802.1X, bir cihazın ağa gerçekten katılmasından önce, bağlandığı anahtar portu veya kablosuz erişim noktası düzeyinde kimliğini kanıtlamasını zorunlu kılan IEEE standardıdır. Doğrulama tamamlanana kadar port “kapalı” sayılır; üzerinden yalnızca kimlik doğrulama mesajları geçer, hiçbir veri trafiğine izin verilmez. Böylece fiziksel bir prize kablo takmak veya menzile girmek, tek başına ağa erişim anlamına gelmez.

802.1X, ağın kapısını cihazın kablosuna değil kimliğine açar; doğrulanmayan bir uç, prize takılı olsa bile ağın dışındadır.

Üç Rol: Supplicant, Authenticator, Sunucu

Standart üç bileşen üzerine kuruludur. Supplicant, doğrulanmak isteyen istemci yazılımıdır. Authenticator, genellikle bir anahtar veya erişim noktasıdır ve portun kapısını tutar. Kimlik doğrulama sunucusu ise çoğunlukla bir RADIUS sunucusudur ve kararı verir. Authenticator kendi başına karar vermez; supplicant’ın kimlik bilgilerini RADIUS sunucusuna iletir, sunucunun “kabul” ya da “ret” yanıtına göre portu açar veya kapalı tutar. Bu ayrım, kimlik kararının merkezî bir politikadan yönetilmesini sağlar.

Doğrulama Nasıl İlerler?

Kimlik bilgileri, supplicant ile authenticator arasında EAPOL çerçeveleri, authenticator ile sunucu arasında RADIUS üzerinden taşınır. Kullanılan yöntem EAP ve EAP-TLS çerçevesiyle belirlenir; EAP-TLS gibi sertifika tabanlı yöntemlerde hem istemci hem sunucu birbirini dijital sertifikalarla doğrular ve parola tümüyle devre dışı kalır. Doğrulama başarılıysa RADIUS sunucusu, porta atanacak VLAN veya erişim listesi gibi öznitelikleri de geri döndürebilir; böylece cihaz kimliğine göre farklı ağ segmentlerine yerleştirilir.

• Supplicant porta bağlanır, port yalnızca EAPOL trafiğine açıktır
• Authenticator kimlik bilgilerini RADIUS sunucusuna iletir
• Sunucu EAP yöntemiyle doğrulamayı yürütür ve karar verir
• Kabul hâlinde port açılır ve uygun VLAN atanır

Daha Geniş Erişim Kontrolündeki Yeri

802.1X, kurumsal Ağ erişim kontrolü mimarisinin doğrulama omurgasını oluşturur; NAC çözümleri çoğunlukla 802.1X üzerine cihaz duruş kontrolü, misafir ağı yönlendirme ve profil çıkarma gibi katmanlar ekler. Doğrulanamayan cihazlar için genellikle sınırlı bir onarım VLAN’ı ya da tamamen izole bir segment tanımlanır, böylece uyumsuz uçlar üretim ağından uzak tutulur.

Uygulamada Dikkat Edilecekler

Pratikte MAB (MAC Authentication Bypass) gibi geri dönüş mekanizmaları, yazıcı gibi supplicant desteği olmayan cihazlar için gerekebilir; ancak yalnızca MAC adresine güvenmek, taklit edilebilir olduğu için dikkatli kullanılmalıdır. Sertifika tabanlı EAP-TLS’in tercih edilmesi, çalınan parolalarla ağa sızmayı büyük ölçüde engeller. Bu tür bir kimlik omurgasının doğru kurgulandığını ve segmentasyonla tutarlı çalıştığını değerlendirmek, Privia Security’nin altyapı ve mimari gözden geçirme çalışmasının kapsamındadır.