Instrutor: Nesta
lição, falaremos sobre servidores AAA, que significa
autenticação, autorização e contabilidade, e para entender
os servidores AAA, a primeira coisa que precisamos fazer
é entender como o 802. O 1X funciona como uma estrutura.
Instrutor: 802. 1X é uma estrutura padronizada
usada para autenticação baseada
em porta em redes com e sem fio.
Agora, como o 802. O 1X é apenas a estrutura; na verdade,
ele utilizará outros mecanismos para
fazer a autenticação real para nós.
Por exemplo, tanto
o Remote Authentication Dial-In User Service, conhecido
como RADIUS, quanto o Terminal
Access Controller Access-Control
System Plus, ou TACACS+, podem ser utilizados para conduzir
a autenticação usando o 802.
Protocolo 1X.
Há três funções que são necessárias para
que ocorra uma autenticação no 802. 1X.
O primeiro é o suplicante, que é o dispositivo ou
usuário que está solicitando
acesso à rede, como o PC1 nesta imagem.
Depois, há um autenticador, que é o dispositivo
por meio do qual o suplicante está
tentando acessar a rede.
Normalmente, isso será algo como um switch,
um ponto de acesso sem fio ou um concentrador de VPN.
Por fim, há o servidor de autenticação, que
será o dispositivo centralizado
que realiza a autenticação,
que normalmente será o servidor
RADIUS ou TACACS+.
A autenticação ocorre quando a identidade de uma
pessoa é estabelecida com provas e é confirmada pelo sistema.
Você faz isso todos os dias.
Na verdade, você fez isso quando entrou neste curso.
Quando você digitou seu endereço de e-mail e sua
senha, estava afirmando que é o aluno que
pagou por este curso e, ao fazer isso, foi verificado
pelo sistema e recebeu acesso.
Agora, há diferentes maneiras de autenticar quem você é.
No mundo real, por exemplo, se você for parado
por um policial por excesso de velocidade,
poderá retirar sua carteira de
motorista e mostrar que é você e que
é quem diz ser.
Essa é sua prova.
Agora, no mundo digital,
temos cinco métodos de autenticação.
Temos algo que você sabe, que seria
algo como uma senha ou um nome de usuário, temos
algo que você é, que seria algo como sua impressão
digital ou um exame de olhos ou de retina, temos algo que você tem,
que seria algo como um token, uma carteira
de motorista ou um cartão de crédito, pode ser algo que você faz,
que é a maneira como você fala ou a maneira
como assina seu nome, e pode ser algum lugar onde você
está, que conhecemos como seu fator de localização
com base em sua localização GPS.
LDAP é o Lightweight Directory Access Protocol (Protocolo de Acesso a Diretórios Leves).
Esse é um banco de dados usado para centralizar as informações
sobre seus clientes e seus objetos na rede.
O LDAP é essencialmente uma versão simplificada do X. 500, que é um serviço de diretório
e contém uma organização
hierárquica dos usuários, grupos, servidores
e sistemas dentro da sua rede.
O LDAP se comunica pela porta 389 quando está
fazendo isso sem criptografia e, se você
decidir criptografá-lo usando SSL ou TLS, ele usará a porta 636.
Agora, embora o LDAP seja considerado multiplataforma,
a Microsoft criou sua própria implementação,
conhecida como AD ou Active Directory.
No domínio do Windows, o Active Directory é
usado para organizar e gerenciar tudo na rede,
inclusive clientes, servidores,
dispositivos, usuários e grupos.
Agora, o Active Directory também pode ser usado
como parte de suas políticas de segurança ou controle de acesso por
meio de suas políticas de grupo.
RADIUS é o Remote Authentication Dial-In User Service (Serviço de Autenticação Remota para Usuários Dial-In).
Ele fornece administração centralizada de autenticação de conexão
discada, VPN e sem fio, de modo que
você possa usá-lo com o 802. 1X e o Extensible Authentication
Protocol (Protocolo de autenticação extensível), ou EAP.
O RADIUS é um protocolo cliente-servidor que é executado
na sétima camada do modelo OSI, a camada
de aplicativos.
Normalmente, o RADIUS é configurado para ser executado em um servidor
separado, mas também pode ser carregado em um servidor
Windows em ambientes de domínio menores.
O RADIUS é usado para autenticar usuários,
autorizá-los a usar serviços
e contabilizar o uso desses serviços.
O RADIUS também utiliza UDP para fazer suas conexões, o que
o torna bastante rápido durante
suas funções de autenticação e autorização.
Embora o RADIUS seja um padrão de plataforma cruzada,
há um protocolo proprietário da Cisco chamado TACACS+.
Este é o Terminal Access Controller Access-Control
System Plus, que pode desempenhar a função de um autenticador
em um sistema 802. Rede 1X.
Agora, cabe a você determinar qual é a melhor opção para
as necessidades da sua organização.
Pessoalmente, tenho usado o RADIUS quase exclusivamente
em minhas organizações.
Descobri que o TACACS+ é um pouco mais lento para operar
porque depende de TCP em vez de UDP, mas o TACACS+
tem algumas vantagens.
Ele oferece segurança adicional
e conduz de forma independente seus processos de autenticação,
autorização e contabilidade.
O TACACS+ é compatível com todos os protocolos de rede,
mas o RADIUS, por outro lado,
não é compatível com o protocolo de acesso remoto,
o protocolo NetBIOS Frame, o X. 25 conexões fixas e algumas
outras.
Em geral, o TACACS+ é uma excelente opção, mas somente
se você for usar dispositivos Cisco em
toda a sua rede, pois se
quiser ter esse recurso de plataforma cruzada, terá
que usar o RADIUS, que foi a forma
que escolhi no passado.
O segundo A é autorização.
A autorização ocorre quando um usuário recebe
acesso a um determinado dado ou a determinadas áreas do edifício.
Você já entrou em um prédio e viu uma placa
que dizia acesso restrito, somente para pessoal autorizado?
Bem, isso significa que você não pode entrar nessa área.
Pode ser algo como uma sala de manutenção
ou algum lugar onde há geradores e somente
os mecânicos podem entrar.
Eles têm chaves especiais ou crachás especiais
que lhes permitem entrar nessas áreas.
Essa área é um lugar onde você não está autorizado a ir.
O Kerberos se concentra em autenticação e autorização.
Isso é realizado por meio do nosso sistema de emissão de tíquetes
Kerberos em um domínio do Windows.
O Kerberos é um protocolo de autenticação que fornece
autenticação bidirecional ou mútua.
Quando o usuário faz login no domínio, ele
primeiro entra em contato com o controlador
de domínio, que atua como o centro de distribuição de chaves, ou KDC.
Esse KDC tem duas funções básicas: autenticação
e concessão de tíquetes.
Portanto, se o cliente for autenticado
corretamente, o KDC emitirá um TGT, que
é chamado de Ticket Granting Ticket.
Esse Ticket de Concessão de Ticket é fornecido
ao controlador de domínio sempre que o usuário quiser
acessar um recurso e, em seguida,
o controlador de domínio pode fornecer a esse usuário um
ticket de serviço ou uma chave de sessão para uso, o que for
mais adequado às suas necessidades.
Esses tíquetes são apresentados ao recurso,
e o acesso é concedido porque o recurso
sempre confia nos tíquetes fornecidos
pelos controladores de domínio.
Agora, como o Kerberos depende do controlador de
domínio para servir como centro de distribuição
de chaves, esse é um ponto único de falha no domínio.
Se o controlador de domínio estiver inativo,
os serviços de concessão de tíquetes também serão desligados.
No entanto, para evitar isso, a maioria das pessoas
tem um controlador de domínio ativo primário e um secundário.
Isso lhe dará essa forma de redundância
para garantir que o Kerberos esteja ativo e o LDAP ainda esteja em execução.
O terceiro A é contabilidade.
A contabilidade garante que o rastreamento de
dados, o uso de computadores e os recursos de rede sejam mantidos.
Agora, quando fazemos isso, geralmente é colocado
em algo chamado arquivo de registro.
Trata-se de um arquivo em um computador
que é basicamente um documento de texto grande e
mantém o controle de todos os tipos de coisas.
Isso pode ser todas as conexões de Internet
que estão saindo da rede, como mostrado aqui na tela,
ou pode ser uma lista de todas as pessoas que
tentaram fazer logon em um determinado arquivo ou site.
Todos os tipos de registros diferentes são mantidos
em seu computador para acompanhar todas
as coisas que estão sendo feitas, e tudo
isso é para garantir que boas práticas contábeis estejam sendo
usadas porque, se houver uma violação
de dados ou algum tipo de ameaça interna, você
poderá voltar e examinar os dados em seus arquivos de registro
para descobrir quem fez o quê e quando.
É isso que a contabilidade permite que você faça.
Agora, se você tiver provas de que alguém fez algo,
que realizou uma ação, chamamos isso de não repúdio.
O não repúdio significa simplesmente que o usuário não pode dizer
que não realizou a ação porque você tem provas de que ele a realizou.
Por exemplo, se você enviou um e-mail para
mim e o assinou com uma assinatura digital,
você é a única pessoa no mundo inteiro que tem
essa chave privada de assinatura digital.
Tenho certeza de que você enviou esse e-mail.
Você não pode me dizer mais tarde que não a
enviou, pois agora tenho provas.
Isso é não repúdio.