Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

In de digitale wereld van een grote organisatie is het netwerk een onzichtbare snelweg die elke e-mail, bestandsoverdracht en videogesprek vervoert. Decennialang was het beheer van netwerktoegang relatief eenvoudig en statisch: een fysieke kabel die in een wandcontactdoos werd gestoken, bepaalde welk deel van het netwerk een computer kon bereiken. Als die poort verbonden was met een specifiek netwerksegment, kon iedereen die een apparaat in de poort aansloot potentieel toegang krijgen tot dat segment, ongeacht hun identiteit. Deze aanpak vertrouwde zwaar op fysieke beveiliging. Als een onbevoegd persoon toegang kon krijgen tot een blootgestelde netwerkpoort, konden zij mogelijk toegang krijgen tot netwerkbronnen zonder eerst te worden geauthenticeerd. Naarmate organisaties complexer werden, met werknemers, studenten en gasten die verschillende niveaus van toegang vereisten, werd deze traditionele aanpak een aanzienlijk beveiligingsrisico. Een veiligere oplossing is om het netwerk de identiteit van een gebruiker te laten verifiëren voordat toegang wordt verleend, en de gebruiker vervolgens naar het juiste netwerksegment te leiden op basis van hun geautoriseerde rol.

Dit is de uitdaging die wordt aangepakt door een studie uitgevoerd door Abdulraheem Hamoud Mohammed Almaweri in Djibouti. De onderzoeker zette zich tot doel om een systeem te bouwen en te evalueren dat statische toewijzingen van netwerktoegang vervangt door een dynamische, op identiteit gebaseerde aanpak. In dit model maakt een computer verbinding met het netwerk, en het netwerk vraagt om authenticatie. Als de gebruiker geldige inloggegevens verstrekt, verifieert het systeem hun rol binnen de organisatie en wijst de verbinding dynamisch toe aan het juiste netwerksegment. Medewerkers worden naar het personeelsnetwerk geleid, terwijl studenten naar het studentennetwerk worden geleid. Als de authenticatie mislukt of de authenticatieserver niet beschikbaar is, is het systeem ontworpen om de toegang te beperken en de getroffen verbindingen naar een geïsoleerd quarantainenetwerk te leiden, waar verbindingsproblemen kunnen worden onderzocht en opgelost zonder gevoelige netwerkbronnen bloot te stellen.

Om te evalueren of dit proces betrouwbaar kon werken, bouwde de onderzoeker een virtueel laboratorium dat een bedrijfsnetwerk vertegenwoordigt. In plaats van te vertrouwen op een enkele computer, gebruikte het experiment een gesimuleerde netwerkomgeving met een centrale server voor identiteitsbeheer, een beleidsserver voor het definiëren en afdwingen van toegangsregels, en een netwerkswitch voor het controleren van de toegang via fysieke poorten. De onderzoeker creëerde twee duidelijke gebruikersgroepen die personeel en studenten vertegenwoordigden. Elke groep werd gekoppeld aan een apart virtual local area network (VLAN), wat zorgt voor een logische scheiding tussen de twee groepen binnen dezelfde fysieke netwerkinfrastructuur. De personeelsgroep werd toegewezen aan één VLAN, terwijl de studentengroep aan een ander VLAN werd toegewezen. Het systeem gebruikte een authenticatiekader waarin de client en de netwerkinfrastructuur authenticatieberichten uitwisselden om de gebruikersidentiteit te verifiëren voordat er netwerktoegang werd verleend.

De onderzoeker voerde vervolgens vijfentwintig tests uit om het systeem onder verschillende omstandigheden te evalueren. In de eerste tests probeerden geautoriseerde gebruikers uit zowel de personeels- als de studentengroepen te authenticeren met geldige inloggegevens. In elk geteste geval authenticeerde het systeem de gebruikers succesvol en wijsde de verbindingen toe aan het juiste VLAN. Personeelsgebruikers werden naar het personeelsnetwerk geleid, terwijl studenten werden toegewezen aan het studentennetwerk. Het proces van authenticatie en toewijzing van toegang werd ook gemeten. Vanaf het moment dat een gebruiker het apparaat met het netwerk verbond tot het moment dat toegang werd verleend, duurde het proces volgens de gerapporteerde experimentele resultaten ongeveer anderhalf seconde. Dit relatief korte interval suggereert dat dynamische netwerktoegangscontrole kan worden geïmplementeerd zonder noodzakelijkerwijs een aanzienlijke vertraging voor gebruikers te introduceren in de geteste omgeving.

De studie onderzocht ook hoe het systeem reageerde op mislukte authenticaties. In één scenario voerde een gebruiker de juiste gebruikersnaam in, maar een onjuist wachtwoord. In een ander scenario probeerde een gebruiker te authenticeren met een account dat niet tot een geautoriseerde groep behoorde. In beide scenario's wees het systeem de authenticatiepoging af en wijsde de getroffen verbinding toe aan het aangewezen quarantaine-VLAN. Dit geïsoleerde netwerksegment was bedoeld om te voorkomen dat ongeautoriseerde verbindingen gevoelige netwerkbronnen bereikten, terwijl beheerders de gelegenheid kregen om authenticatiefouten te onderzoeken of gebruikers te helpen. Het systeem voerde het geconfigureerde quarantainegedrag succesvol uit in alle geteste gevallen met ongeldige inloggegevens of ongeautoriseerde accounts.

Een andere belangrijke test onderzocht de reactie van het systeem op de onbeschikbaarheid van de centrale authenticatieserver. De onderzoeker simuleerde een serveruitval om te evalueren hoe de netwerkswitch zou reageren wanneer deze niet langer met de authenticatiedienst kon communiceren. Afhankelijk van de configuratie kan een dergelijke uitval leiden tot ofwel ongeautoriseerde toegang, ofwel de weigering van legitieme toegang. In dit experiment was de switch geconfigureerd om een restrictief fallback-beleid toe te passen. Wanneer de authenticatieserver onbereikbaar werd, werden nieuwe verbindingen na het geconfigureerde reactie-interval naar het quarantaine-VLAN geleid. Dit gedrag demonstreerde hoe een fail-secure configuratie kan helpen bij het handhaven van netwerkisolatie wanneer de centrale authenticatiedienst niet beschikbaar is. De exacte reikwijdte van dit gedrag, inclusief het effect op bestaande sessies, hangt af van de geïmplementeerde configuratie en de geteste scenario's.

De resultaten van de vijfentwintig tests toonden consistent gedrag over de geëvalueerde scenario's. Het systeem wijsde geautoriseerde gebruikers toe aan hun aangewezen netwerksegmenten, weigerde ongeautoriseerde authenticatiepogingen en leidde getroffen verbindingen naar het quarantaine-VLAN onder de geteste foutcondities. Vanwege het beperkte aantal proeven en het gebruik van een gecontroleerde virtuele omgeving is echter verdere testwerk nodig om de langetermijnbetrouwbaarheid, schaalbaarheid en prestaties in grote productienetwerken te evalueren. De studie beweerde niet elk mogelijk netwerkbeveiligingsrisico aan te pakken of elke authenticatiemethode te evalueren. In plaats daarvan richtte het zich op het aantonen van de haalbaarheid van het dynamisch koppelen van gebruikersidentiteit en autorisatiestatus aan netwerktoewijzingen met behulp van standaard netwerkcomponenten en gevestigde authenticatietechnologieën.

Deze bevindingen bieden een praktisch voorbeeld van hoe organisaties voorbij statische, op poorten gebaseerde netwerktoewijzingen kunnen bewegen naar flexibelere, op identiteit gebaseerde toegangscontrole. Door aan te tonen dat de netwerktoewijzing van een gebruiker kan worden bepaald door hun geauthenticeerde identiteit en organisatorische rol in plaats van uitsluitend door hun fysieke aansluitpunt, illustreert de studie een praktische aanpak voor het verbeteren van netwerksegmentatie en toegangsbeheer. De experimentele resultaten geven aan dat een netwerk gebruikers kan authenticeren, hen kan toewijzen aan passende netwerksegmenten en restrictieve beleid kan toepassen wanneer authenticatie mislukt of de authenticatiedienst niet beschikbaar is. Hoewel implementatie in productieomgevingen aanvullende validatie vereist, biedt het experiment een fundament voor verder onderzoek naar dynamische netwerktoegangscontrole met behulp van gevestigde enterprise netwerktechnologieën.