Контроль сетевого доступа (NAC)

Подключение кабеля или знание пароля Wi-Fi ещё не означает, что устройству разрешено работать со всеми внутренними системами. NAC помогает отличить корпоративный ноутбук от гостевого устройства и назначить каждому доступ по правилам организации.

Проверка сертификата подтверждает идентичность устройства, но сама по себе не доказывает наличие обновлений или включённой защиты. Для оценки состояния нужны отдельные проверки и интеграции.

NAC применяют на границе подключения к проводной и беспроводной сети, а также в поддерживаемых сценариях удалённого доступа. Система политики получает сведения об устройстве и пользователе, а коммутатор, точка доступа или шлюз исполняет решение: разрешает соединение, назначает VLAN или правила доступа, ограничивает его либо отклоняет.

Для корпоративных устройств часто используют 802.1X и сертификаты. Для оборудования без такого клиента возможны профилирование и иные способы допуска. Их ограничения учитывают отдельно: распознавание по сетевым признакам или MAC-адресу не равно сильной аутентификации.

Перед внедрением согласуют гостевой режим, правила для принтеров и технологических устройств, повторные проверки и поведение при недоступности сервера политики. Без этого жёсткое применение NAC может прервать легитимную работу.

На одном офисном порту подключают два ноутбука. Управляемый ноутбук подтверждает идентичность корпоративным сертификатом и проходит предусмотренные проверки состояния. NAC назначает рабочий доступ. Личный ноутбук сотрудника не получает тот же доступ только потому, что подключён к тому же порту: по политике ему предоставляют гостевую сеть или отказывают в подключении.

Если корпоративное устройство перестало соответствовать требованиям, поддерживаемая повторная оценка может перевести его в ограниченный режим для исправления. Проверяют не только решение в консоли NAC, но и фактически применённые сетевые ограничения.

• IEEE 802.1X802.1X задаёт механизм контроля доступа через порт и обмен аутентификацией. NAC шире: включает политику допуска, сведения об устройствах, оценку состояния и применение решения. 802.1X может быть одним из его механизмов.
• RADIUSRADIUS переносит запросы аутентификации и результаты авторизации между сетевым оборудованием и сервером. NAC использует такой обмен, но добавляет правила принятия решений и контекст устройства.
• Сегментация сетиСегментация определяет зоны и допустимые взаимодействия между ними. NAC решает, какой доступ назначить подключающемуся устройству. Назначение VLAN полезно только вместе с корректными межзонными правилами.

1. Обнаружить подключениеКоммутатор, точка доступа или шлюз фиксирует подключение. Выбирается предусмотренный для этого типа устройства способ аутентификации или ограниченного допуска.
2. Собрать контекстПроверяют доступные удостоверения и сведения: сертификат, учётную запись, профиль устройства, результаты оценки состояния. Неизвестное состояние не подменяют подтверждённой безопасностью.
3. Применить политикуСервер политики выбирает разрешённый режим. Сетевое оборудование исполняет его через поддерживаемые средства: VLAN, правила доступа, гостевой или карантинный режим, отказ.
4. Пересмотреть доступПо предусмотренным событиям выполняют повторную оценку и, если интеграция поддерживает её, меняют доступ. Журналы позволяют проверить, почему устройство допущено и какие ограничения реально применены.

• Решения класса NACРешения

• RADIUS
• Аутентификация