Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

No mundo digital de uma grande organização, a rede é uma rodovia invisível que transporta cada e-mail, transferência de arquivos e chamada de vídeo. Durante décadas, o gerenciamento de acesso à rede era relativamente simples e estático: um cabo físico conectado a uma porta na parede determinava qual parte da rede um computador poderia acessar. Se essa porta estivesse conectada a um segmento de rede específico, qualquer pessoa que conectasse um dispositivo nela poderia potencialmente ganhar acesso a esse segmento, independentemente de sua identidade. Essa abordagem dependia fortemente da segurança física. Se uma pessoa não autorizada conseguisse acessar uma tomada de rede exposta, ela poderia ganhar acesso aos recursos da rede sem antes ser autenticada. À medida que as organizações se tornaram mais complexas, com funcionários, estudantes e convidados exigindo diferentes níveis de acesso, essa abordagem tradicional tornou-se uma preocupação de segurança significativa. Uma solução mais segura é fazer com que a rede verifique a identidade de um usuário antes de conceder o acesso e, em seguida, direcione o usuário para o segmento de rede apropriado de acordo com seu papel autorizado.

Este é o desafio abordado por um estudo conduzido por Abdulraheem Hamoud Mohammed Almaweri em Djibouti. O pesquisador propôs-se a construir e avaliar um sistema que substitui as atribuições estáticas de acesso à rede por uma abordagem dinâmica baseada em identidade. Neste modelo, um computador se conecta à rede e a rede solicita a autenticação. Se o usuário fornecer credenciais válidas, o sistema verifica seu papel dentro da organização e atribui dinamicamente a conexão ao segmento de rede apropriado. Os membros da equipe são direcionados para a rede da equipe, enquanto os estudantes são direcionados para a rede de estudantes. Se a autenticação falhar ou o servidor de autenticação ficar indisponível, o sistema é projetado para restringir o acesso e direcionar as conexões afetadas para uma rede de quarentena isolada, onde problemas de conectividade podem ser investigados e resolvidos sem expor recursos sensíveis da rede.

Para avaliar se esse processo poderia operar de forma confiável, o pesquisador construiu um laboratório virtual que representa uma rede corporativa. Em vez de depender de um único computador, o experimento utilizou um ambiente de rede simulado incorporando um servidor central para gerenciamento de identidade, um servidor de políticas para definir e aplicar regras de acesso e um switch de rede para controlar o acesso por meio de portas físicas. O pesquisador criou dois grupos de usuários distintos representando funcionários e estudantes. Cada grupo foi associado a uma rede local virtual (VLAN) separada, proporcionando separação lógica entre os dois grupos dentro da mesma infraestrutura de rede física. O grupo de funcionários foi mapeado para uma VLAN, enquanto o grupo de estudantes foi mapeado para outra. O sistema utilizou uma estrutura de autenticação na qual o cliente e a infraestrutura de rede trocavam mensagens de autenticação para verificar a identidade do usuário antes de conceder o acesso à rede.

O pesquisador então realizou vinte e cinco testes para avaliar o sistema sob diferentes condições. Nos testes iniciais, usuários autorizados de ambos os grupos, funcionários e estudantes, tentaram se autenticar usando credenciais válidas. Em cada caso testado, o sistema autenticou com sucesso os usuários e atribuiu suas conexões à VLAN apropriada. Os usuários da equipe foram direcionados para a rede da equipe, enquanto os usuários estudantes foram atribuídos à rede de estudantes. O processo de autenticação e atribuição de acesso também foi medido. Desde o momento em que um usuário conecta o dispositivo à rede até o momento em que o acesso é concedido, o processo levou aproximadamente um segundo e meio, de acordo com os resultados experimentais relatados. Esse intervalo relativamente curto sugere que o controle de acesso dinâmico à rede pode ser implementado sem necessariamente introduzir um atraso substancial para os usuários no ambiente testado.

O estudo também examinou como o sistema respondeu a falhas de autenticação. Em um cenário, um usuário forneceu o nome de usuário correto, mas uma senha incorreta. Em outro, um usuário tentou se autenticar com uma conta que não pertencia a um grupo autorizado. Em ambos os cenários, o sistema rejeitou a tentativa de autenticação e atribuiu a conexão afetada à VLAN de quarentena designada. Esse segmento de rede isolado tinha o objetivo de evitar que conexões não autorizadas alcançassem recursos sensíveis da rede, permitindo ao mesmo tempo que os administradores investigassem falhas de autenticação ou auxiliassem os usuários. O sistema aplicou com sucesso o comportamento de quarentena configurado em todos os casos testados envolvendo credenciais inválidas ou contas não autorizadas.

Outro teste importante examinou a resposta do sistema à indisponibilidade do servidor de autenticação central. O pesquisador simulou uma falha de servidor para avaliar como o switch de rede se comportaria quando não pudesse mais se comunicar com o serviço de autenticação. Dependendo da configuração, tal falha pode resultar tanto em acesso não autorizado quanto na negação de acesso legítimo. Neste experimento, o switch foi configurado para aplicar uma política de fallback restritiva. Quando o servidor de autenticação tornou-se inacessível, as novas conexões foram direcionadas para a VLAN de quarentena após o intervalo de resposta configurado. Esse comportamento demonstrou como uma configuração de segurança contra falhas (fail-secure) pode ajudar a manter o isolamento da rede quando o serviço de autenticação central está indisponível. O escopo preciso desse comportamento, incluindo seu efeito em sessões existentes, depende da configuração implementada e dos cenários testados.

Os resultados dos vinte e cinco testes mostraram um comportamento consistente em todos os cenários avaliados. O sistema atribuiu usuários autorizados aos seus segmentos de rede designados, rejeitou tentativas de autenticação não autorizadas e direcionou as conexões afetadas para a VLAN de quarentena sob as condições de falha testadas. No entanto, o número limitado de tentativas e o uso de um ambiente virtual controlado significam que testes adicionais seriam necessários para avaliar a confiabilidade, a escalabilidade e o desempenho a longo prazo em redes de produção de grande escala. O estudo não alegou abordar todas as possíveis ameaças de segurança de rede ou avaliar todos os métodos de autenticação. Em vez disso, concentrou-se em demonstrar a viabilidade de vincular dinamicamente a identidade do usuário e o status de autorização às atribuições de acesso à rede usando componentes de rede padrão e tecnologias de autenticação estabelecidas.

Essas descobertas fornecem um exemplo prático de como as organizações podem ir além das atribuições estáticas de acesso à rede baseadas em portas, avançando para um controle de acesso baseado em identidade, mais flexível. Ao demonstrar que a atribuição de rede de um usuário pode ser determinada por sua identidade autenticada e papel organizacional, em vez de apenas por seu ponto de conexão física, o estudo ilustra uma abordagem prática para melhorar a segmentação de rede e o gerenciamento de acesso. Os resultados experimentais indicam que uma rede pode autenticar usuários, atribuí-los a segmentos de rede apropriados e aplicar políticas restritivas quando a autenticação falha ou o serviço de autenticação fica indisponível. Embora a implantação em ambientes de produção exija validação adicional, o experimento fornece uma base para pesquisas futuras sobre o controle de acesso dinâmico à rede usando tecnologias de rede corporativa estabelecidas.