در بسیاری از سازمان‌ها، اتصال یک دستگاه به شبکه داخلی هنوز ساده‌تر از چیزی است که باید باشد. کافی است یک لپ‌تاپ به پورت شبکه متصل شود یا کاربر به Wi-Fi سازمان وصل شود تا در صورت نبود کنترل‌های مناسب، دستگاه وارد شبکه شود و یک آدرس IP دریافت کند. اما سؤال مهم این است: آیا هر دستگاهی که توانایی اتصال به شبکه را دارد، واقعاً باید اجازه دسترسی داشته باشد؟ یک لپ‌تاپ شخصی، سیستم پیمانکار، گوشی کارمند، دستگاه IoT، پرینتر، دوربین مداربسته یا حتی یک سیستم آلوده می‌تواند به شبکه متصل شود؛ در حالی که تیم IT ممکن است نداند این دستگاه متعلق به چه کسی است، چه وضعیتی دارد و به کدام منابع نباید دسترسی داشته باشد. اینجاست که کنترل دسترسی شبکه یا (NAC) Network Access Control وارد می‌شود. NAC با ترکیب اطلاعات مربوط به کاربر، دستگاه و شرایط اتصال، به سازمان کمک می‌کند تصمیم بگیرد چه دستگاهی اجازه ورود داشته باشد و در صورت مجاز بودن، با چه سطحی از دسترسی وارد شبکه شود.

 

کنترل دسترسی شبکه چیست و چه مشکلی را در شبکه حل می‌کند؟

NAC یا Network Access Control رویکردی برای شناسایی و کنترل دسترسی کاربران و دستگاه‌ها به شبکه است. NAC بررسی می‌کند چه کسی یا چه دستگاهی قصد اتصال دارد و براساس هویت، نوع دستگاه، وضعیت امنیتی و Policyهای سازمان تصمیم می‌گیرد چه سطحی از دسترسی برای آن مجاز است.

بنابراین NAC فقط یک سازوکار برای «اجازه دادن یا مسدود کردن» نیست. در یک پیاده‌سازی مناسب، می‌تواند دستگاه را شناسایی کند، وضعیت آن را ارزیابی کند و در نهایت دسترسی مناسب مانند شبکه سازمانی، VLAN محدود، Guest Network یا قرنطینه را برای آن اعمال کند.

 

معماری NAC چگونه کار می‌کند؟ از اتصال دستگاه تا اعمال Policy

عملکرد کنترل دسترسی شبکه را می‌توان به یک زنجیره تصمیم‌گیری تقسیم کرد: ابتدا دستگاه شناسایی می‌شود، سپس هویت یا ویژگی‌های آن بررسی می‌شود، شرایط دستگاه و Policy سازمان ارزیابی می‌شود و در نهایت نتیجه روی تجهیزات شبکه اعمال می‌شود.

در یک سناریوی معمول، این فرایند از لحظه اتصال دستگاه تا تعیین سطح دسترسی به شکل زیر پیش می‌رود:

۱. شناسایی اتصال

ابتدا تجهیزات شبکه مانند Switch یا Access Point متوجه می‌شوند که یک دستگاه به شبکه متصل شده است.

۲. احراز هویت

در سناریوهای مبتنی بر 802.1X، تجهیزات دسترسی شبکه می‌توانند درخواست احراز هویت را به یک سرور RADIUS ارسال کنند. در محیط Windows، برای مثال، NPS می‌تواند نقش RADIUS Server را بر عهده بگیرد و برای اتصال‌های 802.1X کابلی یا بی‌سیم Policy تعریف کند.

۳. بررسی شرایط

اطلاعاتی مانند هویت کاربر، نوع دستگاه یا وضعیت آن می‌تواند برای تصمیم‌گیری درباره دسترسی مورد استفاده قرار گیرد.

۴. اعمال Policy

در نهایت Policy مشخص می‌کند که دستگاه:

  • دسترسی کامل داشته باشد؛
  • به یک VLAN مشخص منتقل شود؛
  • فقط به منابع محدودی دسترسی داشته باشد؛
  • به شبکه Guest منتقل شود؛
  • یا در حالت قرنطینه قرار بگیرد.

در برخی معماری‌ها، Policy می‌تواند از طریق RADIUS به تجهیزات شبکه منتقل شود و حتی VLAN مناسب برای دستگاه تعیین شود.

 

802.1X و RADIUS چه نقشی در کنترل دسترسی شبکه دارند؟

در بسیاری از پیاده‌سازی‌های NAC، 802.1X برای کنترل دسترسی در نقطه اتصال و RADIUS برای انتقال درخواست‌های احراز هویت و اطلاعات مربوط به Authorization استفاده می‌شوند.

در معماری 802.1X سه نقش اصلی وجود دارد:

  • Supplicant: نرم‌افزار یا قابلیت احراز هویت روی Endpoint
  • Authenticator: معمولاً Switch یا Access Point
  • Authentication Server: معمولاً RADIUS Server

برای مثال، هنگامی که لپ‌تاپ کاربر به Switch متصل می‌شود، Switch نقش Authenticator را دارد و درخواست احراز هویت را به RADIUS Server منتقل می‌کند. RADIUS پس از بررسی درخواست، نتیجه و در صورت نیاز اطلاعات مربوط به Policy را به تجهیزات شبکه برمی‌گرداند.

بنابراین 802.1X را باید یکی از فناوری‌های مهم برای اجرای کنترل دسترسی شبکه دانست، نه معادل Network Access Control. NAC لایه تصمیم‌گیری و Policy را گسترده‌تر می‌کند و می‌تواند اطلاعات هویت، نوع دستگاه و وضعیت آن را برای تعیین دسترسی به کار بگیرد.

 

مزایای کنترل دسترسی شبکه یا NAC برای امنیت شبکه سازمان چیست؟

NAC فقط یک ابزار برای احراز هویت کاربران نیست؛ ارزش اصلی آن زمانی مشخص می‌شود که سازمان بخواهد تعداد زیادی کاربر و دستگاه را به‌صورت متمرکز شناسایی و براساس Policy کنترل کند.

مهم‌ترین مزایای کنترل دسترسی شبکه عبارت‌اند از:

  • افزایش دید روی تجهیزات متصل به شبکه:
    NAC می‌تواند اطلاعاتی درباره دستگاه‌ها، نوع آن‌ها و هویت کاربران در اختیار تیم IT و امنیت قرار دهد. این Visibility برای شناسایی دستگاه‌های ناشناس و مدیریت دارایی‌های متصل اهمیت زیادی دارد.

 

  • جلوگیری از اتصال دستگاه‌های غیرمجاز:
    دستگاهی که شرایط تعیین‌شده سازمان را ندارد می‌تواند Block، محدود یا به شبکه قرنطینه منتقل شود.

 

  • کنترل BYOD و کاربران مهمان:
    دستگاه شخصی کارمند یا سیستم مهمان مجبور نیست همان سطح دسترسی Endpointهای سازمانی را دریافت کند.

 

  • کنترل تجهیزات IoT و دستگاه‌های غیرکاربری:
    پرینتر، دوربین، تلفن IP و سایر تجهیزات را می‌توان شناسایی و براساس نوع دستگاه در Policy مناسب قرار داد.

 

  • کاهش ریسک ناشی از Endpointهای ناسازگار:
    در معماری‌هایی که Posture Assessment دارند، وضعیت امنیتی دستگاه نیز می‌تواند در تصمیم دسترسی دخالت داشته باشد.

 

  • واکنش سریع‌تر به دستگاه‌های مشکوک:
    در صورت دریافت هشدار از سامانه‌های امنیتی، NAC می‌تواند در معماری‌های یکپارچه برای محدود کردن یا ایزوله کردن Endpoint مورد استفاده قرار گیرد.

 

  • مدیریت متمرکز Policy:
    به‌جای تعریف دستی قواعد دسترسی روی تجهیزات متعدد، سازمان می‌تواند سیاست‌های دسترسی را به‌صورت متمرکز طراحی و اجرا کند.

 

Device Profiling در NAC چیست و چگونه دستگاه‌ها را شناسایی می‌کند؟

کنترل دسترسی شبکه فقط با دستگاه‌هایی سروکار ندارد که کاربر روی آن‌ها نام کاربری و رمز عبور وارد می‌کند. در شبکه سازمانی، دستگاه‌هایی مانند پرینتر، دوربین IP، تلفن VoIP و تجهیزات IoT نیز باید شناسایی و کنترل شوند.

Device Profiling برای همین منظور استفاده می‌شود. NAC با استفاده از اطلاعات و ویژگی‌های مختلف دستگاه، آن را در یک دسته مشخص قرار می‌دهد؛ برای مثال:

  • Windows Endpoint
  • Android Device
  • Printer
  • IP Camera
  • VoIP Phone
  • IoT Device
  • Unknown Device

بعد از شناسایی، Policy مناسب برای همان نوع دستگاه اعمال می‌شود. بنابراین Device Profiling یک مرحله مهم برای تبدیل اطلاعات خام شبکه به یک تصمیم قابل اجرا است؛ مثلاً اینکه یک دستگاه به VLAN سازمانی، شبکه IoT یا Guest Network منتقل شود.

 

Posture Assessment در کنترل دسترسی شبکه؛ آیا دستگاه از نظر امنیتی آماده اتصال است؟

احراز هویت موفق به معنی سالم بودن دستگاه نیست. ممکن است کاربر معتبر باشد، اما Endpoint او فاقد به‌روزرسانی‌های لازم باشد، آنتی‌ویروس مناسبی نداشته باشد یا با Policy امنیتی سازمان مطابقت نداشته باشد.

Posture Assessment وضعیت امنیتی Endpoint را قبل از اعطای دسترسی یا در فرایند ارزیابی دسترسی بررسی می‌کند. اطلاعاتی مانند وضعیت سیستم‌عامل، نرم‌افزارهای امنیتی و سایر شاخص‌های موردنظر سازمان می‌تواند در این ارزیابی استفاده شود.

نتیجه می‌تواند مثلاً به این شکل باشد:

Compliant → دسترسی معمول

Non-Compliant → دسترسی محدود یا قرنطینه

NAC در اینجا جای EDR یا Antivirus را نمی‌گیرد؛ بلکه می‌تواند نتیجه ارزیابی امنیتی Endpoint را وارد تصمیم کنترل دسترسی کند.

 

کنترل دسترسی شبکه چگونه دستگاه‌ها را در VLAN مناسب قرار می‌دهد؟

یکی از کاربردهای مهم NAC، Dynamic VLAN Assignment است.

به‌جای اینکه تمام دستگاه‌هایی که به یک Switch متصل می‌شوند در یک شبکه قرار بگیرند، می‌توان براساس Policy آن‌ها را در VLAN مناسب قرار داد.

نوع دستگاه/کاربر

نتیجه Policy

کاربر سازمانی

 VLAN سازمان
مهمان

Guest VLAN

پیمانکار

 VLAN محدود
IoT

VLAN مخصوص IoT

دستگاه ناشناس

Restricted/Quarantine VLAN

Endpoint ناسازگار

قرنطینه (Quarantine)

در این حالت، NAC فقط تصمیم نمی‌گیرد «اجازه بده یا نده»؛ بلکه می‌تواند مشخص کند دستگاه مجاز باید در کدام بخش شبکه قرار بگیرد.

 

انواع NAC و مدل‌های پیاده‌سازی کنترل دسترسی شبکه

NAC را می‌توان براساس محل اعمال کنترل و روش شناسایی دستگاه‌ها به چند مدل کلی تقسیم کرد. در عمل، بسیاری از راهکارهای مدرن ترکیبی از این روش‌ها را به کار می‌گیرند.

 

۱. NAC مبتنی بر 802.1X

در این مدل، کنترل دسترسی در نقطه اتصال کابلی یا Wi-Fi و با استفاده از 802.1X انجام می‌شود. کاربر یا دستگاه قبل از دریافت دسترسی عادی شبکه احراز هویت می‌شود.

 

۲. NAC مبتنی بر Agent

در این مدل، نرم‌افزار یا Agent روی Endpoint اطلاعات بیشتری درباره دستگاه در اختیار سامانه NAC قرار می‌دهد و می‌تواند برای ارزیابی وضعیت امنیتی و اعمال Policy استفاده شود.

 

۳. NAC بدون Agent

در این مدل برای شناسایی دستگاه الزاماً Agent روی Endpoint نصب نمی‌شود و اطلاعات شبکه، DHCP، MAC Address، پروتکل‌ها و سایر شاخص‌ها می‌توانند برای شناسایی و دسته‌بندی دستگاه مورد استفاده قرار گیرند. این مدل برای تجهیزات IoT، پرینترها و دستگاه‌هایی که امکان نصب Agent ندارند اهمیت زیادی دارد.

 

۴. NAC برای شبکه کابلی و بی‌سیم

کنترل دسترسی شبکه می‌تواند روی دسترسی‌های Wired و Wireless اعمال شود تا کاربر یا دستگاه صرف‌نظر از روش اتصال، Policy مشخصی دریافت کند.

 

۵. NAC مبتنی بر Cloud

در معماری‌های Cloud-managed، مدیریت Policy و بخشی از تحلیل و کنترل از طریق سرویس ابری انجام می‌شود. این مدل برای سازمان‌هایی که شعب متعدد یا زیرساخت‌های پراکنده دارند می‌تواند مدیریت متمرکزتری فراهم کند.

 

تفاوت NAC با Firewall، Network Segmentation و ZTNA چیست؟

راهکار

سؤال اصلی

NAC

 چه کاربر یا دستگاهی اجازه اتصال به شبکه دارد؟
Firewall

چه ترافیکی بین شبکه‌ها یا سرویس‌ها مجاز است؟

Network Segmentation

 شبکه چگونه به بخش‌های جدا تقسیم شود و ارتباط بین آن‌ها چگونه کنترل شود؟
ZTNA

کاربر یا دستگاه به کدام Application/Resource مشخص دسترسی داشته باشد؟

نکته مهم این است که NAC و ZTNA را یکی نگیریم. سیسکو هم NAC را عمدتاً برای Network Admission و ZTNA را برای دسترسی به Applicationها متمایز می‌کند.

 

کاربرد کنترل دسترسی شبکه یا NAC

NAC می‌تواند در محیط‌های مختلفی کاربرد داشته باشد، اما در برخی شبکه‌ها ارزش آن بیشتر است:

  • سازمان‌های دارای تعداد زیاد Endpoint

هرچه تعداد لپ‌تاپ‌ها، موبایل‌ها و سیستم‌های متصل بیشتر باشد، کنترل دستی آن‌ها دشوارتر می‌شود.

  • شبکه‌های دارای BYOD

در این محیط‌ها دستگاه شخصی کاربر نباید الزاماً همان سطح دسترسی سیستم سازمانی را دریافت کند.

  • سازمان‌های دارای تجهیزات IoT

دوربین‌ها، پرینترها، تلفن‌های IP و سایر تجهیزات باید شناسایی و از سیستم‌های حساس جدا شوند.

  • محیط‌های دارای پیمانکار و مهمان

کاربر مهمان یا پیمانکار ممکن است به اینترنت یا چند سرویس مشخص نیاز داشته باشد، نه کل شبکه داخلی.

  • شبکه‌های بزرگ با چندین Switch و Access Point

در این محیط‌ها مدیریت متمرکز Policy می‌تواند نسبت به تنظیمات دستی روی تک‌تک تجهیزات، کنترل‌پذیری بیشتری ایجاد کند.

  • Incident Response

در معماری‌های یکپارچه، استفاده از اطلاعات EDR یا SIEM برای محدود کردن Endpoint مشکوک یا آلوده. Cisco نیز یکی از قابلیت‌های NAC مدرن را Incident Response و امکان اعمال Isolation براساس اطلاعات امنیتی می‌داند.

 

چگونه  کنترل دسترسی شبکه را در سازمان پیاده‌سازی کنیم؟

پیاده‌سازی Network Access Control از خرید محصول شروع نمی‌شود؛ از شناخت وضعیت فعلی شبکه شروع می‌شود. اگر سازمان نداند چه دستگاه‌هایی به شبکه متصل هستند و چه سرویس‌هایی به آن‌ها وابسته‌اند، اعمال Policy سختگیرانه می‌تواند باعث اختلال شود.

یک رویکرد منطقی می‌تواند شامل مراحل زیر باشد:

۱. ابتدا دستگاه‌های شبکه را شناسایی کنید

قبل از اعمال Policy باید بدانید چه دستگاه‌هایی واقعاً به شبکه متصل هستند.

۲. دستگاه‌ها را دسته‌بندی کنید

کاربر، لپ‌تاپ، موبایل، پرینتر، دوربین، VoIP، IoT و تجهیزات ناشناس باید تا حد امکان از یکدیگر تفکیک شوند.

۳. روش احراز هویت را مشخص کنید

برای Endpointهای سازمانی می‌توان از 802.1X و روش‌های EAP مناسب استفاده کرد. برای تجهیزات فاقد قابلیت احراز هویت کاربر نیز باید روش شناسایی مناسب در نظر گرفته شود.

۴. Policyها را طراحی کنید

برای هر گروه مشخص کنید:

  • چه کسی اجازه اتصال دارد؟
  • چه دستگاهی مجاز است؟
  • به کدام VLAN منتقل شود؟
  • چه منابعی در دسترس باشد؟
  • دستگاه ناشناس چه وضعیتی داشته باشد؟

۵. ابتدا در حالت Monitoring اجرا کنید

قبل از اعمال محدودیت سختگیرانه، رفتار واقعی شبکه را مشاهده کنید تا دستگاه‌های ضروری که ممکن است در Inventory ثبت نشده باشند شناسایی شوند.

۶. سپس Policy Enforcement را مرحله‌ای فعال کنید

بعد از اطمینان از Policyها، می‌توان محدودیت‌ها را به‌صورت مرحله‌ای فعال کرد.

این روش ریسک قطع شدن سرویس‌های حیاتی را کاهش می‌دهد.

۷. سناریوی Failover را مشخص کنید

اگر RADIUS، NAC Server یا سرویس احراز هویت در دسترس نباشد، باید از قبل مشخص باشد تجهیزات شبکه چه رفتاری داشته باشند. این تصمیم باید براساس اهمیت سرویس و سطح امنیت موردنیاز سازمان طراحی شود.

 

اشتباهات رایج در پیاده‌سازی کنترل دسترسی شبکه

  1. فعال کردن Policy سختگیرانه بدون شناخت شبکه
  2. نادیده گرفتن دستگاه‌های Legacy
  3. نداشتن Policy برای Unknown Device
  4. بی‌توجهی به Failover و در دسترس نبودن RADIUS/NAC
  5. فرض اینکه NAC فقط برای کاربران و لپ‌تاپ‌هاست

 

سناریوی واقعی از NAC در شبکه سازمانی

فرض کنید یک شرکت سه نوع دستگاه دارد: لپ‌تاپ‌های سازمانی، تجهیزات شخصی کارکنان و دوربین‌های IP.

لپ‌تاپ سازمانی پس از احراز هویت و تأیید شرایط لازم وارد VLAN کاربران می‌شود. لپ‌تاپ شخصی که در Policy سازمان مجاز به دسترسی داخلی نیست، به Guest یا شبکه محدود منتقل می‌شود. دوربین IP نیز با Device Profiling شناسایی شده و در VLAN مخصوص تجهیزات IoT قرار می‌گیرد.

در این سناریو، هر سه دستگاه به شبکه متصل شده‌اند، اما یک Policy واحد برای آن‌ها اعمال نشده است؛ NAC براساس هویت، نوع دستگاه و شرایط اتصال، مسیر دسترسی متفاوتی برای هرکدام تعیین کرده است.

 

آیا NAC به‌تنهایی برای امنیت شبکه کافی است؟

خیر.

کنترل دسترسی شبکه یک لایه مهم برای کنترل ورود کاربران و دستگاه‌ها به شبکه است، اما به‌تنهایی معماری امنیتی سازمان را کامل نمی‌کند.

NAC مشخص می‌کند چه کسی یا چه دستگاهی می‌تواند به شبکه متصل شود و چه Policyای برای آن اعمال شود؛ اما کنترل ترافیک بین Segmentها، محافظت از Endpoint، تحلیل رویدادها و کنترل دسترسی به Applicationها به راهکارهای دیگری نیاز دارد.

برای ایجاد معماری دفاعی قوی‌تر، می‌توان NAC را در کنار راهکارهایی مانند موارد زیر به کار گرفت:

  • 802.1X
  • RADIUS
  • Network Segmentation
  • Firewall
  • EDR/XDR
  • SIEM
  • MFA
  • Vulnerability Management
  • Asset Management
  • Zero Trust

ارزش واقعی NAC زمانی مشخص می‌شود که سازمان بتواند از یک سؤال ساده فراتر برود:

«چه دستگاهی به شبکه وصل شده است؟»

و به این سؤال برسد:

«چه کسی، با چه دستگاهی، تحت چه شرایطی و با چه سطحی باید به شبکه دسترسی داشته باشد؟»