Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

Dans le monde numérique d'une grande organisation, le réseau est une autoroute invisible qui transporte chaque e-mail, chaque transfert de fichiers et chaque appel vidéo. Pendant des décennies, la gestion de l'accès au réseau était relativement simple et statique : un câble physique connecté à une prise murale déterminait la partie du réseau à laquelle un ordinateur pouvait accéder. Si cette prise était connectée à un segment de réseau spécifique, toute personne branchant un appareil dessus pouvait potentiellement accéder à ce segment, quelle que soit son identité. Cette approche reposait lourdement sur la sécurité physique. Si une personne non autorisée pouvait accéder à une prise réseau exposée, elle pouvait potentiellement accéder aux ressources du réseau sans avoir été préalablement authentifiée. À mesure que les organisations devenaient plus complexes, avec des employés, des étudiants et des invités nécessitant différents niveaux d'accès, cette approche traditionnelle est devenue une préoccupation majeure en matière de sécurité. Une solution plus sûre consiste à faire vérifier l'identité d'un utilisateur par le réseau avant de lui accorder l'accès, puis à diriger l'utilisateur vers le segment de réseau approprié selon son rôle autorisé.

C'est le défi abordé par une étude menée par Abdulraheem Hamoud Mohammed Almaweri à Djibouti. Le chercheur s'est donné pour mission de construire et d'évaluer un système qui remplace les affectations d'accès réseau statiques par une approche dynamique basée sur l'identité. Dans ce modèle, un ordinateur se connecte au réseau, et le réseau demande une authentification. Si l'utilisateur fournit des identifiants valides, le système vérifie son rôle au sein de l'organisation et assigne dynamiquement la connexion au segment de réseau approprié. Les membres du personnel sont dirigés vers le réseau du personnel, tandis que les étudiants sont dirigés vers le réseau des étudiants. Si l'authentification échoue ou si le serveur d'authentification devient indisponible, le système est conçu pour restreindre l'accès et diriger les connexions affectées vers un réseau de quarantaine isolé, où les problèmes de connectivité peuvent être examinés et résolus sans exposer les ressources sensibles du réseau.

Pour évaluer si ce processus pouvait fonctionner de manière fiable, le chercheur a construit un laboratoire virtuel représentant un réseau d'entreprise. Plutôt que de s'appuyer sur un seul ordinateur, l'expérience a utilisé un environnement réseau simulé intégrant un serveur central pour la gestion de l'identité, un serveur de politique pour définir et appliquer les règles d'accès, et un commutateur réseau pour contrôler l'accès via les ports physiques. Le chercheur a créé deux groupes d'utilisateurs distincts représentant le personnel et les étudiants. Chaque groupe était associé à un réseau local virtuel (VLAN) séparé, assurant une séparation logique entre les deux groupes au sein de la même infrastructure réseau physique. Le groupe du personnel était mappé vers un VLAN, tandis que le groupe des étudiants était mappé vers un autre. Le système utilisait un cadre d'authentification dans lequel le client et l'infrastructure réseau échangeaient des messages d'authentification pour vérifier l'identité de l'utilisateur avant d'accorder l'accès au réseau.

Le chercheur a ensuite mené vingt-cinq tests pour évaluer le système sous différentes conditions. Lors des tests initiaux, des utilisateurs autorisés des groupes du personnel et des étudiants ont tenté de s'authentifier à l'aide d'identifiants valides. Dans chaque cas testé, le système a authentifié avec succès les utilisateurs et a assigné leurs connexions au VLAN approprié. Les utilisateurs du personnel ont été dirigés vers le réseau du personnel, tandis que les utilisateurs étudiants ont été assignés au réseau des étudiants. Le processus d'authentification et d'assignation d'accès a également été mesuré. Du moment où l'utilisateur connecte l'appareil au réseau jusqu'à l'octroi de l'accès, le processus a pris environ une seconde et demie, selon les résultats expérimentaux rapportés. Cet intervalle relativement court suggère que le contrôle d'accès réseau dynamique peut être mis en œuvre sans nécessairement introduire de délai substantiel pour les utilisateurs dans l'environnement testé.

L'étude a également examiné la réponse du système aux échecs d'authentification. Dans un scénario, un utilisateur a fourni le bon nom d'utilisateur mais un mot de passe incorrect. Dans un autre, un utilisateur a tenté de s'authentifier avec un compte qui n'appartenait à aucun groupe autorisé. Dans les deux scénarios, le système a rejeté la tentative d'authentification et a assigné la connexion affectée au VLAN de quarantaine désigné. Ce segment de réseau isolé visait à empêcher les connexions non autorisées d'atteindre les ressources sensibles du réseau tout en permettant aux administrateurs d'examiner les échecs d'authentification ou d'aider les utilisateurs. Le système a appliqué avec succès le comportement de quarantaine configuré dans tous les cas testés impliquant des identifiants invalides ou des comptes non autorisés.

Un autre test important a examiné la réponse du système à l'indisponibilité du serveur d'authentification central. Le chercheur a simulé une défaillance de serveur pour évaluer le comportement du commutateur réseau lorsqu'il ne peut plus communiquer avec le service d'authentification. Selon la configuration, une telle défaillance peut entraîner soit un accès non autorisé, soit le refus d'un accès légitime. Dans cette expérience, le commutateur a été configuré pour appliquer une politique de repli restrictive. Lorsque le serveur d'authentification est devenu injoignable, les nouvelles connexions ont été dirigées vers le VLAN de quarantaine après l'intervalle de réponse configuré. Ce comportement a démontré comment une configuration de type « fail-secure » (sécurité en cas de panne) peut aider à maintenir l'isolation du réseau lorsque le service d'authentification central est indisponible. La portée précise de ce comportement, y compris son effet sur les sessions existantes, dépend de la configuration implémentée et des scénarios testés.

Les résultats des vingt-cinq tests ont montré un comportement cohérent à travers les scénarios évalués. Le système a assigné les utilisateurs autorisés à leurs segments de réseau désignés, a rejeté les tentatives d'authentification non autorisées et a dirigé les connexions affectées vers le VLAN de quarantaine dans les conditions de défaillance testées. Cependant, le nombre limité d'essais et l'utilisation d'un environnement virtuel contrôlé signifient que des tests supplémentaires seraient nécessaires pour évaluer la fiabilité, l'évolutivité et les performances à long terme dans des réseaux de production massifs. L'étude ne prétendait pas traiter toutes les menaces de sécurité réseau possibles ni évaluer toutes les méthodes d'authentification. Elle s'est plutôt concentrée sur la démonstration de la faisabilité du lien dynamique entre l'identité de l'utilisateur, son statut d'autorisation et les affectations d'accès au réseau en utilisant des composants réseau standards et des technologies d'authentification établies.

Ces conclusions fournissent un exemple pratique de la manière dont les organisations peuvent dépasser les affectations d'accès réseau statiques basées sur les ports pour passer à un contrôle d'accès plus flexible, basé sur l'identité. En démontrant que l'affectation réseau d'un utilisateur peut être déterminée par son identité authentifiée et son rôle organisationnel plutôt que par son seul point de connexion physique, l'étude illustre une approche pratique pour améliorer la segmentation du réseau et la gestion des accès. Les résultats expérimentaux indiquent qu'un réseau peut authentifier les utilisateurs, les assigner à des segments de réseau appropriés et appliquer des politiques restrictives lorsque l'authentification échoue ou que le service d'authentification devient indisponible. Bien que le déploiement dans des environnements de production nécessite une validation supplémentaire, l'expérience fournit une base pour des recherches plus approfondies sur le contrôle d'accès réseau dynamique utilisant les technologies de réseautage d'entreprise établies.