Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X
本論文は、IEEE 802.1X認証を介してグループメンバーシップに基づきユーザーを特定のVLANに動的に割り当てるために、Active Directory、Microsoft NPS、およびCisco IOSvL2スイッチを統合したエンドツーエンドのネットワークアクセス制御アーキテクチャを提示し、仮想化されたラボ環境において、有効な認証における100%の成功率と、不正または失敗した試行の有効な隔離を実証するものである。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
大規模な組織において、ネットワークはあらゆるメール、ファイル、ビデオ通話を運ぶ目に見えない高速道路です。何十年もの間、ネットワークアクセスは静的なものでした。壁のポートに物理的なケーブルを差し込むことが、そのデバイスがネットワークのどの部分に到達できるかを決定していたのです。そのポートに接続した人は、誰であろうと、そのセグメントへのアクセス権を得てしまうため、セキュリティはジャックへの物理的なアクセスに大きく依存していました。組織が拡大し、異なるレベルのアクセスを必要とする職員、学生、ゲストが含まれるようになると、このポートベースのアプローチは重大な弱点となりました。より優れた解決策は、アクセスを許可する前にネットワークが「あなたが誰であるか」を確認し、その役割が許可するネットワークセグメントにユーザーを配置することです。
これは、ジブチのアブドゥルラヒーム・ハムード・モハメド・アルマウェリ（Abdulraheem Hamoud Mohammed Almaweri）によって行われた研究が取り組んだ課題です。研究者は、静的なアクセスに代わる、動的でアイデンティティに基づいたアプローチを備えたシステムを構築し、評価しました。デバイスが接続されると、ネットワークは認証を求めます。ユーザーが有効な資格情報を提供すれば、システムは役割を確認し、接続を動的に適切なセグメントに割り当てます。職員は職員用ネットワークへ、学生は学生用ネットワークへと誘導されます。認証に失敗した場合や、認証サーバーが利用できない場合、システムはアクセスを制限し、接続を隔離されたクアランティン（検疫）ネットワークへとルーティングします。そこでは、機密リソースを危険にさらすことなく、問題を調査することができます。
これをテストするために、研究者は企業ネットワークを模した仮想ラボを構築しました。これには、アイデンティティ管理のための中央サーバー、アクセスルールを定義・適用するためのポリシーサーバー、そしてポートレベルでのアクセスを制御するネットワークスイッチが含まれています。職員と学生を代表する2つのユーザーグループを作成し、それぞれを個別の仮想ローカルエリアネットワーク（VLAN）にマッピングすることで、単一の物理インフラストラクチャ内での論理的な分離を実現しました。認証フレームワークにより、クライアントとネットワークは、アクセスを許可する前に身元を検証するためのメッセージを交換することができます。
研究者は、異なる条件下で25回のテストを実施しました。権限を持つ職員と学生が有効な資格情報で認証を行った際、すべてのケースにおいて、システムは彼らを認証し、それぞれを正しいVLANに割り当てました。デバイスの接続からアクセス許可までにかかった時間は約1.5秒であり、動的なアクセス制御が大幅な遅延を招く必要はないことを示唆しています。また、研究では失敗のケースもテストしました。正しいユーザー名だがパスワードが間違っている場合と、どの承認済みグループにも属さないアカウントの場合です。どちらのケースでも、システムは試行を拒否し、接続をクアランティンVLANに配置しました。これにより、管理者が調査を行えるようにしつつ、未承認の接続を機密リソースから遠ざけました。システムは、無効な資格情報や未承認のアカウントに関するすべてのテストケースにおいて、このクアランティン動作を徹底しました。
別のテストでは、中央の認証サーバーが利用できなくなった場合に何が起こるかを検証しました。設定によっては、このような故障は不正アクセスを許したり、正当なアクセスを拒否したりすることがありますが、ここでは、認証に失敗した場合やサービスに到達できない場合に、制限的なポリシーを適用するようにスイッチが設定されました。
評価されたシナリオ全体を通じて、システムは一貫した動作を示しました。承認されたユーザーをそれぞれのセグメントに割り当て、未承認の試行を拒否し、テストされた故障条件下では接続を隔離しました。試行回数は限定的であり、制御された仮想環境で実施されたため、大規模な実稼働ネットワークにおける長期的な信頼性、拡張性、およびパフォーマンスを判断するには、さらなるテストが必要となります。また、本研究はあらゆる脅威や認証方法に対処することを主張するものでもありません。この研究の貢献は、標準的なコンポーネントと確立された認証技術を使用して、ユーザーのアイデンティティと権限をネットワークアクセスの割り当てに結びつけることが可能であることを証明した点にあります。これにより、組織が静的なポートベースのアクセスから脱却し、より柔軟なアイデンティティベースの制御へと進むための道筋を示しました。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。