d1
#
authentication-profile name p1
 dot1x-access-profile d1
 access-domain kampus

Bu bloklar Huawei’nin V200R023C00 kullanıcı erişimi kılavuzundaki 802.1X örneğinden alındı. O örnek profili kablosuz bir VAP profiline bağlar. Profilin kablolu erişim portuna bağlanması, MAB için MAC erişim profili ve CoA için gereken komutları erişebildiğimiz resmî sayfalardan doğrulayamadık; bu yüzden örneğe koymadık. Bu kısımları kendi model ve sürümünüzün kullanıcı erişimi kılavuzundan alın.

HPE Aruba Networking CX (AOS-CX 10.13 / 10.14)

radius-server host 10.0.30.20 key plaintext <guclu-anahtar>
!
aaa group server radius NAC
 server 10.0.30.20
!
radius dyn-authorization enable
radius dyn-authorization client 10.0.30.20 secret-key plaintext <guclu-anahtar>
!
interface 1/1/10
 aaa authentication port-access auth-precedence dot1x mac-auth
 aaa authentication port-access client-limit 2
 aaa authentication port-access dot1x authenticator
  radius server-group NAC
  enable
 aaa authentication port-access mac-auth
  radius server-group NAC
  enable

Yapı, Aruba’nın AOS-CX güvenlik kılavuzundaki 802.1X ve MAC kimlik doğrulaması örneğini izler. client-limit 2 telefon ve PC içindir. auth-precedence önce 802.1X’in denenmesini sağlar. Her iki yöntemin altındaki radius server-group NAC, 802.1X ve MAC kimlik doğrulamasının NAC grubundaki sunucuyu kullanmasını sağlar; yazılmazsa varsayılan radius grubu kullanılır (port seviyesinde ayar 10.12 ile geldi). radius dyn-authorization satırları CoA’yı açar. Gerçek kurulumda anahtarlar plaintext yerine şifreli biçimde girilmelidir.

FortiSwitch (FortiSwitchOS 7.2.5)

config switch interface
    edit "port10"
        config port-security
            set port-security-mode 802.1X-mac-based
        end
        set security-groups "NAC-GROUP"
    next
end

802.1X-mac-based modu her cihazı MAC adresine göre ayrı oturum olarak izler; telefon ve PC’nin aynı portu paylaştığı senaryoya uyar. security-groups, RADIUS sunucusunu içeren kullanıcı grubunu gösterir. RADIUS sunucusu ve kullanıcı grubu ayrıca config user radius ve kullanıcı grubu ayarlarında tanımlanır; MAB, guest VLAN, auth-fail VLAN ve RADIUS erişilemezken kullanılacak VLAN da port güvenliği ayarlarındadır. FortiLink ile yönetilen FortiSwitch’lerde aynı ayarlar FortiGate üzerinden yapılır. Bu ek ayarların CLI satırlarını resmî sayfada birebir doğrulayamadığımız için örneğe koymadık.

Doğrulama ve sorun giderme

Doğrulama komutları

Cisco IOS XE:

show authentication sessions interface GigabitEthernet1/0/10 details
show aaa servers
show logging process smd reverse

Oturum çıktısı her cihaz için yöntemi (dot1x ya da mab), sonucu, atanan VLAN’ı ve uygulanan ACL’yi gösterir. Cisco’ya göre IOS XE 17.9 ve sonrasında klasik debug dot1x all gibi komutlar log tamponuna çıktı vermez; hata ayıklama SMD izleriyle yapılır:

set platform software trace smd switch active R0 dot1x-all debug
set platform software trace smd switch active R0 radius debug
set platform software trace smd switch active R0 auth-mgr-all debug

İş bitince undebug all ile izleri kapatın ya da açtığınız her bileşeni (dot1x-all, radius, auth-mgr-all) ayrı ayrı notice seviyesine döndürün; örneğin set platform software trace smd switch active R0 auth-mgr notice.

Huawei:

display access-user
display access-user user-id <kullanıcı-id>

Aruba AOS-CX:

show aaa authentication port-access dot1x authenticator interface all client-status
show aaa authentication port-access dot1x authenticator interface all port-statistics
debug portaccess dot1x radius

Sorun giderme sırası

1. RADIUS erişimi. Sunucu logunda istek hiç görünmüyorsa sorun ağdadır ya da NAS tanımındadır. Switch’in RADIUS’a hangi kaynak adresle gittiğini, bu adresin sunucuda NAS olarak tanımlı olduğunu ve shared secret’ın iki tarafta aynı olduğunu kontrol edin. Arada bir firewall varsa UDP 1812/1813 ve CoA için kullanılan port açık olmalıdır.
2. EAP ve supplicant. Cihaz EAPOL’a yanıt vermiyor ve MAB’a düşüyorsa istemcide 802.1X servisi kapalı ya da yanlış yöntemle yapılandırılmıştır. Kurumsal bir bilgisayarın MAB oturumuyla görünmesi bunun en açık işaretidir.
3. Sertifika. EAP-TLS ya da PEAP el sıkışması yarıda kesiliyorsa sertifika zincirine bakın: istemci sunucunun CA’sına güveniyor mu, sertifikaların süresi geçmiş mi, istemcide tanımlı sunucu adı sertifikadakiyle eşleşiyor mu? EAP-TLS’te sunucunun da istemci sertifikasını imzalayan CA’ya güvenmesi gerekir.
4. Yetkilendirme. Access-Accept geliyor ama cihaz yanlış yetki alıyorsa sorun politika sırasındadır. Sunucuda hangi kuralın eşleştiğine bakın; genel bir kural özel kuraldan önce geliyor olabilir.
5. VLAN ve ACL. Doğrulama başarılı ama trafik geçmiyorsa atanan VLAN’ın switch’te tanımlı ve uplink trunk’ta izinli olduğunu, VLAN numarasının sunucuda doğru yazıldığını ve dACL’nin beklenen trafiği kapsadığını kontrol edin.

Güvenli devreye alma sırası

NAC’ı bir gecede kapalı moda almak, MAB listesinde unutulan her cihazı ve 802.1X’i yanlış yapılandırılmış her istemciyi ilk gün ağdan düşürür. Güvenli yol aşamalıdır.

• Monitor: 802.1X ve MAB çalışır, sonuçlar kaydedilir, ama başarısız cihaz da ağa girer. Amaç envanterdir: hangi cihaz hangi yöntemle doğrulanıyor, hangileri hiç doğrulanamıyor? FortiSwitch dokümantasyonu da bu aşama için, yapılandırma sorunları ya da başarısız doğrulamalar olsa bile trafiğin akmasına izin veren bir izleme modu tanımlar.
• Low impact: Kimliği doğrulanmamış cihaz, yalnızca DHCP ve DNS gibi temel servislere izin veren bir ön erişim listesiyle (pre-auth ACL) sınırlanır. Doğrulanan cihaz yetkisini alır.
• Closed: Kimliği doğrulanmamış porttan EAPOL dışında hiçbir şey geçmez. Bu aşamaya geçmeden önce RADIUS’un yedekli olduğundan ve critical VLAN davranışının test edildiğinden emin olun.

Aşamaları switch switch, kat kat ilerletin. Her aşamanın çıkış şartı, bir önceki aşamanın loglarında açıklanmamış başarısız oturum kalmamasıdır.

Sahada sık görülen hatalar

• MAB’ı kimlik doğrulama sanmak: MAB ile gelen cihaza tam erişim vermek, MAC adresini kopyalayan herkese de tam erişim vermektir.
• PEAP’te sunucu doğrulamasını kapatmak: “Sertifika uyarısı çıkmasın” diye kapatılan doğrulama, kimlik bilgisi toplamanın kapısını açar.
• Atanan VLAN’ı switch’te unutmak: Sunucu VLAN 60 döner, switch’te VLAN 60 yoktur; misafir doğrulanır ama hiçbir yere gidemez.
• Multi-host kullanmak: İlk cihaz doğrulanınca porta bağlanan her şey içeri girer; araya takılan küçük bir switch bütün korumayı boşa çıkarır.
• RADIUS erişilemezken davranışı test etmemek: Sunucu bakımına giren ilk gece bütün kat ağdan düşer.
• Message-Authenticator’ı zorunlu tutmamak: Özellikle MAB oturumları BlastRADIUS’a açık kalır.
• Doğrudan closed mode’a geçmek: Envanteri çıkarılmamış bir ağda ilk gün yüzlerce destek kaydı demektir.

Üretici yaklaşımları: switch tarafı

Sonuç

NAC, erişim kararını porttan alıp kimliğe verir. 802.1X bu kararın taşıyıcısıdır: switch araya girer, RADIUS sunucusu karar verir, yetki VLAN ve erişim listesiyle porta uygulanır. EAP-TLS kurumsal cihazlar için en güçlü yoldur; MAB ise yalnızca 802.1X konuşamayan cihazlar için, daraltılmış yetkiyle kullanılmalıdır. CoA sayesinde yetki bağlantı anından sonra da değiştirilebilir.

Teknoloji kadar sıra da önemlidir: önce izleyin, sonra temel servisleri açık bırakarak zorlamaya başlayın, en son kapatın. RADIUS’u ve shared secret’ı da korunması gereken bir varlık olarak görün.

Kaynaklar

• RFC 3580: IEEE 802.1X RADIUS Usage Guidelines
• RFC 5176: Dynamic Authorization Extensions to RADIUS
• RFC 9190: EAP-TLS 1.3
• Cisco: Troubleshoot 802.1X on Catalyst 9000 Series Switches
• Cisco: Troubleshoot Identity Based Networking Services 2.0
• Cisco: RADIUS Configuration Guide, Cisco IOS XE 17
• Cisco: Configuring RadSec, Catalyst 9300, IOS XE 17.17
• Cisco: Blast-RADIUS (CVE-2024-3596) protocol spoofing
• Huawei: 802.1X ansiklopedi maddesi
• Huawei: S300/S500/S2700/S5700/S6700 V200R23C00, 802.1X authentication example
• Huawei: iMaster NCE-Campus admission configuration
• HPE Aruba Networking: AOS-CX 10.14, port access configuration task list
• HPE Aruba Networking: AOS-CX 10.13, aaa authentication port-access dot1x authenticator
• HPE Aruba Networking: AOS-CX 10.13, 802.1X debugging and troubleshooting
• HPE Aruba Networking: ClearPass 6.12, Enforcement Profiles
• Fortinet: FortiSwitchOS 7.2.5, 802.1X authentication
• Fortinet: FortiNAC-F 7.6, concept guide