Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

No mundo digital de uma grande organização, a rede é a rodovia invisível que transporta cada e-mail, transferência de arquivos e chamada de vídeo. Durante décadas, a forma como essa rodovia era gerenciada era surpreendentemente simples e estática: um cabo físico conectado a uma porta na parede determinava exatamente para onde um computador poderia ir. Se essa porta estivesse conectada a uma seção específica da rede, qualquer pessoa que conectasse um dispositivo nela ganhava acesso a toda essa seção, independentemente de quem fosse. Essa abordagem dependia inteiramente da segurança física; se uma pessoa não autorizada conseguisse alcançar a tomada na parede, ela poderia entrar diretamente nos dados privados da empresa. À medida que as organizações se tornaram mais complexas, com funcionários, estudantes e convidados todos necessitando de diferentes níveis de acesso, esse método "plug-and-play" tornou-se uma fraqueza significativa. A solução reside em tornar a rede inteligente o suficiente para perguntar "Quem é você?" antes de abrir o portão e, então, direcionar essa pessoa para a sala específica que ela tem permissão para entrar, em vez de deixar a porta escancarada para qualquer um com uma chave.

Este é o desafio abordado por um estudo recente conduzido por Abdulraheem Hamoud Mohammed Almaweri na Académie des sciences et technologies industrielles em Djibouti. O pesquisador propôs-se a construir e testar um sistema que substitui o antigo método estático por um dinâmico. Nesta nova abordagem, um computador se conecta à rede e a rede imediatamente pede uma prova de identidade. Se o usuário fornecer credenciais válidas, o sistema verifica seu papel dentro da organização e o atribui automaticamente à zona digital correta. Se o usuário for um funcionário, ele é enviado para a rede dos funcionários; se for um estudante, é enviado para a rede dos estudantes. Se o usuário não conseguir provar quem é, ou se o sistema que verifica sua identidade ficar offline, a rede não simplesmente o deixa entrar ou o deixa desamparado. Em vez disso, ela o move suavemente para uma área de espera, uma sala de espera digital onde ele pode ser consertado ou inspecionado sem colocar o resto do sistema em risco.

Para testar se essa cadeia complexa de eventos poderia funcionar de forma confiável, o pesquisador construiu um laboratório virtual completo. Este não foi um experimento pequeno com um único computador; foi uma simulação em escala real de uma rede corporativa. A configuração incluía um servidor central atuando como o guardião da identidade, um servidor de políticas que estabelecia as regras e um switch de rede que controlava as portas físicas. O pesquisador criou dois grupos distintos de usuários: um grupo representando os funcionários e outro representando os estudantes. Cada grupo foi atribuído a uma zona digital diferente, conhecida como VLAN, que atua como uma sala separada e invisível dentro do mesmo edifício. O grupo dos funcionários foi mapeado para uma sala e o grupo dos estudantes para outra. O sistema foi projetado para usar um protocolo de aperto de mão (handshake) seguro, onde o computador e o servidor trocam mensagens criptografadas para verificar a identidade antes que qualquer dado seja permitido passar.

O pesquisador então executou uma série de vinte e cinco testes para ver como o sistema se comportava sob diferentes condições. No primeiro conjunto de testes, usuários válidos de ambos os grupos, funcionários e estudantes, fizeram login com suas senhas corretas. Em todas as instâncias, o sistema os identificou com sucesso e os colocou em sua respectiva sala digital. Os funcionários foram consistentemente direcionados para a zona dos funcionários, e os estudantes para a zona dos estudantes. A velocidade deste processo também foi medida. Desde o momento em que um usuário conecta seu cabo até o momento em que lhe é concedido o acesso, todo o processo levou pouco mais de um segundo e meio. Isso é rápido o suficiente para que um usuário humano não perceba qualquer atraso, tornando a segurança invisível ao trabalho diário.

O estudo não parou nos logins bem-sucedidos; ele testou especificamente o que acontece quando algo dá errado. Em um cenário, um usuário inseriu o nome de usuário correto, mas a senha errada. Em outro, um usuário tentou fazer o login com uma conta que não pertencia a nenhum grupo autorizado. Em ambos os casos, o sistema rejeitou a tentativa corretamente. Em vez de deixar o usuário sem acesso ou acidentalmente deixá-lo entrar na área errada, a rede automaticamente moveu sua conexão para uma zona de quarentena. Esta é uma área segura e isolada, onde o usuário pode ser investigado ou ajudado sem poder tocar as partes sensíveis da rede. O sistema realizou este contenção perfeitamente sempre que a senha estava incorreta ou a conta não era autorizada.

Talvez o teste mais crítico tenha envolvido a simulação de uma falha da própria autoridade central. O pesquisador desligou o servidor que era responsável por verificar identidades, deixando o switch de rede sem ninguém para perguntar por permissão. Em um sistema mal projetado, isso poderia fazer com que o switch entrasse em pânico e abrisse todas as portas, ou bloqueasse todos completamente. Neste experimento, o switch foi configurado com uma rede de segurança. Quando ele percebeu que o servidor estava inacessível, esperou alguns segundos e então moveu automaticamente todas as novas conexões para a mesma zona de quarentena. Isso garantiu que, mesmo quando o cérebro do sistema estivesse dormindo, o corpo da rede permanecesse seguro, evitando o acesso não autorizado enquanto mantinha a porta aberta para remediação.

Os resultados dos vinte e cinco ensaios foram consistentes e claros. O sistema direcionou com sucesso os usuários autorizados para suas zonas corretas, rejeitou usuários não autorizados e conteve falhas com segurança em todas as tentativas. O pesquisador observou que, embora o sistema tenha funcionado perfeitamente neste ambiente controlado, o pequeno número de testes significa que, embora o mecanismo esteja comprovado, sua confiabilidade a longo prazo em uma rede massiva e do mundo real exigiria mais estudos. O estudo não alegou ter resolvido todos os possíveis problemas de segurança, nem testou todos os tipos de métodos de autenticação. Ele focou especificamente em provar que um sistema construído a partir de componentes padrão de prateleira poderia vincular com sucesso a identidade de um usuário à sua localização de rede de forma dinâmica.

As descobertas oferecem um roteiro prático de como as organizações podem se afastar da antiga e rígida maneira de gerenciar o acesso à rede. Ao provar que a localização digital de um usuário pode seguir sua identidade, em vez de seu plugue físico, o estudo demonstra um caminho para redes que são tanto mais seguras quanto mais flexíveis. O sistema mostrou que é possível construir uma rede que sabe quem você é, trata você de acordo com seu papel e protege a si mesma quando as coisas dão errado, tudo isso sem que o usuário precise entender a complexa maquinaria trabalhando nos bastidores. Para o observador curioso, o experimento confirma que o sonho de uma rede que se adapta aos seus usuários, em vez de forçar os usuários a se adaptarem à rede, não é apenas uma ideia teórica, mas uma realidade funcional que pode ser construída hoje.