Cisco 802.1X + ISE: Access Layer’da Kimlik Tabanlı Erişim Kontrolü

İlgili yazılar

Cisco Port Security + IP Source Guard: Access Layer Güvenliğini Güçlendirin

1 hafta önce

Cisco DHCP Snooping ve DAI: Layer 2 Ağ Güvenliği Nasıl Sağlanır?

2 hafta önce

Cisco HSRP Troubleshooting: Gateway Yedekliliği Neden Çalışmıyor?

3 hafta önce

Bir cihazın switch portuna fiziksel olarak bağlanması, doğrudan network erişimi alması gerektiği anlamına gelmez.

802.1X + Cisco ISE ile yaklaşım değişir:

Kim bağlanıyor? → Hangi cihazdan bağlanıyor? → Hangi yetkiyle erişmeli?

Böylece access-layer güvenliği yalnızca MAC veya IP adresine değil, kullanıcı ve cihaz kimliğine göre yönetilebilir.

1. AAA ve RADIUS

İlk adım switch üzerinde AAA’yı etkinleştirmektir:

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius

Ardından Cisco ISE, RADIUS sunucusu olarak tanımlanır.

Switch burada Authenticator/NAD, istemci Supplicant, Cisco ISE ise Authentication Server rolünü üstlenir.

2. 802.1X’i Global Olarak Etkinleştirin

dot1x system-auth-control

Bu komut switch üzerinde 802.1X port-based authentication’ı global olarak etkinleştirir. Cisco’nun güncel Catalyst dokümantasyonunda da bu yapılandırma kullanılmaktadır. Cisco

3. Access Port Üzerinde Authentication

Örnek:

interface GigabitEthernet1/0/10
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator

authentication port-control auto kullanıldığında port authentication sürecine girer ve istemcinin 802.1X/EAPOL iletişimini başlatması beklenir. dot1x pae authenticator ise switch portunun authenticator rolünde çalışmasını sağlar. Cisco

Komut yapısı Catalyst modeli, IOS XE sürümü ve IBNS 1.0/2.0 mimarisine göre farklılaşabilir. Production konfigürasyonunda kullanılan platformun güncel syntax’ı esas alınmalıdır.

4. ISE Sadece Authentication Yapmaz

Başarılı authentication sonrasında Cisco ISE bir Authorization Policy çalıştırabilir.

Kimlik, cihaz tipi, AD grubu veya diğer policy koşullarına göre örneğin VLAN assignment, downloadable ACL (dACL), SGT/TrustSec veya farklı erişim profilleri uygulanabilir. Cisco ISE authorization profile’ları VLAN, dACL ve diğer network authorization sonuçlarını destekler. Cisco

Böylece aynı fiziksel switch portu:

Kurumsal kullanıcı → Corporate erişim
Misafir → Kısıtlı erişim
IoT cihazı → Sadece gerekli servisler

şeklinde farklı yetkilere sahip olabilir.

Buradaki temel fark şudur:

Authentication = Sen kimsin?
Authorization = Nereye erişebilirsin?

5. 802.1X Desteklemeyen Cihazlarda MAB

Printer, kamera veya bazı IoT cihazları 802.1X supplicant desteğine sahip olmayabilir.

Bu durumda:

mab

ile MAC Authentication Bypass (MAB) kullanılabilir.

Ancak MAB, 802.1X ile aynı güvenlik seviyesinde değildir. Cisco da MAB’ın kullanıcı kimliği doğrulamadığını ve geçerli bir cihazın MAC adresi spoof edilerek aşılabileceğini açıkça belirtiyor. Cisco

Bu nedenle mümkün olduğunda:

802.1X öncelikli → MAB fallback

yaklaşımı daha doğru olur.

6. Troubleshooting

Kontrol için:

show authentication sessions
show authentication sessions interface Gi1/0/10 details
show dot1x all
show radius statistics

özellikle değerlidir.

Burada authentication method, session status, assigned VLAN, authorization sonucu ve RADIUS iletişimi incelenmelidir.

Örneğin port UP olduğu halde session Unauthorized durumundaysa fiziksel bağlantı vardır fakat ISE authentication/authorization zincirinde sorun olabilir.

Access Layer Güvenliğinin Evrimi

Basit bir yaklaşım:

Port Security → DHCP Snooping / DAI → 802.1X → Cisco ISE → Identity-Based Access

Port Security ve DHCP Snooping gibi mekanizmalar hâlâ önemlidir. Ancak 802.1X + ISE ile network şu sorudan:

“Bu portta hangi MAC/IP var?”

şu soruya geçer:

“Bu kullanıcı veya cihaz kim ve hangi kaynaklara erişmesine izin vermeliyim?”

Modern access-layer güvenliğindeki en önemli dönüşüm tam olarak budur.