Mimari ve çalışma modeli
802.1X, port veya kablosuz oturum açılırken supplicant ile RADIUS tabanlı kimlik doğrulaması kurar. EAP-TLS cihaz veya kullanıcı sertifikasıyla güçlü kimlik sağlar; sonuç VLAN, ACL veya rol gibi yetkilendirme özniteliklerine dönüşebilir. Karar yalnız kimlik doğrulama değildir: sertifika yaşam döngüsü, RADIUS erişilebilirliği ve yetki politikasının birlikte işletilmesi gerekir.
MAC Authentication Bypass (MAB), 802.1X supplicant çalıştıramayan yazıcı, telefon veya OT cihazı için MAC adresini kimlik yerine kullanan daha zayıf bir istisnadır. MAC adresi gözlemlenebilir ve taklit edilebilir; bu nedenle MAB kaydı sahiplik, switch portu, cihaz profili, sınırlı segment ve son kullanma tarihiyle bağlanmalıdır.
Misafir veya kritik VLAN, kimlik doğrulama başarısızlığının güvenli varsayılanıdır; üretim ağına sessiz geçiş yolu olmamalıdır. RADIUS geçici olarak erişilemiyorsa uygulanacak critical-auth davranışı, bilinmeyen kimlik bilgisi reddinden ayrılmalı; ses cihazı, çoklu domain portu ve yeniden kimlik doğrulama süreleri pilotta ölçülmelidir.
- 1Bağlantı ve 802.1X denemesi
- 2RADIUS kimlik ve politika kararı
- 3Rol, VLAN veya ACL uygulanması
- 4Oturum telemetrisi ve yeniden doğrulama
Tasarım parametreleri
- Kimlik gücü
- Yönetilen istemcilerde EAP-TLS; supplicant olmayan cihazlarda süreli, segmentlenmiş MAB istisnası seçin.
- RADIUS dayanıklılığı
- En az iki sunucu, ağ cihazı başına tanımlı timeout/retry ve kontrollü sunucu-kapalı politikası tasarlayın.
- Yetkilendirme sonucu
- Düz VLAN yerine mümkünse rol veya indirilebilir ACL kullanın; reddedilen ve bilinmeyen cihazları ayrı tutun.
- Yeniden doğrulama
- Sertifika iptali ve cihaz değişikliğinin yayılma süresini oturum zaman aşımı ve CoA davranışı belirler.
Hesap ve uygulama örneği
600 erişim portunun 420’si yönetilen bilgisayar, 80’i IP telefon, 70’i yazıcı/IoT ve 30’u misafir ise ilk pilot 20 bilgisayar, 5 telefon ve 5 yazıcıyla başlatılabilir. MAB envanteri 150 değil yalnız supplicant çalıştıramayan 70 cihaz üzerinden gerekçelendirilir; her cihaz sınıfına en az gerekli hedefleri açan farklı ACL uygulanır.
RADIUS timeout 3 saniye ve iki yeniden denemeyle iki sunucu sırayla deneniyorsa bağlantı gecikmesinin üst sınırı ürünün deneme sırasına göre 12 saniyeyi aşabilir. Ses açılış süresi ve DHCP zaman aşımıyla birlikte ölçüm yapmadan bu değer üretime taşınmaz.
Örnek komutlar: laboratuvar değerlerini değiştirin; kullanmadan önce yetkiyi ve yazılım sürümünü doğrulayın.
# Linux istemcide EAPOL ve DHCP akışını kontrollü portta izleyin
sudo tcpdump -ni eth0 -e 'ether proto 0x888e or port 67 or port 68'
# FreeRADIUS test ortamında yapılandırma ve ayrıntılı doğrulama
sudo radiusd -XC
sudo radtest lab-user 'REDACTED' 127.0.0.1 0 'REDACTED'Hata teşhisi
| Belirti | Olası neden / ayrım | Doğrulama |
|---|---|---|
| İstemci DHCP alamıyor | Yetki sonucu VLAN/ACL uyuşmuyor veya DHCP erişimi kapalı olabilir. | RADIUS Accept özniteliklerini, switch oturumunu ve atanmış VLAN’daki DHCP yolunu birlikte kontrol edin. |
| Telefon çalışıyor, arkasındaki PC çalışmıyor | Multi-domain host modu veya ikinci kimlik oturumu yanlış olabilir. | Ses ve veri oturumlarını, LLDP-MED sonucunu ve port host-mode değerini ayrı inceleyin. |
| RADIUS kesintisinde tüm portlar açılıyor | Critical-auth politikası gereğinden geniş olabilir. | Sunucu-kapalı ve kimlik-hatalı olaylarını ayıran laboratuvar testi yapın; uygulanan rolü kaydedin. |
Kabul ve doğrulama kontrolleri
- Cihazları EAP-TLS, MAB istisnası ve misafir olarak sınıflandırın.
- İki RADIUS sunucusunun tek tek kaybını test edin.
- Bilinmeyen MAC’in üretim ağına erişemediğini doğrulayın.
- VLAN/ACL sonucunda DNS, DHCP ve gerekli uygulama erişimini sınayın.
- CoA veya yeniden doğrulama ile iptal edilen kimliğin oturumdan çıkarıldığını test edin.
- Başarı, red, timeout ve fallback olaylarını merkezi loglarda ayırın.
İlgili kavramlar
Kimlik doğrulama ve oturum
Kimlik doğrulama kullanıcının veya iş yükünün kim olduğunu kanıtlar; yetkilendirme ise bu kimliğin ne yapabileceğini belirler. Başarılı oturum açma, bütün kaynaklara erişim izni anlamına gelmez. Kullanıcı oturumları, servis kimlikleri, API belirteçleri ve cihaz sertifikaları farklı yaşam döngülerine sahiptir. İlk giriş kadar oturum süresi, belirteç yenileme, işten ayrılma, kayıp cihaz ve acil erişim senaryolarını da tasarlayın. Kimlik sağlayıcı erişilemez olduğunda hangi oturumların süreceğini ve hangi yeni erişimlerin engelleneceğini ölçün.
Katman 2 ve Katman 3 sınırları
VLAN ayrı bir yayın alanı oluşturur; VLAN’lar arası iletişimi yönlendirme ve erişim politikası belirler. Bir trunk üzerindeki VLAN listesi, access port ataması ve gateway konumu birlikte incelenmelidir. Ağ çiziminde yalnız kablo bağlantısını değil, paketlerin nerede yönlendirildiğini ve nerede filtrelendiğini gösterin. Aynı switchte bulunmak aynı yetkiye sahip olmayı gerektirmez. Bir erişimin çalışmaması halinde önce doğru VLAN ve adresi, ardından gateway, route ve politika eşleşmesini doğrulayın.
En az yetki ve görev ayrımı
En az yetki, bir görevin gerektirdiği izinlerin belirli kaynak ve süreyle sınırlandırılmasıdır. Herkese aynı yönetici rolünü vermek, erişim incelemesini ve olay araştırmasını zorlaştırır. Günlük kullanıcı hesabı ile ayrıcalıklı hesabı ayırın; servis hesaplarının etkileşimli kullanımını ve gereksiz ağ erişimini kısıtlayın. Yetki matrisi, kimliğin kaynağa hangi işlemle eriştiğini göstermelidir. Bir izin kaldırıldığında uygulamanın çalışmayı sürdürmesi de test kapsamına girer: gereksiz yetkiler bazen yalnız kontrollü azaltma sırasında ortaya çıkar.
Politikanın yaşam döngüsü
Bir politika yalnız etkinleştirildiği anda değil, kapsamı değiştikçe de yönetilmelidir. Taslak, gözlem, pilot, uygulama ve periyodik inceleme aşamalarını ayırın. Her istisnanın sahibi, gerekçesi, kapsamı ve sona erme tarihi olmalıdır. Test verileri gerçek kullanıcı davranışını temsil etmezse başarılı pilot üretimde yanlış engellemelere dönüşebilir. Önce kimin ve hangi uygulamanın etkilenebileceğini belirleyin; sonra ölçülebilir kabul koşullarıyla devreye alın. Geri alma yolu yalnız düğme konumunu değil, değişikliğin kim tarafından ve hangi koşulda geri alınacağını da tanımlamalıdır.
Telemetri ve zaman eşleştirmesi
Telemetri, sistemin ne yaptığını açıklayan log, metrik ve olay kayıtlarının bütünüdür. Log bir olayın ayrıntısını, metrik zaman içindeki davranışı, dağıtık iz ise isteğin bileşenler arasındaki yolunu gösterir. Saat farkları aynı olayı farklı zamanlarda olmuş gibi gösterebilir. Merkezi zaman senkronizasyonu, kaynak kimliği ve tutarlı saat dilimi kullanın. Alarm tasarımında yalnız eşik değil, ne kadar sürdüğü ve kullanıcıya etkisi de değerlendirilmelidir. Kayıtların kesildiği durum ayrıca izlenmeli; günlük kaydı bulunmaması, olay yaşanmadığı şeklinde yorumlanmamalıdır.
Yüksek erişilebilirlik ile kurtarma ayrımı
Yüksek erişilebilirlik, belirli arızalarda hizmetin kısa kesintiyle sürmesini hedefler; yedekleme, kaybolan veya bozulan veriyi önceki bir noktadan geri getirir. Bir küme yanlış silinen kaydı diğer düğüme de aktarabilir. Bu nedenle HA ve yedekleme birbirinin yerine geçmez. Hizmetin DNS, kimlik, ağ, depolama ve enerji bağımlılıklarını birlikte düşünün. Başarılı düğüm geçişi tek başına yeterli değildir: kullanıcı oturumunun, uygulama yazmasının ve dış entegrasyonların geçiş sonrası davranışı da ölçülmelidir.
Birincil teknik dokümantasyon
Doz Teknoloji teknik ekibi tarafından aşağıdaki birincil kaynaklar temel alınarak hazırlanmıştır. Hesaplar ve laboratuvar senaryoları varsayımlarını belirtir; uygulamadan önce kullanılan ürün sürümünü doğrulayın.