802.1X ile Ağ Erişim Kontrolü — Saha Notları

Bir ağa fiziksel olarak erişebilen herkesin o ağa dahil olabilmesi, hâlâ birçok kurumda kabul edilmiş bir risk. Prizden gelen kabloya güvenmek yerine cihazın kimliğini kanıtlamasını istemek ise sanıldığı kadar uzak bir hedef değil. Bu yazıda, ağ erişim kontrolü projesinde sertifika tabanlı 802.1X kurarken edindiğim deneyimi aktarıyorum.

Neden MAC filtreleme yetmez?

MAC adresi bir kimlik değil, bir etikettir; saniyeler içinde taklit edilebilir. Port security de benzer şekilde MAC'e dayandığı için aynı zaafı taşır. 802.1X'in farkı, doğrulamanın taklit edilemeyen bir sırra —parolaya ya da özel anahtara— dayanması ve kararın switch'te değil merkezi bir RADIUS sunucusunda verilmesidir.

Mimarinin üç bileşeni

802.1X üç rol üzerine kurulur:

Supplicant — bağlanmak isteyen cihazdaki istemci (Windows'ta yerleşik).
Authenticator — switch ya da Access Point; trafiği doğrulama sonuçlanana dek EAP ile sınırlar.
Authentication Server — kararı veren RADIUS sunucusu (NPS, FortiAuthenticator vb.).

Kritik nokta şu: switch markası ne olursa olsun konuşulan dil aynı RADIUS/EAP standardıdır. Farklı marka switch ve AP'lerin bulunduğu bir ortamda tek tip politika uygulanabilmesinin sırrı budur — politika merkezde yaşar, cihazlar yalnızca aracıdır.

EAP-TLS mi, PEAP mi?

Parola tabanlı PEAP-MSCHAPv2 kurulumu kolay ama iki zayıf yanı var: parolalar çalınabilir ve kullanıcı deneyimi (parola değişimlerinde kopmalar) zayıf. Sertifika tabanlı EAP-TLS'te ise cihaz, özel anahtarını hiç göndermeden kimliğini kanıtlar. Kurulum maliyeti bir PKI gerektirmesi; Active Directory olan bir ortamda ADCS bu ihtiyacı karşılar.

ADCS tarafında dikkat ettiklerim

Cihaz türüne göre ayrı sertifika şablonları tanımlamak (bilgisayar, sunucu, ağ cihazı) hem yetki ayrımını hem de sorun anında iz sürmeyi kolaylaştırıyor.
Şablonlarda autoenrollment açık olmalı; GPO ile dağıtım tamamen otomatikleşince el ile sertifika yükleme derdi kalmıyor.
Sertifika süresi dolmadan yenileme payını (renewal period) geniş tutmak, süresi geçen sertifika yüzünden ağdan düşen cihaz vakalarını bitiriyor.

Kademeli geçiş: bir anda kapatmayın

En kritik saha dersi bu. 802.1X'i tüm portlarda bir gecede zorunlu yapmak, pazartesi sabahı çalışamayan bir ofis demektir. İzlediğim sıra:

Monitor/open mode ile başla — doğrulama çalışır ama başarısız olan cihaz yine de bağlanır; loglardan kimin düşeceğini önceden görürsün.
Doğrulanamayan meşru cihazları tespit et: yazıcılar, IP telefonlar, IoT... Bunlar için MAB (MAC Authentication Bypass) ve kısıtlı bir misafir/karantina VLAN'ı planla.
Katları ya da VLAN'ları tek tek zorunlu moda al; her adımda destek kayıtlarını izle.

Çok markalı ortamın tuzakları

Dinamik VLAN ataması için RADIUS attribute'ları (Tunnel-Type, Tunnel-Private-Group-ID) standarttır ama bazı üreticiler ek vendor-specific attribute ister; her modelde test etmeden yaygınlaştırmayın.
Switch'lerin EAP oturum zaman aşımı öntanımları birbirinden farklıdır; re-authentication süresini RADIUS tarafından (Session-Timeout) dayatmak davranışı tekilleştirir.
Uplink/trunk portlarında 802.1X'in kapalı olduğundan emin olun — kendi omurganızı ağdan düşürmek istemezsiniz.

Sonuç

Doğru sırayla ilerlendiğinde 802.1X, "büyük kurumların işi" olmaktan çıkıp birkaç haftalık kontrollü bir projeye dönüşüyor. Kazanım ise net: ağa kimin bağlandığı sorusunun cevabı artık bir tahmin değil, sertifikayla kanıtlanmış bir kayıt.