Eğitmen: Bu derste,
kimlik doğrulama, yetkilendirme ve muhasebe anlamına
gelen AAA sunucuları hakkında konuşacağız ve AAA sunucularını
anlamak için yapmamız gereken ilk şey 802'nin nasıl çalıştığını
anlamaktır. 1X bir çerçeve olarak çalışır.
Eğitmen: 802. 1X, hem kablolu hem de kablosuz ağlarda
bağlantı noktası tabanlı kimlik doğrulama
için kullanılan standartlaştırılmış bir çerçevedir.
Şimdi, 802'den beri. 1X sadece bir çerçevedir, aslında
bizim için gerçek kimlik doğrulamasını yapmak
için diğer mekanizmaları kullanacaktır.
Örneğin, hem RADIUS
olarak bilinen Uzaktan Kimlik Doğrulama Arayan Kullanıcı
Hizmeti hem de Terminal
Erişim Denetleyicisi Erişim Kontrol
Sistemi Plus veya TACACS+, 802 kullanılarak kimlik doğrulamayı
gerçekleştirmek için kullanılabilir.
1X protokolü.
Bir kimlik doğrulamanın 802 kapsamında gerçekleşmesi
için gerekli olan üç rol vardır. 1X.
Birincisi, bu görüntüdeki PC1 gibi ağa erişim
talebinde bulunan cihaz veya
kullanıcı olan supplicant'tır.
Bir de kimlik doğrulayıcı vardır, bu da destekleyicinin
ağa erişmeye çalıştığı cihazdır.
Normalde bu bir anahtar, kablosuz erişim
noktası veya VPN yoğunlaştırıcı gibi bir şey olacaktır.
Son olarak, kimlik doğrulama sunucusu vardır,
bu da kimlik doğrulamayı gerçekleştiren
merkezi cihaz olacaktır, bu da
genellikle RADIUS veya TACACS+
sunucunuz olacaktır.
Kimlik doğrulama, bir kişinin kimliği kanıtlarla
belirlendiğinde ve sistem tarafından onaylandığında gerçekleşir.
Bunu her gün yapıyorsunuz.
Aslında, bu kursa giriş yaptığınızda bunu yaptınız.
E-posta adresinizi ve şifrenizi girdiğinizde, bu
kurs için ödeme yapan öğrenci olduğunuzu
iddia ediyordunuz ve bunu yaparak sistem tarafından
kontrol edildiniz ve erişim izni aldınız.
Şimdi, kim olduğunuzu doğrulamanın farklı yolları var.
Gerçek dünyada, örneğin, bir polis memuru tarafından
hız yaptığınız için kenara çekilirseniz,
ehliyetinizi çıkarabilir ve onlara
siz olduğunuzu ve söylediğiniz kişi olduğunuzu
gösterebilirsiniz.
Bu senin kanıtın.
Artık dijital dünyada
beş kimlik doğrulama yöntemimiz var.
Bildiğiniz bir şey var, bu bir şifre
veya kullanıcı adı gibi bir şey olabilir, olduğunuz
bir şey var, bu parmak iziniz veya göz taramanız
veya retina taramanız gibi bir şey olabilir, sahip olduğunuz
bir şey var, bu bir jeton, ehliyet veya
kredi kartı gibi bir şey olabilir, yaptığınız bir şey olabilir,
bu konuşma şekliniz veya isminizi imzalama
şekliniz olabilir ve GPS konumunuza dayalı olarak
konum faktörünüz olarak bildiğimiz bulunduğunuz
bir yer olabilir.
LDAP, Hafif Dizin Erişim Protokolüdür.
Bu, müşterileriniz ve ağdaki nesneleriniz hakkındaki bilgileri
merkezileştirmek için kullanılan bir veritabanıdır.
LDAP esasen X'in basitleştirilmiş bir versiyonudur. 500, bir dizin hizmetidir
ve ağınızdaki kullanıcıların,
grupların, sunucuların ve sistemlerin hiyerarşik
bir organizasyonunu içerir.
LDAP, şifrelenmemiş haldeyken 389 numaralı bağlantı
noktası üzerinden iletişim kurar ve SSL veya TLS
kullanarak şifrelemeye karar verirseniz, 636 numaralı bağlantı noktasını kullanacaktır.
Şimdi, LDAP çapraz platform olarak kabul edilirken,
Microsoft bunun AD veya Active Directory olarak
bilinen kendi uygulamasını yarattı.
Windows etki alanında Active Directory, bu istemciler,
sunucular, cihazlar, kullanıcılar ve gruplar da
dahil olmak üzere ağdaki her şeyi düzenlemek
ve yönetmek için kullanılır.
Artık Active Directory, grup politikalarınız aracılığıyla
güvenlik politikalarınızın veya erişim kontrolünüzün bir parçası olarak
da kullanılabilir.
RADIUS, Arayan Kullanıcının Uzaktan Kimliğini Doğrulama Hizmetidir.
Çevirmeli bağlantı, VPN ve kablosuz kimlik doğrulamasının merkezi yönetimini
sağlar, böylece bunu hem 802 ile kullanabilirsiniz.
1X
ve Genişletilebilir Kimlik Doğrulama Protokolü veya EAP.
RADIUS, OSI modelinin yedinci katmanı olan uygulama
katmanı üzerinde çalışan bir istemci sunucu
protokolüdür.
RADIUS genellikle ayrı bir sunucuda çalıştırılmak üzere yapılandırılır,
ancak daha küçük etki alanı ortamlarında bir Windows
sunucusuna da yüklenebilir.
RADIUS, kullanıcıların kimliklerini doğrulamak,
onları hizmetlere yetkilendirmek ve
bu hizmetleri kullanımlarını hesaba katmak için kullanılır.
RADIUS ayrıca bağlantılarını yapmak için UDP kullanır, bu da kimlik
doğrulama ve yetkilendirme
işlevleri sırasında oldukça hızlı olmasını sağlar.
RADIUS platformlar arası bir standart olsa da Cisco'nun
TACACS+ adında tescilli bir protokolü vardır.
Bu, bir 802'de kimlik doğrulayıcı rolünü
yerine getirebilen Terminal Erişim Denetleyicisi Erişim-Kontrol
Sistemi Plus'tır. 1X ağ.
Şimdi, kuruluşunuzun ihtiyaçları için hangisinin en
iyisi olduğunu belirlemek size kalmış.
Şahsen, RADIUS'u neredeyse yalnızca kuruluşlarımda
kullandım.
TACACS+'ın UDP yerine TCP'ye dayandığı için biraz
daha yavaş çalıştığını fark ettim, ancak
TACACS+'ın bazı avantajları var.
Size bazı ek güvenlik sağlar
ve kimlik doğrulama, yetkilendirme ve muhasebe
işlemlerini bağımsız olarak yürütür.
TACACS+ tüm ağ protokollerini destekler,
ancak RADIUS ise uzaktan
erişim protokolünü, NetBIOS Çerçeve
protokolünü, X. 25 sabitlenmiş bağlantı ve
diğerleri.
Genel olarak, TACACS+ mükemmel bir seçimdir, ancak yalnızca
ağınızda Cisco cihazları kullanacaksanız,
çünkü bu çapraz platform
özelliğine sahip olmak istiyorsanız, geçmişte seçtiğim
yol olan RADIUS ile devam etmeniz
gerekecektir.
İkinci A ise yetkilendirmedir.
Yetkilendirme, bir kullanıcıya belirli bir veri parçasına
veya binanın belirli alanlarına erişim izni verildiğinde gerçekleşir.
Hiç bir binaya girdiğinizde sadece yetkili
personel girebilir yazan bir tabela gördünüz mü?
Yani o bölgeye giremezsiniz.
Bakım odası ya da jeneratörlerin olduğu
ve sadece teknisyenlerin girebildiği
bir yer gibi bir şey olabilir.
Bu alanlara girmelerini sağlayacak özel anahtarları
ya da özel rozetleri vardır.
O bölge gitme izninizin olmadığı bir yer.
Kerberos kimlik doğrulama ve yetkilendirme üzerine odaklanmıştır.
Bu, bir Windows etki alanındaki Kerberos biletleme sistemimiz
aracılığıyla gerçekleştirilir.
Kerberos, iki yönlü veya karşılıklı kimlik doğrulama
sağlayan bir kimlik doğrulama protokolüdür.
Kullanıcı etki alanında oturum açtığında,
ilk olarak anahtar dağıtım merkezi veya KDC
olarak görev yapan etki alanı denetleyicisiyle iletişime geçer.
Bu KDC'nin iki temel işlevi vardır:
kimlik doğrulama ve bilet verme.
Dolayısıyla, istemcinizin kimliği doğru bir
şekilde doğrulanırsa, KDC onlara Bilet Verme Bileti
olarak adlandırılan bir TGT verecektir.
Bu Bilet Verme Bileti daha sonra kullanıcı
bir kaynağa erişmek istediğinde etki alanı denetleyicisine
sağlanır ve ardından etki alanı
denetleyicisi bu kullanıcıya bir hizmet bileti veya
bir oturum anahtarı sağlayabilir (ihtiyaçlarına
hangisi uygunsa).
Bu biletler kaynağa sunulur ve daha sonra
erişim izni verilir çünkü kaynak
her zaman etki alanı denetleyicileri
tarafından sağlanan biletlere güvenir.
Kerberos, anahtar dağıtım merkezi olarak hizmet
vermesi için etki alanı denetleyicisine güvendiğinden,
bu etki alanında tek bir hata noktasıdır.
Etki alanı denetleyicisi kapalıysa,
bilet verme hizmetleri de kapatılır.
Ancak bunu önlemek için çoğu kişinin yapacağı şey birincil
ve ikincil bir aktif etki alanı denetleyicisine sahip olmaktır.
Bu size Kerberos'un çalıştığından ve LDAP'ın
hala çalıştığından emin olmak için bu tür bir yedeklilik sağlayacaktır.
Üçüncü A muhasebedir.
Muhasebe, verilerin, bilgisayar kullanımının
ve ağ kaynaklarının takibinin sürdürülmesini sağlar.
Şimdi, bunu yaptığımızda, genellikle günlük
dosyası adı verilen bir şeye konur.
Bu, bilgisayarda bulunan ve aslında
sadece büyük bir metin belgesi olan bir dosyadır
ve her türlü şeyin kaydını tutar.
Bu, ekranda gösterildiği gibi ağdan
ayrılan tüm internet bağlantıları olabilir veya
belirli bir dosya veya web sitesinde oturum
açmaya çalışan tüm kişilerin bir listesi olabilir.
Yapılan tüm çeşitli şeylerin kaydını tutmak için bilgisayarınızda
her türlü farklı günlük tutulur ve bunların
hepsi iyi muhasebe uygulamalarının kullanılmasını
sağlamak içindir çünkü bir veri ihlaliniz varsa veya içeriden bir tehditle karşılaşırsanız, kimin neyi ne zaman yaptığını anlamak için geriye
dönüp günlük dosyalarınızdaki verilere bakabilirsiniz.
Muhasebe bunu yapmanızı sağlar.
Şimdi, eğer birisinin bir şey yaptığına, bir eylemde
bulunduğuna dair kanıtınız varsa, biz buna inkar etmeme diyoruz.
İnkar edememe basitçe kullanıcının işlemi yapmadığını söyleyemeyeceği
anlamına gelir çünkü yaptığına dair kanıtınız vardır.
Örneğin, bana bir e-posta gönderdiyseniz
ve bunu dijital bir imza ile imzaladıysanız,
tüm dünyada bu özel dijital imza anahtarına
sahip olan tek kişi sizsiniz.
O e-postayı senin gönderdiğinden eminim.
Daha sonra bana göndermediğini söyleyemezsin
çünkü artık elimde kanıt var.
Bu inkar edilemez.