Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

Nel mondo digitale di una grande organizzazione, la rete è un'autostrada invisibile che trasporta ogni email, trasferimento di file e videochiamata. Per decenni, la gestione dell'accesso alla rete è stata relativamente semplice e statica: un cavo fisico collegato a una presa a muro determinava quale parte della rete un computer potesse accedere. Se quella presa era collegata a un segmento di rete specifico, chiunque avesse collegato un dispositivo ad essa poteva potenzialmente ottenere l'accesso a quel segmento, indipendentemente dalla propria identità. Questo approccio si affidava pesantemente alla sicurezza fisica. Se una persona non autorizzata riusciva ad accedere a una presa di rete esposta, poteva ottenere l'accesso alle risorse di rete senza essere preventivamente autenticata. Man mano che le organizzazioni diventavano più complesse, con dipendenti, studenti e ospiti che richiedevano diversi livelli di accesso, questo approccio tradizionale è diventato una significativa preoccupazione per la sicurezza. Una soluzione più sicura consiste nel rendere la rete capace di verificare l'identità di un utente prima di concedere l'accesso e poi indirizzare l'utente al segmento di rete appropriato in base al suo ruolo autorizzato.

Questa è la sfida affrontata da uno studio condotto da Abdulraheem Hamoud Mohammed Almaweri a Gibuti. Il ricercatore si è posto l'obiettivo di costruire e valutare un sistema che sostituisca le assegnazioni statiche dell'accesso alla rete con un approccio dinamico basato sull'identità. In questo modello, un computer si connette alla rete e la rete richiede l'autenticazione. Se l'utente fornisce credenziali valide, il sistema verifica il suo ruolo all'interno dell'organizzazione e assegna dinamicamente la connessione al segmento di rete appropriato. I membri dello staff vengono indirizzati alla rete dello staff, mentre gli studenti vengono indirizzati alla rete degli studenti. Se l'autenticazione fallisce o il server di autenticazione non è disponibile, il sistema è progettato per limitare l'accesso e indirizzare le connessioni interessate verso una rete di quarantena isolata, dove i problemi di connettività possono essere indagati e risolti senza esporre risorse di rete sensibili.

Per valutare se questo processo potesse operare in modo affidabile, il ricercatore ha costruito un laboratorio virtuale che rappresenta una rete aziendale. Invece di fare affidamento su un singolo computer, l'esperimento ha utilizzato un ambiente di rete simulato che integrava un server centrale per la gestione dell'identità, un server delle policy per definire ed applicare le regole di accesso e uno switch di rete per controllare l'accesso attraverso le porte fisiche. Il ricercatore ha creato due gruppi di utenti distinti che rappresentavano lo staff e gli studenti. Ogni gruppo è stato associato a una separata Virtual Local Area Network (VLAN), fornendo una separazione logica tra i due gruppi all'interno della stessa infrastruttura di rete fisica. Il gruppo dello staff è stato mappato su una VLAN, mentre il gruppo degli studenti è stato mappato su un'altra. Il sistema ha utilizzato un framework di autenticazione in cui il client e l'infrastruttura di rete si scambiavano messaggi di autenticazione per verificare l'identità dell'utente prima di concedere l'accesso alla rete.

Il ricercatore ha poi condotto venticinque test per valutare il sistema in diverse condizioni. Nei test iniziali, utenti autorizzati sia del gruppo dello staff che di quello degli studenti hanno tentato di autenticarsi utilizzando credenziali valide. In ogni caso testato, il sistema ha autenticato con successo gli utenti e ha assegnato le loro connessioni alla VLAN appropriata. Gli utenti dello staff sono stati indirizzati alla rete dello staff, mentre gli utenti studenti sono stati assegnati alla rete degli studenti. È stato misurato anche il processo di autenticazione e di assegnazione dell'accesso. Dal momento in cui un utente ha collegato il dispositivo alla rete fino al momento in cui l'accesso è stato concesso, il processo ha impiegato circa un secondo e mezzo, secondo i risultati sperimentali riportati. Questo intervallo relativamente breve suggerisce che il controllo dinamico dell'accesso alla rete può essere implementato senza necessariamente introdurre un ritardo sostanziale per gli utenti nell'ambiente testato.

Lo studio ha esaminato anche come il sistema rispondeva ai fallimenti dell'autenticazione. In uno scenario, un utente ha fornito il nome utente corretto ma una password errata. In un altro, un utente ha tentato di autenticarsi con un account che non apparteneva a un gruppo autorizzato. In entrambi gli scenari, il sistema ha rifiutato il tentativo di autenticazione e ha assegnato la connessione interessata alla VLAN di quarantena designata. Questo segmento di rete isolato era destinato a impedire alle connessioni non autorizzate di raggiungere risorse di rete sensibili, consentendo al contempo agli amministratori di indagare sui fallimenti dell'autenticazione o di assistere gli utenti. Il sistema ha applicato con successo il comportamento di quarantena configurato in tutti i casi testati che coinvolgevano credenziali non valide o account non autorizzati.

Un altro test importante ha esaminato la risposta del sistema all'indisponibilità del server di autenticazione centrale. Il ricercatore ha simulato un guasto del server per valutare come si sarebbe comportato lo switch di rete quando non avesse più potuto comunicare con il servizio di autenticazione. A seconda della configurazione, un tale guasto può comportare sia l'accesso non autorizzato che il diniego dell'accesso legittimo. In questo esperimento, lo switch è stato configurato per applicare una policy di fallback restrittiva. Quando il server di autenticazione è diventato irraggiungibile, le nuove connessioni sono state indirizzate alla VLAN di quarantena dopo l'intervallo di risposta configurato. Questo comportamento ha dimostrato come una configurazione "fail-secure" possa aiutare a mantenere l'isolamento della rete quando il servizio di autenticazione centrale non è disponibile. L'ambito preciso di questo comportamento, incluso il suo effetto sulle sessioni esistenti, dipende dalla configurazione implementata e dagli scenari testati.

I risultati dei venticinque test hanno mostrato un comportamento coerente in tutti gli scenari valutati. Il sistema ha assegnato gli utenti autorizzati ai loro segmenti di rete designati, ha rifiutato i tentativi di autenticazione non autorizzati e ha indirizzato le connessioni interessate alla VLAN di quarantena nelle condizioni di guasto testate. Tuttavia, il numero limitato di prove e l'uso di un ambiente virtuale controllato implicano che sarebbero necessari ulteriori test per valutare l'affidabilità a lungo termine, la scalabilità e le prestazioni in ampie reti di produzione. Lo studio non ha sostenuto di affrontare ogni possibile minaccia alla sicurezza di rete o di valutare ogni metodo di autenticazione. Si è concentrato invece sul dimostrare la fattibilità del collegamento dinamico tra l'identità dell'utente e lo stato di autorizzazione con le assegnazioni di accesso alla rete, utilizzando componenti di rete standard e tecnologie di autenticazione consolidate.

Questi risultati forniscono un esempio pratico di come le organizzazioni possano superare le assegnazioni statiche dell'accesso alla rete basate sulla porta per passare a un controllo dell'accesso più flessibile e basato sull'identità. Dimostrando che l'assegnazione di rete di un utente può essere determinata dalla sua identità autenticata e dal suo ruolo organizzativo piuttosto che esclusivamente dal suo punto di connessione fisico, lo studio illustra un approccio pratico per migliorare la segmentazione della rete e la gestione dell'accesso. I risultati sperimentali indicano che una rete può autenticare gli utenti, assegnarli ai segmenti di rete appropriati e applicare policy restrittive quando l'autenticazione fallisce o il servizio di autenticazione diventa non disponibile. Sebbene l'implementazione in ambienti di produzione richiederebbe ulteriori validazioni, l'esperimento fornisce una base per ulteriori ricerche sul controllo dinamico dell'accesso alla rete utilizzando tecnologie di rete aziendali consolidate.