Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

एक बड़े संगठन की डिजिटल दुनिया में, नेटवर्क वह अदृश्य राजमार्ग है जो हर ईमेल, फ़ाइल स्थानांतरण और वीडियो कॉल को ले जाता है। दशकों तक, नेटवर्क एक्सेस मैनेजमेंट अपेक्षाकृत सरल और स्थिर था: एक भौतिक केबल जो दीवार के पोर्ट से जुड़ी होती थी, यह निर्धारित करती थी कि एक कंप्यूटर नेटवर्क के किस हिस्से तक पहुंच सकता है। यदि वह पोर्ट एक विशिष्ट नेटवर्क सेगमेंट से जुड़ा था, तो कोई भी जो उसमें कोई उपकरण लगाता, वह अपनी पहचान की परवाह किए बिना, उस सेगमेंट तक पहुंच प्राप्त कर सकता था। यह दृष्टिकोण काफी हद तक भौतिक सुरक्षा पर निर्भर था। यदि कोई अनधिकृत व्यक्ति किसी खुले नेटवर्क जैक तक पहुंच सकता था, तो वह प्रमाणीकरण (authentication) के बिना ही नेटवर्क संसाधनों तक पहुंच प्राप्त कर सकता था। जैसे-जैसे संगठन अधिक जटिल होते गए, जहाँ कर्मचारियों, छात्रों और अतिथियों को अलग-अलग स्तर की पहुंच की आवश्यकता थी, यह पारंपरिक दृष्टिकोण एक महत्वपूर्ण सुरक्षा चिंता बन गया। एक अधिक सुरक्षित समाधान यह है कि नेटवर्क पहुंच प्रदान करने से पहले उपयोगकर्ता की पहचान को सत्यापित करे और फिर उपयोगकर्ता को उनके अधिकृत रोल के अनुसार उपयुक्त नेटवर्क सेगमेंट की ओर निर्देशित करे।

यह वही चुनौती है जिसे जिबूती में अब्दुलरहीम हमौद मोहम्मद अल्मावेरी (Abdulraheem Hamoud Mohammed Almaweri) द्वारा किए गए एक अध्ययन में संबोधित किया गया है। शोधकर्ता ने एक ऐसी प्रणाली बनाने और मूल्यांकन करने का लक्ष्य रखा जो स्थिर नेटवर्क एक्सेस असाइनमेंट को एक गतिशील, पहचान-आधारित दृष्टिकोण से बदल दे। इस मॉडल में, एक कंप्यूटर नेटवर्क से जुड़ता है, और नेटवर्क प्रमाणीकरण का अनुरोध करता है। यदि उपयोगकर्ता वैध क्रेडेंशियल प्रदान करता है, तो सिस्टम संगठन के भीतर उनकी भूमिका को सत्यापित करता है और गतिशील रूप से कनेक्शन को उपयुक्त नेटवर्क सेगमेंट में असाइन करता है। स्टाफ सदस्यों को स्टाफ नेटवर्क की ओर निर्देशित किया जाता है, जबकि छात्रों को छात्र नेटवर्क की ओर निर्देशित किया जाता है। यदि प्रमाणीकरण विफल हो जाता है या प्रमाणीकरण सर्वर अनुपलब्ध हो जाता है, तो सिस्टम को पहुंच को प्रतिबंधित करने और प्रभावित कनेक्शनों को एक अलग क्वारंटाइन नेटवर्क (quarantine network) की ओर निर्देशित करने के लिए डिज़ाइन किया गया है, जहाँ संवेदनशील नेटवर्क संसाधनों को उजागर किए बिना कनेक्टिविटी समस्याओं की जांच और समाधान किया जा सकता है।

यह मूल्यांकन करने के लिए कि क्या यह प्रक्रिया विश्वसनीय रूप से काम कर सकती है, शोधकर्ता ने एक एंटरप्राइज नेटवर्क का प्रतिनिधित्व करने वाली एक वर्चुअल प्रयोगशाला बनाई। एक एकल कंप्यूटर पर निर्भर रहने के बजाय, प्रयोग में एक सिम्युलेटेड नेटवर्क वातावरण का उपयोग किया गया जिसमें पहचान प्रबंधन के लिए एक केंद्रीय सर्वर, पहुंच नियमों को परिभाषित करने और लागू करने के लिए एक पॉलिसी सर्वर, और भौतिक पोर्ट के माध्यम से पहुंच को नियंत्रित करने के लिए एक नेटवर्क स्विच शामिल था। शोधकर्ता ने स्टाफ और छात्रों का प्रतिनिधित्व करने वाले दो अलग-अलग उपयोगकर्ता समूह बनाए। प्रत्येक समूह को एक अलग वर्चुअल लोकल एरिया नेटवर्क (VLAN) से जोड़ा गया था, जो एक ही भौतिक नेटवर्क इंफ्रास्ट्रक्चर के भीतर दोनों समूहों के बीच तार्किक अलगाव (logical separation) प्रदान करता था। स्टाफ समूह को एक VLAN से मैप किया गया था, जबकि छात्र समूह को दूसरे से। सिस्टम ने एक प्रमाणीकरण ढांचे का उपयोग किया जिसमें क्लाइंट और नेटवर्क इंफ्रास्ट्रक्चर नेटवर्क पहुंच प्रदान करने से पहले उपयोगकर्ता की पहचान सत्यापित करने के लिए प्रमाणीकरण संदेशों का आदान-प्रदान करते थे।

शोधकर्ता ने फिर विभिन्न स्थितियों के तहत सिस्टम का मूल्यांकन करने के लिए पच्चीस परीक्षण किए। प्रारंभिक परीक्षणों में, स्टाफ और छात्र दोनों समूहों के अधिकृत उपयोगकर्ताओं ने वैध क्रेडेंशियल का उपयोग करके प्रमाणीकरण करने का प्रयास किया। प्रत्येक परीक्षण किए गए मामले में, सिस्टम ने उपयोगकर्ताओं को सफलतापूर्वक प्रमाणित किया और उनके कनेक्शन को उपयुक्त VLAN में असाइन किया। स्टाफ उपयोगकर्ताओं को स्टाफ नेटवर्क की ओर निर्देशित किया गया, जबकि छात्र उपयोगकर्ताओं को छात्र नेटवर्क में असाइन किया गया। प्रमाणीकरण और एक्सेस-असाइनमेंट प्रक्रिया को भी मापा गया। एक उपयोगकर्ता द्वारा डिवाइस को नेटवर्क से जोड़ने के समय से लेकर पहुंच प्रदान किए जाने तक, रिपोर्ट किए गए प्रायोगिक परिणामों के अनुसार, इस प्रक्रिया में लगभग डेढ़ सेकंड का समय लगा। यह अपेक्षाकृत छोटा अंतराल बताता है कि परीक्षण किए गए वातावरण में उपयोगकर्ताओं के लिए आवश्यक रूप से कोई बड़ा विलंब किए बिना गतिशील नेटवर्क एक्सेस कंट्रोल को लागू किया जा सकता है।

अध्ययन ने यह भी जांचा कि प्रमाणीकरण विफल होने पर सिस्टम कैसे प्रतिक्रिया देता है। एक परिदृश्य में, एक उपयोगकर्ता ने सही यूजरनेम लेकिन गलत पासवर्ड दिया। दूसरे में, एक उपयोगकर्ता ने ऐसे खाते से प्रमाणीकरण करने का प्रयास किया जो किसी अधिकृत समूह का नहीं था। दोनों ही परिदृश्यों में, सिस्टम ने प्रमाणीकरण प्रयास को खारिज कर दिया और प्रभावित कनेक्शन को निर्दिष्ट क्वारंटाइन VLAN में असाइन कर दिया। इस अलग नेटवर्क सेगमेंट का उद्देश्य अनधिकृत कनेक्शनों को संवेदनशील नेटवर्क संसाधनों तक पहुँचने से रोकना था, जबकि प्रशासकों को प्रमाणीकरण विफलताओं की जांच करने या उपयोगकर्ताओं की सहायता करने की अनुमति देना था। सिस्टम ने अमान्य क्रेडेंशियल या अनधिकृत खातों से जुड़े सभी परीक्षण किए गए मामलों में कॉन्फ़िगर किए गए क्वारंटाइन व्यवहार को सफलतापूर्वक लागू किया।

एक अन्य महत्वपूर्ण परीक्षण ने केंद्रीय प्रमाणीकरण सर्वर की अनुपलब्धता के प्रति सिस्टम की प्रतिक्रिया की जांच की। शोधकर्ता ने एक सर्वर विफलता का अनुकरण किया ताकि यह मूल्यांकन किया जा सके कि नेटवर्क स्विच कैसा व्यवहार करेगा जब वह प्रमाणीकरण सेवा के साथ संवाद नहीं कर पाएगा। कॉन्फ़िगरेशन के आधार पर, ऐसी विफलता का परिणाम या तो अनधिकृत पहुंच हो सकता है या वैध पहुंच से इनकार किया जा सकता है। इस प्रयोग में, स्विच को एक प्रतिबंधात्मक फॉलबैक पॉलिसी (restrictive fallback policy) लागू करने के लिए कॉन्फ़िगर किया गया था। जब प्रमाणीकरण सर्वर तक पहुंच संभव नहीं रही, तो नए कनेक्शनों को कॉन्फ़िगर किए गए रिस्पॉन्स इंटरवल के बाद क्वारंटाइन VLAN की ओर निर्देशित किया गया। इस व्यवहार ने प्रदर्शित किया कि कैसे एक फेल-सिक्योर (fail-secure) कॉन्फ़िगरेशन केंद्रीय प्रमाणीकरण सेवा अनुपलब्ध होने पर नेटवर्क अलगाव बनाए रखने में मदद कर सकता है। इस व्यवहार का सटीक दायरा, जिसमें मौजूदा सत्रों पर इसका प्रभाव शामिल है, लागू कॉन्फ़िगरेशन और परीक्षण किए गए परिदृश्यों पर निर्भर करता है।

पच्चीस परीक्षणों के परिणामों ने मूल्यांकित किए गए परिदृश्यों में सुसंगत व्यवहार दिखाया। सिस्टम ने अधिकृत उपयोगकर्ताओं को उनके निर्दिष्ट नेटवर्क सेगमेंट में असाइन किया, अनधिकृत प्रमाणीकरण प्रयासों को खारिज किया, और परीक्षण किए गए विफलता की स्थितियों के तहत प्रभावित कनेक्शनों को क्वारंटाइन VLAN की ओर निर्देशित किया। हालांकि, परीक्षणों की सीमित संख्या और एक नियंत्रित वर्चुअल वातावरण का उपयोग यह दर्शाता है कि बड़े प्रोडक्शन नेटवर्क में दीर्घकालिक विश्वसनीयता, स्केलेबिलिटी और प्रदर्शन का मूल्यांकन करने के लिए आगे के परीक्षणों की आवश्यकता होगी। अध्ययन ने यह दावा नहीं किया कि उसने हर संभव नेटवर्क सुरक्षा खतरे का समाधान किया है या हर प्रमाणीकरण पद्धति का मूल्यांकन किया है। इसके बजाय, इसने मानक नेटवर्क घटकों और स्थापित प्रमाणीकरण प्रौद्योगिकियों का उपयोग करके उपयोगकर्ता की पहचान और प्राधिकरण स्थिति को नेटवर्क एक्सेस असाइनमेंट से गतिशील रूप से जोड़ने की व्यवहार्यता प्रदर्शित करने पर ध्यान केंद्रित किया।

ये निष्कर्ष एक व्यावहारिक उदाहरण प्रदान करते हैं कि कैसे संगठन स्थिर, पोर्ट-आधारित नेटवर्क एक्सेस असाइनमेंट से आगे बढ़कर अधिक लचीले, पहचान-आधारित एक्सेस कंट्रोल की ओर बढ़ सकते हैं। यह प्रदर्शित करके कि एक उपयोगकर्ता का नेटवर्क असाइनमेंट केवल उनके भौतिक कनेक्शन बिंदु के बजाय उनकी प्रमाणित पहचान और संगठनात्मक भूमिका द्वारा निर्धारित किया जा सकता है, यह अध्ययन नेटवर्क सेगमेंटेशन और एक्सेस मैनेजमेंट में सुधार के लिए एक व्यावहारिक दृष्टिकोण को चित्रित करता है। प्रायोगिक परिणाम संकेत देते हैं कि एक नेटवर्क उपयोगकर्ताओं को प्रमाणित कर सकता है, उन्हें उपयुक्त नेटवर्क सेगमेंट में असाइन कर सकता है, और प्रमाणीकरण विफल होने या प्रमाणीकरण सेवा अनुपलब्ध होने पर प्रतिबंधात्मक नीतियां लागू कर सकता है। हालांकि प्रोडक्शन वातावरण में तैनाती के लिए अतिरिक्त सत्यापन की आवश्यकता होगी, यह प्रयोग स्थापित एंटरप्राइज नेटवर्किंग प्रौद्योगिकियों का उपयोग करके गतिशील नेटवर्क एक्सेस कंट्रोल में आगे के शोध के लिए एक आधार प्रदान करता है।