التحكم في الوصول إلى الشبكة (NAC)

التحكم في الوصول إلى الشبكة (NAC)

• NAC هو مصطلح شامل لإدارة الوصول إلى الشبكة.
• تتحقق NAC من هوية المستخدمين الذين يسجلون الدخول إلى الشبكة، وتحدد البيانات التي يمكنهم الوصول إليها والإجراءات التي يمكنهم تنفيذها.
• يفحص NAC أيضًا صحة أجهزة الكمبيوتر أو الأجهزة المحمولة الخاصة بالمستخدم.

مكونات أنظمة NAC

• تتعامل أنظمة NAC مع ثلاث فئات من المكونات: طالب الوصول ونظام خادم السياسة وخادم الوصول للشبكة
• طالب الوصول (AR) هو العقدة التي تحاول الوصول إلى الشبكة، وقد يكون أي جهاز يديره نظام NAC
• قد يشمل ذلك محطات العمل والخوادم والطابعات والكاميرات والأجهزة المدعومة بـ IP
• يحدد خادم السياسة الوصولات التي سيتم منحها ويعتمد غالبًا على الأنظمة الخلفية.
• يسمى ايضا خادم الوسائط ، خادم الوصول البعيد (RAS), أو خادم السياسات
• يعمل خادم الوصول إلى الشبكة (NAS) كنقطة تحكم في الوصول للمستخدمين في المواقع البعيدة المتصلة بشبكة المؤسسة.
• قد يشمل خادم الوصول إلى الشبكة خدمات مصادقة خاصة به أو يعتمد على خدمة مصادقة منفصلة من خادم السياسة.

مخطط وصول شبكة عام

• الشك 5.1 هو رسم تخطيطي وصول شبكة عام

طرق تطبيق الوصول إلى الشبكة

• الإجراءات التي يتم تطبيقها على ARs لتنظيم الوصول إلى الشبكة المؤسسية
• يدعم العديد من الموردين طرق فرض متعددة في نفس الوقت، مما يسمح للعميل بتخصيص التكوين باستخدام طريقة واحدة أو مزيج من الطرق.
• تشمل طرق فرض NAC الشائعة (IEEE 802.1X) والشبكات المحلية الظاهرية (VLANs) وجدار الحماية وإدارة DHCP
• IEEE 802.1X هو بروتوكول لطبقة الربط يعمل علي تحديد تفويض للمنفذ قبل تخصيص عنوان IP.
• يستخدم بروتوكول مصادقة IEEE 802.1X القابل للامتداد (EAP) في عملية المصادقة.
• تغطي الأقسام 5.2 و 5.3 بروتوكول المصادقة القابل للامتداد و(IEEE 802.1X) على التوالي.
• الشبكات المحلية الظاهرية (VLANs): في هذا النهج، يتم تقسيم الشبكة المؤسسية، التي تتكون من مجموعة من الشبكات المحلية المتصلة ببعضها البعض، منطقيًا إلى عدة شبكات افتراضية.
• يقرر نظام NAC إلى أي من شبكات VLAN في الشبكة سيوجه جهاز الوصول استنادًا إلى ما إذا كان الجهاز يحتاج إلى تصحيح أمني أو الوصول إلى الإنترنت فقط أو بعض مستويات الوصول إلى موارد الشبكة.
• يمكن إنشاء شبكات VLAN ديناميكيًا وقد تتداخل عضوية VLAN لكلاً من الخوادم المؤسسية وأجهزة الوصول
• قد ينتمي خادم المؤسسة أو جهاز AR إلى أكثر من شبكة VLAN واحدة
• توفر جدران الحماية شكلاً من أشكال NAC من خلال السماح أو رفض حركة مرور الشبكة بين مضيف المؤسسة والمستخدم الخارجي.
• سيتم مناقشة جدران الحماية في الفصل 12
• بروتوكول التكوين الديناميكي للمضيف (DHCP) هو بروتوكول للإنترنت يتيح التخصيص الديناميكي لعناوين IP للمضيفين
• يعترض خادم DHCP طلبات DHCP ويعين بدلاً من ذلك عناوين IP
• يحدث تطبيق NAC في طبقة IP استنادًا إلى الشبكة الفرعية وتعيين IP
• من السهل تثبيت خادم DCHP وتكوينه، ولكنه عرضة للعديد من أشكال التحايل, مما يوفر أمانًا محدودًا.

بروتوكول المصادقة القابل للتوسيع (EAP)

• يعمل EAP المعرف في RFC 3748 كإطار عمل لبروتوكولات الوصول إلى الشبكة والمصادقة.
• توفر EAP مجموعة من رسائل البروتوكول التي يمكن أن تحتوي على طرق مصادقة متنوعة لاستخدامها بين العميل وخادم المصادقة.
• يمكن EAP العمل عبر مجموعة متنوعة من مرافق الشبكة والربط, بما في ذلك روابط نقطة إلى نقطة, والشبكات المحلية, والشبكات الأخرى, ويمكنه تلبية احتياجات المصادقة لمختلف الروابط والشبكات.
• يوضح الشكل 5.2 طبقات البروتوكول التي تشكل السياق الخاص بـ EAP
• يتيح EAP خدمة نقل عامة لتبادل معلومات المصادقة بين نظام العميل وخادم المصادقة
• خدمة نقل EAP الأساسية تم توسيعها باستخدام بروتوكول مصادقة محدد يتم تثبيته في كلٍ من عميل EAP وخادم المصادقة
• هناك طرق EAP المدعومة :
  • أمان طبقة النقل ()EAP
  • (TLS) المجزأ EAP
  • مفتاح EAP عام
  • IKEv2-EAP

طرق EAP المدعومة عادة

• يحدد EAP-TLS (RFC 5216) كيف يمكن لتشفير TLS وضعها في رسائل EAP
• يستخدم EAP-TLS بروتوكول المصافحة في TLS, وليس طريقة التشفير الخاصة به.
• يقوم العميل والخادم بمصادقة بعضهما البعض باستخدام الشهادات الرقمية
• يولد العميل مفتاح سري مسبق عن طريق تشفير رقم عشوائي باستخدام المفتاح العام للخادم ثم إرساله إلى الخادم
• يستخدم كل من العميل والخادم المفتاح المسبق لتوليد نفس المفتاح السري
• EAP-TTLS يشبه ,EAP-TLS باستثناء أن الخادم فقط لديه شهادة لتوفير المصادقة لنفسه أولاً.
• في EAP-TLS, يتم إنشاء اتصال آمن، ولكن هذا الاتصال يُستخدم لمواصلة عملية المصادقة عبر مصادقة الخادم العميل مع أي طريقة EAP أو مصادفة قديمة
• EAP-GPSK معرف في RFC 5433 هي طريقة EAP تستخدم للمصادقة المتبادلة واشتقاق كفاءة مفتاح الوحدة باستخدام مفتاح PSK
• يحدد هذا برتوكول مصادقة EAP باستخدام مفاتيح مشتتركة مع حماية خوارزميات التشفير
• وبالتالي, فإن هذه الطريقة فعالة من حيث تدفقات الرسائل والتكاليف الحسابية, ولكنها تتطلب وجود مفاتيح مشتركة بين كل خادم ونظير
• إن إعداد هذه المفاتيح السرية جزء من تسجيل الأقران, وبالتالي يجب أن تلبي شروط النظام
• ويوفر قناة اتصال محمية عندما تنجح المصادقة المتبادلة لكلا الطرفين للمراسلة عبر الشبكات غير آمنة مثل بروتوكول IEEE 802.11
• . بروتوكول EAP-GPSK لا يتطلب أي نظام للتشفير بالمفتاح العام يتم تبادل الرسالة باستخدام الحد الأدنى لأربعة رسائل
• يعتمد EAP-IKEv2 على برتوكول تبادل المفاتيح (IKEv2), شرح في الفصل التاسع، حيث، تدعم هذه الطريقة المصادقة المتبادلة وإنشاء مفتاح جلسة باستخدام طرق متعددة

تبادلات EAP

• يوضح الشكل 5.3 تخطيطًا نموذجيًا حيث يتم استخدامEAP
• تتضمن المكونات التالية:
• نظير EAP: كمبيوتر يحاول الوصول إلى شبكة
• مصادق EAP:- نقطة وصول أو NAS الذي يتطلب مصادقة EAP قبل منح الوصول إلى الشبكة
• خادم المصادقة: خادم كمبيوتر الذي يتفاوض على استخدام طريقة EAP محددة مع نظير EAP, يتحقق من بيانات اعتماد نظير EAP, ويسمح بوصول إلى الشبكة. عادةً, يكون خادم المصادقة هو خادم خدمة الوصول عن بعد

رسائل EAP

• تتضمن رسائل EAP الحقول التالية:
  • الرمز: يحدد الرمز نوع رسالة EAP.
  • المعّرف: يُستخدم لتعيين استجابات مع طلبات .
  • الطول: يشير إلى الطول, بالبايتات, لرسالة EAP, بما في ذلك الرموز, المعّرف ,الطول, وحقول البيانات.
  • البيانات: تتضمن معلومات متعلقة بالمصادقة. عادةً,يتكون حقل البيانات من حقل النوع, الذي يشير إلى نوع البيانات المنقولة, وحقل بيانات النوع

مصطلحات ‎IEEE 802.1X

• جهة مصدقة: كيان في نهاية مقطع LAN, من نقطة إلى نقطة يسهل مصادقة الكيان إلى النهاية الأخرى من الرابط تبادل المصادقة: محادثة الطرفين بين النظامين الذين يجريان عملية المصادقة عملية المصادقة: عمليات التشفير وإطارات البيانات الداعمة التي تنفذ المصادقة الفعلية خادم المصادقة: كيان يوفر خدمة المصادقة للمصادق.
• تحدد هذه الخدمة بناءً على البيانات المقدمة من, ما إذا كان المتسول مصرّحًا له دخولًا إلى الخدمات الذي يقدمه نظام المصادقة التابع له
• بروتوكول نقل المصادقة : جلسة سجل البيانات التي تنشط وبشكل فعّال تبادل المصادقة بين النظامين منفذ الجسر : منفذ 802.1Q IEEE أو‎ 802.1D Bridge منفذ طرفي: جهاز تحويل متصل بشبكة LAN, ولا توجد عليه جسور أخرى متصلة منفذ الدخول الشبكي: ‎نقطة وصول نظام إلى شبكة LAN
• ‎ ويمكن أن يكون نقطة وصل, مثل LAN MAC فردي يربط مقطع ‎LAN أو منفذ منطقي, على سبيل المثال‎, ‎ارتباط IEEE ‎(802.11) بين محطة الوصول
• كيان وصول المنفذ (PAE): الكيان البروتوكولي المرتبط بالمنفذ يمكن أن يدعم وظيفة البروتوكول المتعلقة بالمصدِّق أو المتسول أو كليهما
• طرف الدخول: كيان في نهاية قطعة LAN من نقطة إلى نقطة يسعى المصادق بمقطع الوصل الآخر إلى مصادقته

أنواع إطارات EAPOL الشائعة

• EAPOL-EAP‎ تحمل حزمة ‎EAP مغلقة
• EAPOL-Start‎ مصدر يجوز أن ترسل هذه الحزمة بدلًا من أن يتم تحديها من جهة الدخول
• EAPOL-Logoff المستخدمة لإنهاء حالة البوابة إلى غير معتمد وذلك عند إتمام المصدر استخدام الشبكة
• يستخدمEAPOL-Key ‎ لتبادل شفرات ترميز معلومات‬

تتضمن الحقوق التالية تنسيق مجموعة EAPOL:

• إصدار البروتوكول: إصدار EAPOL
• نموذج المجموعة: يُبين البدء EAP, key, تسجيل الخروج وأكثر‎
• طول مجموعة الجسم : إذا كانت المجموعة تتضمن جسمًا, فهذا الحقل يُشير إلى طول الجسم.
• جسم المجموعة : حمولة إطارات EAPOL‎- هذا مثالٌ لإطار EAP