ผู้สอน: ในบทเรียนนี้
เราจะพูดถึงเซิร์ฟเวอร์ AAA ซึ่งย่อมาจากการรับรองความถูกต้อง
การอนุญาต และการบัญชี และเพื่อให้เข้าใจเซิร์ฟเวอร์ AAA สิ่งแรกที่เราต้องทำคือทำความเข้าใจว่า
802 เป็นอย่างไร
1X ทำงานเป็นกรอบ
ผู้สอน: 802. 1X เป็นเฟรมเวิร์กมาตรฐานที่ใช้สำหรับการรับรองความถูกต้องตามพอร์ตทั้งบนเครือข่ายแบบมีสายและไร้สาย
ตอนนี้ตั้งแต่ปี 802 1X เป็นเพียงเฟรมเวิร์ก ที่จริงแล้วจะใช้กลไกอื่นๆ
เพื่อทำการยืนยันตัวตนที่แท้จริงให้กับเรา
ตัวอย่างเช่น สามารถใช้ทั้ง
Remote Authentication Dial-In User Service หรือที่เรียกว่า
RADIUS และ Terminal Access
Controller Access-Control System Plus
หรือ TACACS+ เพื่อดำเนินการตรวจสอบสิทธิ์โดยใช้ 802 ได้
โปรโตคอล 1X
มีสามบทบาทที่จำเป็นสำหรับการรับรองความถูกต้องที่จะเกิดขึ้นภายใต้
802 1X.
อย่างแรกคือผู้ร้องขอ ซึ่งเป็นอุปกรณ์หรือผู้ใช้ที่ร้องขอการเข้าถึงเครือข่าย
เช่น PC1 ในภาพนี้
จากนั้นก็มีตัวตรวจสอบสิทธิ์ซึ่งเป็นอุปกรณ์ที่ผู้ร้องขอพยายามเข้าถึงเครือข่าย
โดยปกติจะเป็นสวิตช์ จุดเชื่อมต่อไร้สาย
หรือตัวรวมสัญญาณ VPN
สุดท้าย มีเซิร์ฟเวอร์การตรวจสอบสิทธิ์
ซึ่งจะเป็นอุปกรณ์ส่วนกลางที่ดำเนินการตรวจสอบสิทธิ์
ซึ่งโดยปกติจะเป็นเซิร์ฟเวอร์
RADIUS หรือ TACACS+ ของคุณ
การรับรองความถูกต้องเกิดขึ้นเมื่อข้อมูลระบุตัวตนของบุคคลได้รับการพิสูจน์และได้รับการยืนยันโดยระบบ
คุณทำเช่นนี้ทุกวัน
อันที่จริง คุณทำไปแล้วเมื่อลงชื่อเข้าใช้หลักสูตรนี้
เมื่อคุณป้อนที่อยู่อีเมลและรหัสผ่านของคุณ แสดงว่าคุณอ้างว่าคุณเป็นนักเรียนที่ชำระเงินสำหรับหลักสูตรนี้
และการทำเช่นนั้น ระบบจะตรวจสอบคุณและได้รับสิทธิ์ในการเข้าถึง
ขณะนี้มีหลายวิธีในการยืนยันตัวตนของคุณ
ตัวอย่างเช่น ในโลกแห่งความเป็นจริง หากคุณถูกเจ้าหน้าที่ตำรวจเรียกตรวจเพราะขับรถเร็ว
คุณอาจดึงใบขับขี่ของคุณและแสดงให้พวกเขาเห็นว่าเป็นคุณและคุณคือคนที่บอกว่าคุณเป็น
นี่คือข้อพิสูจน์ของคุณ
ปัจจุบัน ในโลกดิจิทัล
เรามีวิธีการยืนยันตัวตนอยู่ 5 วิธี
เรามีบางอย่างที่คุณรู้ ซึ่งอาจจะเป็นบางอย่าง
เช่น รหัสผ่านหรือชื่อผู้ใช้ เรามีบางอย่างที่เป็นคุณ
ซึ่งอาจจะเป็นบางอย่างเช่น ลายนิ้วมือของคุณ
หรือการสแกนดวงตา หรือการสแกนจอประสาทตา เรามีสิ่งที่คุณมี นี่อาจเป็นบางอย่าง เช่นโทเค็น
ใบขับขี่ หรือบัตรเครดิต อาจเป็นสิ่งที่คุณทำ ซึ่งเป็นวิธีที่คุณพูดหรือวิธีที่คุณเซ็นชื่อ และอาจเป็นที่ที่คุณอยู่ ซึ่งเรารู้ว่าเป็นตำแหน่งของคุณ ปัจจัยตามตำแหน่ง GPS
ของคุณ
LDAP เป็นโปรโตคอลการเข้าถึงไดเรกทอรีที่มีน้ำหนักเบา
นี่คือฐานข้อมูลที่ใช้ในการรวมศูนย์ข้อมูลเกี่ยวกับลูกค้าและวัตถุของคุณบนเครือข่าย
โดยพื้นฐานแล้ว LDAP เป็นเวอร์ชันที่เรียบง่ายของ X 500 ซึ่งเป็นบริการไดเร็กทอรี
และประกอบด้วยองค์กรตามลำดับชั้นของผู้ใช้
กลุ่ม เซิร์ฟเวอร์ และระบบภายในเครือข่ายของคุณ
LDAP สื่อสารผ่านพอร์ต 389 เมื่อไม่ได้เข้ารหัส
และหากคุณตัดสินใจเข้ารหัสโดยใช้
SSL หรือ TLS ก็จะใช้พอร์ต 636
ขณะนี้ แม้ว่า LDAP จะถือเป็นข้ามแพลตฟอร์ม แต่
Microsoft ได้สร้างการนำสิ่งนี้ไปใช้เอง
ซึ่งเรียกว่า AD หรือ Active Directory
ในโดเมน Windows นั้น Active Directory ใช้เพื่อจัดระเบียบและจัดการทุกอย่างบนเครือข่าย
รวมถึงไคลเอนต์ เซิร์ฟเวอร์ อุปกรณ์
ผู้ใช้ และกลุ่มเหล่านั้น
ตอนนี้ Active Directory ยังสามารถใช้เป็นส่วนหนึ่งของนโยบายความปลอดภัยหรือการควบคุมการเข้าถึงผ่านนโยบายกลุ่มของคุณได้อีกด้วย
RADIUS เป็นบริการ Dial-In User สำหรับการรับรองความถูกต้องระยะไกล
มีการจัดการแบบรวมศูนย์ของการเรียกผ่านสายโทรศัพท์, VPN และการรับรองความถูกต้องแบบไร้สาย
เพื่อให้คุณสามารถใช้กับทั้ง 802
ได้ 1X และ Extensible
Authentication Protocol หรือ EAP
RADIUS เป็นไคลเอนต์เซิร์ฟเวอร์โปรโตคอลที่ทำงานบนเลเยอร์ที่เจ็ดของแบบจำลอง
OSI ซึ่งเป็นเลเยอร์แอปพลิเคชัน
โดยปกติแล้ว RADIUS ได้รับการกำหนดค่าให้ทำงานบนเซิร์ฟเวอร์แยกต่างหาก
แต่สามารถโหลดขึ้นบนเซิร์ฟเวอร์ Windows ในสภาพแวดล้อมโดเมนที่เล็กกว่าได้
RADIUS ใช้เพื่อรับรองความถูกต้องของผู้ใช้
อนุญาตให้ใช้บริการ และบัญชีสำหรับการใช้บริการเหล่านั้น
RADIUS ยังใช้ UDP ในการเชื่อมต่อ ทำให้มันค่อนข้างเร็วระหว่างการพิสูจน์ตัวตนและการให้สิทธิ์
ขณะนี้ แม้ว่า RADIUS จะเป็นมาตรฐานข้ามแพลตฟอร์ม แต่ก็มีโปรโตคอลที่เป็นกรรมสิทธิ์จาก
Cisco ที่เรียกว่า TACACS+
นี่คือ Terminal Access Controller
Access-Control System Plus ซึ่งสามารถทำหน้าที่เป็นตัวรับรองความถูกต้องใน
802 เครือข่าย 1X
ตอนนี้ก็ขึ้นอยู่กับคุณแล้วที่จะตัดสินใจว่าแบบใดดีที่สุดสำหรับความต้องการขององค์กรของคุณ
โดยส่วนตัวแล้ว ฉันใช้ RADIUS เกือบจะเฉพาะภายในองค์กรของฉันเท่านั้น
ฉันพบว่า TACACS+ ทำงานช้ากว่าเล็กน้อยเนื่องจากใช้
TCP แทน UDP แต่ TACACS+ มีประโยชน์บางอย่าง
มันให้ความปลอดภัยเพิ่มเติมแก่คุณและดำเนินการตรวจสอบสิทธิ์
อนุญาต และกระบวนการทางบัญชีโดยอิสระ
TACACS+ รองรับโปรโตคอลเครือข่ายทั้งหมด
แต่ในทางกลับกัน RADIUS
ไม่รองรับโปรโตคอลการเข้าถึงระยะไกล,
โปรโตคอล NetBIOS Frame, X 25 การเชื่อมต่อที่ตรึงและอื่น
ๆ
โดยรวมแล้ว TACACS+ เป็นตัวเลือกที่ยอดเยี่ยม แต่เฉพาะในกรณีที่คุณกำลังจะใช้อุปกรณ์
Cisco ในเครือข่ายของคุณเท่านั้น เพราะหากคุณต้องการมีความสามารถข้ามแพลตฟอร์มนั้น คุณจะต้องดำเนินการกับ RADIUS ทางที่ฉันเคยเลือกไว้ในอดีต
A ตัวที่สองคือการอนุญาต
การอนุญาตเกิดขึ้นเมื่อผู้ใช้ได้รับสิทธิ์เข้าถึงข้อมูลบางส่วนหรือบางพื้นที่ของอาคาร
คุณเคยเดินเข้าไปในอาคารแล้วเห็นป้ายบอกว่าจำกัดการเข้าใช้เฉพาะเจ้าหน้าที่ที่ได้รับอนุญาตหรือไม่?
ก็แสดงว่าเข้าไปในเขตนั้นไม่ได้
อาจเป็นห้องซ่อมบำรุงหรือที่ไหนสักแห่งที่มีเครื่องกำเนิดไฟฟ้าและมีเพียงช่างเครื่องเท่านั้นที่สามารถเข้าไปในนั้นได้
พวกเขามีกุญแจพิเศษหรือตราพิเศษที่จะอนุญาตให้พวกเขาเข้าไปในพื้นที่เหล่านั้น
พื้นที่นั้นเป็นที่ที่คุณไม่ได้รับอนุญาตให้ไป
Kerberos มุ่งเน้นไปที่การรับรองความถูกต้องและการให้สิทธิ์
ซึ่งดำเนินการผ่านระบบออกตั๋ว Kerberos
ในโดเมน Windows
Kerberos เป็นโปรโตคอลการตรวจสอบความถูกต้องที่ให้การรับรองความถูกต้องแบบสองทางหรือร่วมกัน
เมื่อผู้ใช้เข้าสู่ระบบโดเมน
ก่อนอื่นพวกเขาจะติดต่อตัวควบคุมโดเมนซึ่งทำหน้าที่เป็นศูนย์กระจายคีย์หรือ
KDC
KDC นี้มีฟังก์ชันพื้นฐานสองอย่าง การตรวจสอบสิทธิ์และการให้สิทธิ์ตั๋ว
ดังนั้น หากไคลเอนต์ของคุณได้รับการรับรองอย่างถูกต้อง
KDC จะออก TGT ให้แก่พวกเขา ซึ่งเรียกว่า Ticket
Granting Ticket
จากนั้น ตั๋วการให้สิทธิ์ตั๋วนี้จะมอบให้กับตัวควบคุมโดเมนทุกเมื่อที่ผู้ใช้ต้องการเข้าถึงทรัพยากร
จากนั้นตัวควบคุมโดเมนสามารถให้ตั๋วบริการหรือคีย์เซสชันแก่ผู้ใช้รายนั้น แล้วแต่ว่าจะเหมาะสมกับความต้องการใด
ตั๋วเหล่านี้จะแสดงต่อทรัพยากร จากนั้นจึงให้สิทธิ์การเข้าถึงเนื่องจากทรัพยากรจะเชื่อถือตั๋วที่ตัวควบคุมโดเมนให้มาเสมอ
ขณะนี้ เนื่องจาก Kerberos อาศัยตัวควบคุมโดเมนเพื่อทำหน้าที่เป็นศูนย์กระจายคีย์นั้น
นี่เป็นจุดเดียวของความล้มเหลวในโดเมน
หากตัวควบคุมโดเมนไม่ทำงาน
บริการให้สิทธิ์ตั๋วจะปิดตัวลงด้วย
เพื่อป้องกันสิ่งนี้ สิ่งที่คนส่วนใหญ่จะทำคือมีตัวควบคุมโดเมนหลักและรองที่ใช้งานอยู่
ซึ่งจะทำให้คุณมีรูปแบบสำรองนี้เพื่อให้แน่ใจว่า
Kerberos พร้อมใช้งานและ LDAP ยังทำงานอยู่
A ที่สามคือการทำบัญชี
การบัญชีทำให้มั่นใจได้ว่าการติดตามข้อมูล
การใช้งานคอมพิวเตอร์ และทรัพยากรเครือข่ายจะยังคงอยู่
ตอนนี้ เมื่อเราทำเช่นนั้น มันมักจะใส่สิ่งที่เรียกว่าไฟล์บันทึก
ไฟล์นี้เป็นไฟล์ในคอมพิวเตอร์ที่โดยพื้นฐานแล้วเป็นเพียงเอกสารข้อความขนาดใหญ่
และไฟล์นี้จะคอยติดตามสิ่งต่างๆ ทุกประเภท
นี่อาจเป็นการเชื่อมต่ออินเทอร์เน็ตทั้งหมดที่ออกจากเครือข่าย
ดังที่แสดงบนหน้าจอนี้ หรืออาจเป็นรายชื่อของบุคคลทั้งหมดที่พยายามเข้าสู่ระบบไฟล์หรือเว็บไซต์ใดไฟล์หนึ่ง
บันทึกต่าง ๆ ทุกประเภทจะถูกเก็บไว้ในคอมพิวเตอร์ของคุณเพื่อติดตามสิ่งต่าง
ๆ ทั้งหมดที่กำลังดำเนินการอยู่
และทั้งหมดนี้ก็เพื่อให้แน่ใจว่ามีการใช้แนวทางปฏิบัติทางบัญชีที่ดี
เพราะหากคุณมีการละเมิดข้อมูลหรือคุณมี
ภัยคุกคามจากวงใน คุณสามารถย้อนกลับไปดูข้อมูลในล็อกไฟล์ของคุณเพื่อดูว่าใครทำอะไรและเมื่อใด
นั่นคือสิ่งที่บัญชีอนุญาตให้คุณทำ
ทีนี้ ถ้าคุณมีหลักฐานว่ามีคนทำอะไรบางอย่าง
พวกเขาได้ดำเนินการ เราเรียกสิ่งนี้ว่า การไม่ปฏิเสธ
การไม่ปฏิเสธหมายความว่าผู้ใช้ไม่สามารถพูดได้ว่าพวกเขาไม่ได้ดำเนินการใดๆ
เพราะคุณมีหลักฐานว่าได้ดำเนินการแล้ว
ตัวอย่างเช่น หากคุณส่งอีเมลถึงฉันและคุณเซ็นชื่อด้วยลายเซ็นดิจิทัล
คุณจะเป็นคนเดียวในโลกที่มีรหัสลายเซ็นดิจิทัลส่วนตัวนั้น
ฉันรู้แน่นอนว่าคุณส่งอีเมลนั้น
ทีหลังบอกไม่ได้ว่าไม่ได้ส่ง เพราะตอนนี้มีหลักฐานแล้ว
นั่นคือการไม่ปฏิเสธ