Thiết kế kiến ​​trúc NAC doanh nghiệp: Cấu hình Cisco ISE, kỹ thuật giao thức và bảo mật truy cập đa nhà cung cấp

Bảo mật mạng doanh nghiệp hiện đại đang phát triển theo hướng các mô hình kiểm soát truy cập dựa trên định danh. Các nền tảng Kiểm soát Truy cập Mạng (NAC) như Cisco Identity Services Engine (ISE) đóng vai trò là công cụ quyết định chính sách tập trung, chuyển đổi định danh, trạng thái thiết bị và trạng thái tuân thủ thành các chính sách truy cập mạng. Trong môi trường đa nhà cung cấp bao gồm các nền tảng chuyển mạch như Juniper EX Series Switches, việc triển khai NAC trở thành một bài toán về kỹ thuật giao thức hơn là cấu hình đơn giản. Thách thức thực sự không phải là xác thực, mà là đồng bộ hóa trạng thái trên các mặt phẳng định danh, bảo mật và kiểm soát mạng.

Mục lục

1. Phần 1: Thực tế kiến ​​trúc NAC
2. Phần 2: Dịch thuộc tính RADIUS
3. Phần 3: Kỹ thuật điều chỉnh tư thế
4. Phần 4: Thay đổi quyền kiểm soát
5. Phần 5: Các nguyên tắc thiết kế NAC theo mô hình Zero Trust
6. Phần 6: Mở rộng hiệu năng cơ sở hạ tầng
7. FAQ

Phần 1: Thực tế kiến ​​trúc NAC

NAC doanh nghiệp không chỉ là một cơ chế xác thực. Nó là một khung thực thi chính sách được thiết kế để kiểm soát quyền truy cập mạng dựa trên thông tin tình báo bảo mật động. Các yếu tố đầu vào quyết định điển hình của NAC bao gồm danh tính người dùng, trạng thái thiết bị đầu cuối và xác minh tuân thủ bảo mật.

Các kiến ​​trúc NAC hiện đại hỗ trợ mô hình bảo mật Zero Trust, trong đó quyền truy cập mạng được xác thực liên tục thay vì chỉ được xác minh trong các sự kiện đăng nhập.

Phần 2: Chuyển đổi thuộc tính RADIUS giữa Cisco và Juniper

RADIUS là giao thức truyền thông cốt lõi trong kiến ​​trúc NAC. Việc ánh xạ thuộc tính chính xác là rất quan trọng để thực thi chính sách thành công giữa Cisco ISE và các thiết bị chuyển mạch Juniper EX.

Để gán VLAN động, hãy sử dụng các thuộc tính RADIUS tiêu chuẩn của IETF:

Ví dụ về các tham số cấu hình RADIUS:

Tunnel-Type = 1:13
Tunnel-Medium-Type = 1:6
Tunnel-Private-Group-ID = VLAN_ID

Các thuộc tính này cho phép Cisco ISE tự động gán các chính sách phân đoạn mạng mà không phụ thuộc vào nhà cung cấp cụ thể nào.

Các thiết bị chuyển mạch Juniper diễn giải các quy tắc thực thi NAC bằng cách sử dụng chuỗi chính sách lọc tường lửa thay vì các mô hình ACL có thể tải xuống theo kiểu Cisco.

Phần 3: Kiến trúc chuyển hướng tư thế và xác thực web

Quy trình khắc phục sự cố tư thế dựa trên các cổng Xác thực Web Tập trung (CWA). Quy trình xác thực tư thế điển hình như sau:

1. Xác thực thành công
2. Đánh giá tư thế
3. Chuyển hướng cổng
4. Khắc phục sự cố tuân thủ
5. Nâng cấp chính sách truy cập

Cisco ISE thường sử dụng các thuộc tính Cisco AV-Pair để điều khiển chuyển hướng:

cisco-av-pair=url-redirect

Môi trường Juniper có thể yêu cầu các thuộc tính tùy chỉnh dành riêng cho nhà cung cấp, chẳng hạn như:

Juniper-CWA-Redirect-URL = https://ISE-IP/portal/gateway?sessionId=XXX

Các cổng kiểm tra tư thế phải luôn truy cập được trước khi các chính sách hạn chế truy cập được áp dụng.

Phần 4: Điều khiển phiên thay đổi quyền ủy quyền (CoA)

CoA (CoA) rất quan trọng đối với các mô hình bảo mật Zero Trust vì nó cho phép cập nhật chính sách động sau khi xác thực tư thế.

Khi trạng thái điểm cuối thay đổi:

1. Không biết
2. compliant
3. Truy cập mạng đầy đủ

ISE gửi các gói tin CoA bằng cổng UDP 3799.

Ví dụ lệnh CLI để xác minh hành vi của CoA:

switch# show authentication sessions

Các thiết bị mạng phải được cấu hình để chấp nhận yêu cầu CoA từ các nút chính sách ISE.

Phần 5: Các nguyên tắc thiết kế NAC theo mô hình Zero Trust

Kiến trúc NAC hiện đại nên tuân theo các mô hình bảo mật dựa trên vai trò thay vì các quy tắc dựa trên thiết bị. Việc thiết kế chính sách nên dựa trên vai trò người dùng, trạng thái bảo mật của thiết bị và ngữ cảnh hành vi.

Thứ tự ưu tiên chính sách được đề xuất:

1. Vai trò định danh người dùng
2. Tư thế bảo mật thiết bị
3. Mức độ quyền truy cập mạng

Mô hình này phù hợp với các khuôn khổ bảo mật Zero Trust và cải thiện khả năng mở rộng chính sách dài hạn.

Phần 6: Mở rộng hiệu năng cơ sở hạ tầng

Khối lượng công việc bảo mật dựa trên định danh làm tăng yêu cầu về khả năng xử lý của thiết bị mạng. Môi trường doanh nghiệp lớn nên triển khai phần cứng lớp truy cập hiệu năng cao.

Các nền tảng doanh nghiệp được đề xuất bao gồm:

• Dòng Cisco Catalyst 9300
• Dòng Juniper EX4100

Ví dụ lệnh CLI để kiểm tra phiên bản phần mềm thiết bị:

Ví dụ lệnh CLI để xác minh phiên bản phần mềm:

switch# show version

Việc lập kế hoạch mua sắm cơ sở hạ tầng cần phải phù hợp với chu kỳ triển khai kiến ​​trúc bảo mật.

FAQ

Câu 1. Tại sao tính năng chuyển hướng tư thế đôi khi bị lỗi trên các thiết bị chuyển mạch Juniper?

Lỗi này thường xảy ra khi các thuộc tính RADIUS hoặc bộ lọc tường lửa cần thiết không được cấu hình đúng cách. Hãy đảm bảo cả thuộc tính URL chuyển hướng và quy tắc cho phép lưu lượng ISE PSN đều được thiết lập đầy đủ.

Câu 2. CoA cải thiện bảo mật Zero Trust như thế nào?

CoA cho phép cập nhật chính sách phiên theo thời gian thực mà không cần kết nối lại thiết bị đầu cuối, cải thiện trải nghiệm người dùng và tính nhất quán trong việc thực thi bảo mật.

Câu 3. Tôi có cần các thuộc tính dành riêng cho Cisco để tích hợp với Juniper NAC không?

Không. Hãy sử dụng các thuộc tính RADIUS tiêu chuẩn của IETF bất cứ khi nào có thể, và chỉ thêm các thuộc tính dành riêng cho nhà cung cấp khi cần thiết cho việc chuyển hướng cổng thông tin hoặc thực thi chính sách.