Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

في العالم الرقمي لمنظمة كبيرة، تُعد الشبكة بمثابة الطريق السريع غير المرئي الذي ينقل كل رسالة بريد إلكتروني، ونقل ملف، ومكالمة فيديو. لعقود من الزمن، كانت طريقة إدارة هذا الطريق السريع بسيطة وثابتة بشكل مثير للدهشة: كابل مادي متصل بمنفذ جداري يحدد بالضبط أين يمكن للحاسوب أن يذهب. إذا كان هذا المنفذ موصولاً بسلك بجزء معين من الشبكة، فإن أي شخص يوصل جهازاً به يحصل على حق الوصول إلى ذلك الجزء بأكره، بغض النظر عن هويته. اعتمد هذا النهج بالكامل على الأمن المادي؛ فإذا تمكن شخص غير مصرح له من الوصول إلى مخرج الجدار، فقد تمكن من الدخول مباشرة إلى البيانات الخاصة بالشركة. ومع زيادة تعقيد المنظمات، بوجود موظفين وطلاب وضيوف يحتاجون جميعاً إلى مستويات مختلفة من الوصول، أصبح أسلوب "التوصيل والتشغيل" هذا نقطة ضعف كبيرة. ويكمن الحل في جعل الشبكة ذكية بما يكفي لتسأل "من أنت؟" قبل أن تفتح البوابة، ثم توجه ذلك الشخص إلى الغرفة المحددة التي يُسمح له بدخولها، بدلاً من ترك الباب مفتوحاً على مصراعيه لأي شخص يمتلك مفتاحاً.

هذا هو التحدي الذي عالجته دراسة حديثة أجراها عبد الرحيم حمود محمد الماوري في أكاديمية العلوم والتكنولوجيا الصناعية في جيبوتي. سعى الباحث إلى بناء واختبار نظام يستبدل الطريقة القديمة الثابتة بطريقة ديناميكية. في هذا النهج الجديد، يتصل جهاز كمبيوتر بالشبكة، وتطلب الشبكة فوراً إثبات الهوية. إذا قدم المستخدم بيانات اعتماد صالحة، يتحقق النظام من دوره داخل المنظمة ويقوم تلقائياً بتعيينه في المنطقة الرقمية الصحيحة. فإذا كان المستخدم موظفاً، يتم توجيهه إلى شبكة الموظفين؛ وإذا كان طالباً، يتم توجيهه إلى شبكة الطلاب. وإذا لم يتمكن المستخدم من إثبات هويته، أو إذا توقف النظام الذي يتحقق من هويته عن العمل، فإن الشبكة لا تتركه ببساطة يدخل أو تتركه عالقاً. بدلاً من ذلك، تنقله بلطف إلى منطقة انتظار، وهي غرفة انتظار رقمية حيث يمكن إصلاحه أو فحصه دون المخاطرة ببقية النظام.

ولاختبار ما إذا كان هذا التسلسل المعقد من الأحداث يمكن أن يعمل بشكل موثوق، بنى الباحث مختبراً افتراضياً كاملاً. لم تكن هذه تجربة صغيرة لجهاز كمبيوتر واحد؛ بل كانت محاكاة كاملة لشبكة مؤسسة. تضمن الإعداد خادماً مركزياً يعمل كحافظ للهوية، وخادم سياسات يضع القواعد، ومبدل شبكة (switch) يتحكم في المنافذ المادية. أنشأ الباحث مجموعتين متميزتين من المستخدمين: مجموعة تمثل الموظفين وأخرى تمثل الطلاب. تم تخصيص مجموعة مختلفة لكل منها لمنطقة رقمية مختلفة، تُعرف باسم VLAN، والتي تعمل كغرفة منفصلة وغير مرئية داخل نفس المبنى. تم ربط مجموعة الموظفين بغرفة واحدة، ومجموعة الطلاب بغرفة أخرى. صُمم النظام لاستخدام بروتوكول مصافحة آمن، حيث يتبادل الكمبيوتر والخادم رسائل مشفرة للتحقق من الهوية قبل السماح بمرور أي بيانات.

قام الباحث بعد ذلك بإجراء سلسلة من خمسة وعشرين اختباراً لمعرفة كيفية سلوك النظام تحت ظروف مختلفة. في المجموعة الأولى من الاختبارات، سجل مستخدمون صالحون من كل من مجموعتي الموظفين والطلاب الدخول باستخدام كلمات المرور الصحيحة الخاصة بهم. وفي كل حالة، نجح النظام في تحديد هويتهم ووضعهم في غرفتهم الرقمية الصحيحة. تم توجيه الموظفين باستمرار إلى منطقة الموظفين، والطلاب إلى منطقة الطلاب. كما تم قياس سرعة هذه العملية أيضاً؛ فمن لحظة توصيل المستخدم لكبله إلى اللحظة التي مُنح فيها حق الوصول، استغرقت العملية برمتها ما يزيد قليلاً عن ثانية ونصف. وهذا سريع بما يكفي بحيث لن يلاحظ المستخدم البشري أي تأخير، مما يجعل الأمن غير مرئي في العمل اليومي.

لم تتوقف الدراسة عند عمليات تسجيل الدخول الناجحة؛ بل اختبرت تحديداً ما يحدث عندما تسوء الأمور. في أحد السيناريوهات، أدخل مستخدم اسم المستخدم الصحيح ولكن كلمة المرور الخاطئة. وفي سيناريو آخر، حاول مستخدم تسجيل الدخول باستخدام حساب لا ينتمي إلى أي مجموعة مصرح لها. في كلتا الحالتين، رفض النظام المحاولة بشكل صحيح. وبدلاً من ترك المستخدم دون وصول أو السماح له بالدخول بالخطأ إلى المنطقة الخاطئة، قامت الشبكة تلقائياً بنقل اتصاله إلى منطقة حجر صحي. هذه منطقة معزولة وآمنة حيث يمكن التحقيق مع المستخدم أو مساعدته دون القدرة على لمس الأجزاء الحساسة من الشبكة. لقد أدى النظام عملية الاحتواء هذه بشكل مثالي في كل مرة كانت فيها كلمة المرور خاطئة أو الحساب غير مصرح به.

ولعل الاختبار الأكثر أهمية تضمن محاكاة فشل السلطة المركزية نفسها. قام الباحث بإيقاف تشغيل الخادم المسؤول عن التحقق من الهويات، تاركاً مبدل الشبكة دون أحد يسأله للحصول على الإذن. في نظام سيء التصميم، قد يتسبب هذا في ارتباك المبدل وفتح جميع الأبواب، أو قفل الجميع تماماً. في هذه التجربة، تم تكوين المبدل مع وجود شبكة أمان. فعندما أدرك أن الخادم لا يمكن الوصول إليه، انتظر بضع ثوانٍ ثم نقل جميع الاتصالات الجديدة تلقائياً إلى نفس منطقة الحجر الصحي. وقد ضمن ذلك أنه حتى عندما يكون "عقل" النظام نائماً، يظل "جسد" الشبكة آمناً، مما يمنع الوصول غير المصرح به مع إبقاء الباب مفتوحاً للإصلاح والمعالجة.

كانت نتائج التجار nghiệm الخمسة والعشرين متسقة وواضحة. فقد وجه النظام بنجاح المستخدمين المصرح لهم إلى مناطقهم الصحيحة، ورفض المستخدمين غير المصرح لهم، واحتوى حالات الفشل بأمان في كل محاولة. وأشار الباحث إلى أنه بينما عمل النظام بشكل مثالي في هذه البيئة المحكومة، فإن العدد الصغير من الاختبارات يعني أنه بينما ثبت عمل الآلية، فإن موثوقيتها على المدى الطويل في شبكة ضخمة وواقعية ستتطلب مزيداً من الدراسة. لم تدّعِ الدراسة أنها حلت كل مشكلة أمنية ممكنة، ولم تختبر كل نوع من أنواع المصادقة. لقد ركزت تحديداً على إثبات أن نظاماً مبنياً من مكونات قياسية جاهزة يمكنه بنجاح ربط هوية المستخدم بموقعه في الشبكة بشكل ديناميكي.

تقدم النتائج مخططاً عملياً لكيفية انتقال المنظمات بعيداً عن الطريقة القدة والجامدة لإدارة الوصول إلى الشبكة. ومن خلال إثبات أن الموقع الرقمي للمستخدم يمكن أن يتبع هويته بدلاً من مقبسه المادي، تظهر الدراسة مساراً نحو شبكات أكثر أماناً ومرونة. أظهر النظام أنه من الممكن بناء شبكة تعرف من أنت، وتعاملك وفقاً لدورك، وتحمي نفسها عندما تسوء الأمور، وكل ذلك دون أن يحتاج المستخدم إلى فهم الآلات المعقدة التي تعمل خلف الكواليس. وللمراقب الفضولي، تؤكد التجربة أن حلم وجود شبكة تتكيف مع مستخدميها، بدلاً من إجبار المستخدمين على التكيف مع الشبكة، ليس مجرد فكرة نظرية بل هو واقع عامل يمكن بناؤه اليوم.