Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

In der digitalen Welt einer großen Organisation ist das Netzwerk eine unsichtbare Autobahn, die jede E-Mail, jeden Dateitransfer und jeden Videoanruf trägt. Jahrzehntelang war das Management des Netzwerkzugriffs relativ einfach und statisch: Ein physisches Kabel, das mit einer Wanddose verbunden war, bestimmte, auf welchen Teil des Netzwerks ein Computer zugreifen konnte. Wenn dieser Port mit einem bestimmten Netzwerksegment verbunden war, konnte jeder, der ein Gerät einsteckte, potenziell Zugriff auf dieses Segment erhalten, unabhängig von seiner Identität. Dieser Ansatz verließ sich stark auf die physische Sicherheit. Wenn eine unbefugte Person Zugang zu einer freiliegenden Netzwerkdose erlangen konnte, konnte sie möglicherweise auf Netzwerkressourcen zugreifen, ohne zuvor authentifiziert worden zu sein. Da Organisationen immer komplexer wurden und Mitarbeiter, Studenten und Gäste unterschiedliche Zugriffsebenen benötigten, wurde dieser traditionelle Ansatz zu einem erheblichen Sicherheitsrisiko. Eine sicherere Lösung besteht darin, das Netzwerk die Identität eines Benutzers verifizieren zu lassen, bevor der Zugriff gewährt wird, und den Benutzer dann entsprechend seiner autorisierten Rolle an das appropriate Netzwerksegment weiterzuleiten.

Dies ist die Herausforderung, die durch eine Studie von Abdulraheem Hamoud Mohammed Almaweri in Djibouti adressiert wurde. Der Forscher setzte sich zum Ziel, ein System zu bauen und zu bewerten, das statische Netzwerkzugriffszuweisungen durch einen dynamischen, identitätsbasierten Ansatz ersetzt. In diesem Modell verbindet sich ein Computer mit dem Netzwerk, und das Netzwerk fordert eine Authentifizierung an. Wenn der Benutzer gültige Anmeldedaten bereitstellt, überprüft das System dessen Rolle innerhalb der Organisation und weist die Verbindung dynamisch dem entsprechenden Netzwerksegment zu. Mitarbeiter werden an das Personalnetzwerk geleitet, während Studenten an das Studentennetzwerk geleitet werden. Wenn die Authentifizierung fehlschlägt oder der Authentifizierungsserver nicht verfügbar wird, ist das System so konzipiert, dass es den Zugriff einschränkt und betroffene Verbindungen in ein isoliertes Quarantäne-Netzwerk umleitet, in dem Konnektivitätsprobleme untersucht und gelöst werden können, ohne sensible Netzwerkressourcen zu gefährden.

Um zu bewerten, ob dieser Prozess zuverlässig arbeiten kann, baute der Forscher ein virtuelles Labor, das ein Unternehmensnetzwerk darstellt. Anstatt sich auf einen einzelnen Computer zu verlassen, nutzte das Experiment eine simulierte Netzwerkumgebung, die einen zentralen Server für das Identitätsmanagement, einen Policy-Server zur Definition und Durchsetzung von Zugriffsregeln und einen Netzwerk-Switch zur Steuerung des Zugriffs über physische Ports umfasste. Der Forscher erstellte zwei unterschiedliche Nutzergruppen, die Mitarbeiter und Studenten repräsentierten. Jede Gruppe wurde mit einem separaten Virtual Local Area Network (VLAN) verknüpft, was eine logische Trennung zwischen den beiden Gruppen innerhalb derselben physischen Netzwerkinfrastruktur ermöglichte. Die Mitarbeitergruppe wurde einem VLAN zugeordnet, während die Studentengruppe einem anderen zugeordnet wurde. Das System nutzte ein Authentifizierungs-Framework, bei dem der Client und die Netzwerkinfrastruktur Authentifizierungsnachrichten austauschten, um die Benutzeridentität zu verifizieren, bevor der Netzwerkzugriff gewährt wurde.

Der Forscher führte dann fünfundzwanzig Tests durch, um das System unter verschiedenen Bedingungen zu bewerten. In den ersten Tests versuchten autorisierte Benutzer aus beiden Gruppen, Mitarbeiter und Studenten, sich mit gültigen Anmeldedaten zu authentifizieren. In jedem getesteten Fall authentifizierte das System die Benutzer erfolgreich und wies ihre Verbindungen dem entsprechenden VLAN zu. Mitarbeiter wurden an das Personalnetzwerk geleitet, während Studenten dem Studentennetzwerk zugewiesen wurden. Der Prozess der Authentifizierung und der Zugriffszuweisung wurde ebenfalls gemessen. Von dem Zeitpunkt an, an dem ein Benutzer das Gerät mit dem Netzwerk verband, bis zum Gewähren des Zugriffs dauerte der Vorgang gemäß den berichteten experimentellen Ergebnissen etwa eineinhalb Sekunden. Dieses relativ kurze Intervall deutet darauf hin, dass eine dynamische Netzwerkzugriffskontrolle implementiert werden kann, ohne in der getesteten Umgebung notwendigerweise eine erhebliche Verzögerung für die Benutzer einzuführen.

Die Studie untersuchte auch, wie das System auf Authentifizierungsfehler reagierte. In einem Szenario gab ein Benutzer den korrekten Benutzernamen, aber ein falsches Passwort ein. In einem anderen Fall versuchte ein Benutzer, sich mit einem Konto zu authentifizieren, das nicht zu einer autorisierten Gruppe gehörte. In beiden Szenarien wies das System den Authentifizierungsversuch ab und wies die betroffene Verbindung dem vorgesehenen Quarantäne-VLAN zu. Dieses isolierte Netzwerksegment sollte verhindern, dass unbefugte Verbindungen sensible Netzwerkressourcen erreichen, während es Administratoren ermöglicht, Authentifizierungsfehler zu untersuchen oder Benutzern zu helfen. Das System setzte das konfigurierte Quarantäne-Verhalten in allen getesteten Fällen, die ungültige Anmeldedaten oder unbefugte Konten betrafen, erfolgreich durch.

Ein weiterer wichtiger Test untersuchte die Reaktion des Systems auf die Nichtverfügbarkeit des zentralen Authentifizierungsservers. Der Forscher simulierte einen Serverausfall, um zu bewerten, wie sich der Netzwerk-Switch verhalten würde, wenn er nicht mehr mit dem Authentifizierungsdienst kommunizieren kann. Je nach Konfiguration kann ein solcher Ausfall entweder zu unbefugtem Zugriff oder zur Verweigerung des legitimen Zugriffs führen. In diesem Experiment wurde der Switch so konfiguriert, dass er eine restriktive Fallback-Richtlinie anwendet. Als der Authentifizierungsserver nicht mehr erreichbar war, wurden neue Verbindungen nach dem konfigurierten Antwortintervall in das Quarantäne-VLAN umgeleitet. Dieses Verhalten demonstrierte, wie eine Fail-Secure-Konfiguration dazu beitragen kann, die Netzwerkisolation aufrechtzuerhalten, wenn der zentrale Authentifizierungsdienst nicht verfügbar ist. Der genaue Umfang dieses Verhaltens, einschließlich seiner Auswirkungen auf bestehende Sitzungen, hängt von der implementierten Konfiguration und den getesteten Szenarien ab.

Die Ergebnisse der fünfundzwanzig Tests zeigten ein konsistentes Verhalten über alle bewerteten Szenarien hinweg. Das System wies autorisierte Benutzer ihren vorgesehenen Netzwerksegmenten zu, wies unbefugte Authentifizierungsversuche ab und leitete betroffene Verbindungen unter den getesteten Ausfallbedingungen in das Quarantäne-VLAN um. Die begrenzte Anzahl der Versuche und die Verwendung einer kontrollierten virtuellen Umgebung bedeuten jedoch, dass weitere Tests erforderlich wären, um die langfristige Zuverlässigkeit, Skalierbarkeit und Leistung in großen Produktionsnetzwerken zu bewerten. Die Studie behauptete nicht, jede mögliche Netzwerkbedrohung zu adressieren oder jede Authentifizierungsmethode zu bewerten. Stattdessen konzentrierte sie sich darauf, die Machbarkeit aufzuzeigen, die Benutzeridentität und den Autorisierungsstatus mithilfe von Standard-Netzwerkkomponenten und etablierten Authentifizierungstechnologien dynamisch mit Netzwerkzugriffszuweisungen zu verknüpfen.

Diese Erkenntnisse bieten ein praktisches Beispiel dafür, wie Organisationen von statischen, portbasierten Netzwerkzugriffszuweisungen zu einer flexibleren, identitätsbasierten Zugriffskontrolle übergehen können. Indem die Studie zeigt, dass die Netzwerkzuweisung eines Benutzers durch seine authentifizierte Identität und seine organisatorische Rolle statt allein durch seinen physischen Anschlusspunkt bestimmt werden kann, illustriert sie einen praktischen Ansatz zur Verbesserung der Netzwerksegmentierung und des Zugriffsmanagements. Die experimentellen Ergebnisse deuten darauf hin, dass ein Netzwerk Benutzer authentifizieren, ihnen geeignete Netzwerksegmente zuweisen und restriktive Richtlinien anwenden kann, wenn die Authentifizierung fehlschlägt oder der Authentifizierungsdienst nicht verfügbar ist. Obwohl der Einsatz in Produktionsumgebungen eine zusätzliche Validierung erfordern würde, bietet das Experiment eine Grundlage für weitere Forschung zur dynamischen Netzwerkzugriffskontrolle unter Verwendung etablierter Enterprise-Networking-Technologien.