Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X
本文提出并实证验证了一种端到端的网络访问控制架构，该架构集成了 Active Directory、Microsoft NPS 和 Cisco IOSvL2 交换机，通过 IEEE 802.1X 认证根据组成员身份将用户动态分配到特定的 VLAN，并在虚拟化实验室环境中展示了在有效认证方面 100% 的成功率以及对未经授权或失败尝试的有效隔离。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
在大型组织的数字化世界中，网络是承载每一封电子邮件、文件传输和视频通话的无形高速公路。几十年来，网络访问管理一直相对简单且静态：连接到墙上端口的物理电缆决定了计算机可以访问网络的哪一部分。如果该端口连接到特定的网络分段，任何将设备插入其中的人都有可能获得该分段的访问权限，无论其身份如何。这种方法严重依赖物理安全。如果未经授权的人能够接触到暴露的网络插孔，他们可能会在未经过身份验证的情况下获得网络资源的访问权限。随着组织变得日益复杂，员工、学生和访客需要不同级别的访问权限，这种传统方法成为了一个显著的安全隐患。一种更安全的解决方案是在授予访问权限之前让网络验证用户的身份，然后根据其授权角色将用户引导至适当的网络分段。
这正是 Abdulraheem Hamoud Mohammed Almaweri 在吉布提进行的一项研究所解决的挑战。研究人员致力于构建并评估一套系统，以取代静态的网络访问分配，转而采用一种动态的、基于身份的方法。在这种模式下，计算机连接到网络，网络会请求身份验证。如果用户提供了有效的凭据，系统会验证他们在组织内的角色，并动态地将连接分配到适当的网络分段。教职员工会被引导至员工网络，而学生则会被引导至学生网络。如果身份验证失败或身份验证服务器无法使用，系统旨在限制访问，并将受影响的连接引导至一个隔离的隔离网络，在那里可以调查并解决连接问题，而不会暴露敏感的网络资源。
为了评估这一过程是否能够可靠运行，研究人员构建了一个代表企业网络的虚拟实验室。该实验并非依赖单台计算机，而是使用了一个模拟网络环境，其中包含一个用于身份管理的中央服务器、一个用于定义和执行访问规则的策略服务器，以及一个用于通过物理端口控制访问的网络交换机。研究人员创建了代表教职员工和学生的两个不同用户组。每个组都关联到一个独立的虚拟局域网（VLAN），在同一物理网络基础设施内实现了两组之间的逻辑隔离。教职员工组被映射到一个 VLAN，而学生组则被映射到另一个 VLAN。该系统使用了一个身份验证框架，在该框架中，客户端与网络基础设施交换身份验证消息，以在授予网络访问权限之前验证用户身份。
随后，研究人员进行了二十五次测试，以评估系统在不同条件下的表现。在初始测试中，来自教职员工和学生组的授权用户尝试使用有效的凭据进行身份验证。在每一个测试案例中，系统都成功验证了用户身份，并将他们的连接分配到了适当的 VLAN。教职员工用户被引导至员工网络，而学生用户则被分配到学生网络。身份验证和访问分配的过程也被进行了测量。根据报告的实验结果，从用户将设备连接到网络到获得访问权限，整个过程大约耗时一秒半。这一相对较短的时间间隔表明，在测试环境中，动态网络访问控制的实施并不一定会给用户带来实质性的延迟。
该研究还检查了系统对身份验证失败的响应。在一种情景中，用户提供了正确的用户名但错误的密码。在另一种情景中，用户尝试使用不属于任何授权组的账号进行身份验证。在这两种情景下，系统都拒绝了身份验证尝试，并将受影响的连接分配到了指定的隔离 VLAN。这个隔离的网络分段旨在防止未经授权的连接触及敏感的网络资源，同时允许管理员调查身份验证失败或协助用户。在所有涉及无效凭据或未经授权账号的测试案例中，系统都成功执行了配置好的隔离行为。
另一个重要的测试检查了系统对中央身份验证服务器不可用的响应。研究人员模拟了服务器故障，以评估当网络交换机无法再与身份验证服务通信时会如何表现。根据配置的不同，此类故障可能导致未经授权的访问或合法访问被拒绝。在本实验中，交换机被配置为应用限制性的回退策略。当身份验证服务器无法连接时，新连接会在配置的响应间隔后被引导至隔离 VLAN。这种行为展示了在中央身份验证服务不可用时，安全失败（fail-secure）配置如何有助于维持网络隔离。这种行为的具体范围，包括其对现有会话的影响，取决于所实施的配置和测试的情景。
二十五次测试的结果显示，在评估的情景中表现出一致的行为。系统将授权用户分配到其指定的网络分段，拒绝了未经授权的身份验证尝试，并在测试的故障条件下将受影响的连接引导至隔离 VLAN。然而，由于试验次数有限且使用了受控的虚拟环境，这意味着需要进一步的测试来评估其在大型生产网络中的长期可靠性、可扩展性和性能。该研究并未声称解决了每一个可能的网络安全威胁或评估了每一种身份验证方法。相反，它专注于证明利用标准网络组件和既有的身份验证技术，将用户身份和授权状态与网络访问分配进行动态关联的可行性。
这些发现提供了一个实用的范例，展示了组织如何从基于端口的静态网络访问分配转向更灵活的、基于身份的访问控制。通过证明用户的网络分配可以由其经过验证的身份和组织角色决定，而非仅仅由其物理连接点决定，该研究阐明了一种改进网络分段和访问管理的实用方法。实验结果表明，网络可以验证用户身份、将他们分配到适当的网络分段，并在身份验证失败或身份验证服务不可用时应用限制性策略。尽管在生产环境中的部署还需要额外的验证，但该实验为利用既有的企业网络技术进行动态网络访问控制的进一步研究奠定了基础。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。