المدرب: في هذا
الدرس، سنتحدث عن خوادم AAA، والتي تعني
المصادقة والترخيص والمحاسبة، ولفهم خوادم
AAA، أول شيء يتعين علينا القيام به هو فهم كيفية
استخدام 802. 1X يعمل كإطار.
المدرب: 802. 1X هو إطار عمل قياسي يُستخدم
للمصادقة المستندة إلى المنفذ
على كل من الشبكات السلكية واللاسلكية.
الآن، منذ 802. 1X هو مجرد إطار عمل، وسيستخدم
في الواقع آليات أخرى لإجراء
المصادقة الحقيقية لنا.
على سبيل المثال،
يمكن استخدام كل من خدمة مستخدم الطلب الهاتفي
للمصادقة عن بعد، والمعروفة
باسم RADIUS، ونظام التحكم في
الوصول إلى وحدة التحكم في الوصول إلى المحطة الطرفية
Plus، أو TACACS+، لإجراء المصادقة باستخدام
802. بروتوكول 1X.
هناك ثلاثة أدوار مطلوبة لإجراء
المصادقة تحت 802. 1X.
الأول هو مقدم الطلب، وهو الجهاز أو المستخدم
الذي يطلب الوصول إلى الشبكة،
مثل PC1 في هذه الصورة.
ثم هناك المصادق، وهو الجهاز الذي يحاول
مقدم الطلب من خلاله الوصول
إلى الشبكة.
عادةً ما يكون هذا بمثابة محول
أو نقطة وصول لاسلكية أو مُكثف VPN.
أخيرًا، هناك خادم المصادقة، والذي
سيكون الجهاز المركزي الذي
يقوم بالمصادقة، والذي
عادةً ما يكون RADIUS أو خادم
TACACS+ الخاص بك.
تحدث المصادقة عندما يتم إثبات هوية
الشخص بإثبات ويتم تأكيدها بواسطة النظام.
أنت تفعل هذا كل يوم.
في الواقع، لقد فعلت ذلك عندما قمت بتسجيل الدخول إلى هذه الدورة.
عندما أدخلت عنوان بريدك الإلكتروني وكلمة المرور
الخاصة بك، كنت تدعي أنك الطالب الذي دفع
ثمن هذه الدورة، ومن خلال القيام بذلك، يتم
فحصك بواسطة النظام ومنحك حق الوصول.
الآن، هناك طرق مختلفة للتحقق من هويتك.
في العالم الحقيقي، على سبيل المثال،
إذا تم إيقافك بسبب السرعة
من قبل ضابط شرطة، فيمكنك
سحب رخصة قيادتك وإظهار أنك أنت،
وأنك من تقول أنك أنت.
هذا هو دليلك.
الآن، في العالم الرقمي،
لدينا خمس طرق للمصادقة.
لدينا شيء تعرفه، والذي قد يكون
مثل كلمة المرور أو اسم المستخدم، لدينا
شيء ما، والذي قد يكون مثل بصمة إصبعك
أو مسح العين أو مسح شبكية العين، لدينا شيء لديك، سيكون
هذا شيئًا مثل رمز مميز، أو رخصة
قيادة، أو بطاقة ائتمان، يمكن أن يكون شيئًا تفعله،
وهو الطريقة التي تتحدث بها أو الطريقة
التي توقع بها اسمك، ويمكن أن يكون في مكان ما
تتواجد فيه، والذي نعرفه باسم موقعك عامل
يعتمد على موقع GPS الخاص بك.
LDAP هو بروتوكول الوصول الخفيف إلى الدليل.
هذه قاعدة بيانات تُستخدم لتجميع المعلومات
حول عملائك والكائنات الخاصة بك على الشبكة.
LDAP هو في الأساس نسخة مبسطة من X. 500، وهي خدمة دليل،
وتحتوي على تنظيم
هرمي للمستخدمين والمجموعات
والخوادم والأنظمة داخل شبكتك.
يتصل LDAP عبر المنفذ 389 عندما يقوم
بذلك بشكل غير مشفر، وإذا قررت
تشفيره باستخدام SSL أو TLS، فسوف يستخدم المنفذ 636.
الآن، على الرغم من أن LDAP يعتبر متعدد المنصات،
فقد أنشأت Microsoft تطبيقها الخاص لهذا،
والمعروف باسم AD أو Active Directory.
في مجال Windows، يتم استخدام Active Directory
لتنظيم وإدارة كل شيء على الشبكة، بما في ذلك
العملاء والخوادم والأجهزة والمستخدمين
والمجموعات.
والآن، يمكن أيضًا استخدام Active Directory
كجزء من سياسات الأمان الخاصة بك أو التحكم في الوصول من خلال
سياسات مجموعتك.
RADIUS هي خدمة مستخدم الاتصال الهاتفي للمصادقة عن بعد.
فهو يوفر إدارة مركزية للاتصال الهاتفي، وVPN، والمصادقة
اللاسلكية، بحيث يمكنك استخدام
ذلك مع كل من 802. 1X وبروتوكول المصادقة
القابل للتوسيع، أو EAP.
RADIUS هو بروتوكول خادم عميل يعمل على
الطبقة السابعة من نموذج OSI،
وهي طبقة التطبيق.
يتم عادةً تكوين RADIUS ليتم تشغيله على خادم منفصل،
ولكن يمكن أيضًا تحميله على خادم Windows
في بيئات نطاق أصغر.
يتم استخدام RADIUS لمصادقة المستخدمين،
وتخويلهم للخدمات، وحساب
استخدامهم لهذه الخدمات.
يستخدم RADIUS أيضًا UDP لإجراء اتصالاته، مما
يجعله سريعًا إلى حد
ما أثناء وظائف المصادقة والترخيص.
الآن، على الرغم من أن RADIUS هو معيار متعدد المنصات،
إلا أن هناك بروتوكولًا خاصًا من Cisco يسمى TACACS+.
هذا هو نظام التحكم في الوصول إلى وحدة
التحكم في الوصول إلى المحطة الطرفية Plus، والذي يمكنه
أداء دور المصادق في 802. شبكة 1X.
الآن، الأمر متروك لك لتحديد أيهما
أفضل لاحتياجات مؤسستك.
أنا شخصياً استخدمت RADIUS بشكل حصري
تقريبًا داخل مؤسساتي.
لقد وجدت أن TACACS+ أبطأ قليلاً في التشغيل
لأنه يعتمد على TCP بدلاً من UDP، لكن
TACACS+ له بعض الفوائد.
فهو يمنحك بعض الأمان الإضافي
ويقوم بشكل مستقل بإجراء عمليات المصادقة
والترخيص والمحاسبة.
يدعم TACACS+ جميع بروتوكولات الشبكة، لكن
RADIUS، من ناحية أخرى،
لا يدعم بروتوكول الوصول عن بعد، بروتوكول
NetBIOS Frame، X. 25 وصلات مربوطة، وبعضها
الآخر.
بشكل عام، يعد TACACS+ خيارًا ممتازًا، ولكن فقط إذا
كنت ستستخدم أجهزة Cisco عبر شبكتك، لأنه
إذا كنت ترغب في الحصول
على هذه الإمكانية عبر الأنظمة الأساسية، فسيتعين
عليك الانتقال إلى RADIUS، الطريقة
التي اخترتها في الماضي.
والثاني أ هو الترخيص.
يحدث التفويض عندما يتم منح المستخدم حق
الوصول إلى جزء معين من البيانات أو مناطق معينة من المبنى.
هل سبق لك أن دخلت إلى أحد المباني ورأيت
لافتة تنص على تقييد الدخول، للموظفين المصرح لهم فقط؟
حسنًا، هذا يعني أنه لا يمكنك الذهاب إلى تلك المنطقة.
قد يكون الأمر أشبه بغرفة صيانة
أو مكان ما لديهم مولدات ولا يمكن
دخوله إلا للميكانيكيين.
لديهم مفاتيح خاصة أو شارات خاصة تسمح
لهم بالدخول إلى تلك المناطق.
هذه المنطقة هي مكان غير مسموح لك بالذهاب إليه.
يركز Kerberos على المصادقة والترخيص.
يتم تنفيذ ذلك من خلال نظام التذاكر Kerberos
الخاص بنا في مجال Windows.
Kerberos هو بروتوكول مصادقة يوفر مصادقة
ثنائية الاتجاه أو متبادلة.
عندما يقوم المستخدم بتسجيل الدخول
إلى المجال، فإنه يتصل أولاً بوحدة
تحكم المجال، التي تعمل كمركز توزيع المفاتيح، أو KDC.
لدى KDC وظيفتين أساسيتين،
المصادقة ومنح التذاكر.
لذلك، إذا تمت مصادقة عميلك بشكل
صحيح، فسوف تصدر KDC له TGT، وهو
ما يسمى تذكرة منح التذكرة.
يتم بعد ذلك توفير تذكرة منح التذكرة
هذه إلى وحدة تحكم المجال في أي وقت يريد المستخدم
الوصول إلى أحد الموارد،
ومن ثم يمكن لوحدة تحكم المجال تزويد هذا المستخدم
بتذكرة خدمة أو مفتاح جلسة لاستخدامه، أيهما
يناسب احتياجاته.
يتم تقديم هذه التذاكر إلى المورد،
ثم يتم منح حق الوصول لأن المورد
يثق دائمًا في التذاكر المقدمة
من وحدات تحكم المجال.
الآن، نظرًا لأن Kerberos يعتمد على وحدة
تحكم المجال لتكون بمثابة مركز توزيع
المفاتيح، فهذه نقطة فشل واحدة في المجال.
إذا كانت وحدة تحكم المجال معطلة،
فسيتم أيضًا إيقاف تشغيل خدمات منح التذاكر.
لمنع حدوث ذلك، فإن ما سيفعله معظم الأشخاص
هو أن يكون لديهم وحدة تحكم مجال نشطة أساسية وثانوية.
سيمنحك ذلك هذا النوع من التكرار
لضمان تشغيل Kerberos واستمرار تشغيل LDAP.
والثالث أ هو المحاسبة.
تضمن المحاسبة الحفاظ على تتبع البيانات
واستخدام الكمبيوتر وموارد الشبكة.
الآن، عندما نفعل ذلك، عادةً ما
يتم وضعه في ما يسمى بملف السجل.
هذا ملف موجود على جهاز كمبيوتر
وهو في الأساس مجرد مستند نصي كبير،
وهو يتتبع كل أنواع الأشياء.
قد تكون هذه جميع اتصالات الإنترنت
التي تغادر الشبكة، كما هو موضح هنا على الشاشة،
أو قد تكون قائمة بجميع الأشخاص الذين
حاولوا تسجيل الدخول إلى ملف أو موقع ويب معين.
يتم الاحتفاظ بجميع أنواع السجلات المختلفة على
جهاز الكمبيوتر الخاص بك لتتبع جميع
الأشياء المختلفة التي يتم القيام بها،
وكل هذا لضمان استخدام الممارسات المحاسبية الجيدة لأنه إذا
كان لديك خرق للبيانات أو كان لديك نوع
من الخطأ التهديد الداخلي، يمكنك الرجوع
وإلقاء نظرة على البيانات الموجودة في ملفات السجل الخاصة
بك لمعرفة من فعل ماذا ومتى.
هذا ما تسمح لك المحاسبة بفعله.
الآن، إذا كان لديك دليل على أن شخصًا ما فعل شيئًا
ما، وأنه اتخذ إجراءً ما، فإننا نسمي هذا عدم التنصل.
عدم الإنكار يعني ببساطة أن المستخدم لا يمكنه القول
بأنه لم يتخذ الإجراء لأن لديك دليلاً على قيامه بذلك.
على سبيل المثال، إذا أرسلت لي بريدًا إلكترونيًا
وقمت بتوقيعه باستخدام توقيع رقمي، فأنت
الشخص الوحيد في العالم الذي لديه مفتاح
التوقيع الرقمي الخاص هذا.
أعلم بالتأكيد أنك أرسلت هذا البريد الإلكتروني.
لا يمكنك أن تخبرني لاحقًا أنك لم
ترسلها لأن لدي دليل الآن.
وهذا عدم الإنكار.