Cách bảo mật các thiết bị không hỗ trợ chuẩn 802.1X trên mạng doanh nghiệp bằng Cisco ISE, MAB và Catalyst 9200/9300

Khi các doanh nghiệp chuyển sang sử dụng truy cập mạng dựa trên định danh, IEEE 802.1X đã trở thành tiêu chuẩn để bảo mật các kết nối có dây và không dây. Bằng cách xác thực các thiết bị đầu cuối trước khi cấp quyền truy cập mạng, các tổ chức có thể thực thi các chính sách bảo mật, phân vùng thiết bị và ngăn chặn các kết nối trái phép.

Tuy nhiên, trong môi trường doanh nghiệp thực tế, việc triển khai 802.1X trên toàn bộ mạng LAN nhanh chóng bộc lộ một thách thức: nhiều thiết bị đơn giản là không thể xác thực.

Máy in, camera IP, bộ điều khiển tự động hóa tòa nhà và hệ thống IoT công nghiệp thường thiếu bộ yêu cầu xác thực EAP, nghĩa là chúng không thể phản hồi các yêu cầu xác thực EAPOL (Giao thức xác thực mở rộng qua mạng LAN). Nếu áp dụng việc thực thi nghiêm ngặt chuẩn 802.1X, các thiết bị này sẽ không vượt qua được quá trình xác thực và mất kết nối mạng.

Để khắc phục khoảng trống này, các doanh nghiệp thường triển khai kiến ​​trúc xác thực lai kết hợp:

• Xác thực 802.1X cho các thiết bị đầu cuối được quản lý
• Phương pháp bỏ qua xác thực MAC (MAC Authentication Bypass - MAB) dành cho các thiết bị không hỗ trợ chuẩn 802.1X.
• Thực thi chính sách dựa trên định danh thông qua Cisco Identity Services Engine (ISE)

Khi được triển khai trên các nền tảng truy cập doanh nghiệp như bộ chuyển mạch Cisco Catalyst 9200 và Catalyst 9300, phương pháp này cho phép các tổ chức duy trì bảo mật mạnh mẽ trong khi vẫn hỗ trợ các thiết bị cũ và thiết bị IoT.

Hướng dẫn này giải thích cách thiết kế truy cập có dây an toàn cho các thiết bị không hỗ trợ chuẩn 802.1X bằng cách sử dụng Cisco ISE, lập hồ sơ thiết bị và phân đoạn mạng dựa trên chính sách.

Mục lục

• Phần 1: Vấn đề thực tế của chuẩn 802.1X
• Phần 2: Kiến trúc tham chiếu – 802.1X với cơ chế dự phòng MAB
• Phần 3: Hồ sơ thiết bị Cisco ISE
• Phần 4: Thực thi chính sách với dACL và phân đoạn VLAN
• Phần 5: Rủi ro an ninh và các chiến lược giảm thiểu
• Phần 6: Hướng dẫn triển khai truy cập có dây an toàn
• Phần 7: Câu hỏi thường gặp

Phần 1: Vấn đề thực tế của chuẩn 802.1X

Tiêu chuẩn IEEE 802.1X yêu cầu các thiết bị đầu cuối phải chạy một ứng dụng yêu cầu xác thực EAP có khả năng trao đổi thông điệp xác thực với máy chủ RADIUS. Các thiết bị doanh nghiệp được quản lý như máy tính xách tay Windows, hệ thống macOS và máy trạm Linux thường hỗ trợ tính năng này một cách tự nhiên.

Tuy nhiên, mạng doanh nghiệp bao gồm nhiều thiết bị không có màn hình hoặc thiết bị nhúng không thể tham gia vào quá trình xác thực 802.1X.

Ví dụ phổ biến bao gồm:

• Máy in văn phòng và thiết bị đa chức năng
• Camera giám sát IP
• Tivi thông minh và hệ thống hội nghị
• Cảm biến IoT và bộ điều khiển tự động hóa tòa nhà
• Thiết bị y tế
• Hệ thống điều khiển công nghiệp hoặc hệ thống OT

Các thiết bị này thường chạy phần mềm nhúng với khả năng kết nối mạng hạn chế. Nhiều thiết bị thiếu khả năng cài đặt chứng chỉ hoặc chạy các ứng dụng xác thực.

Nếu quản trị viên áp đặt chế độ đóng 802.1X trên tất cả các cổng chuyển mạch, các thiết bị này sẽ không phản hồi yêu cầu xác thực EAPOL và bị chặn truy cập mạng.

Điều này tạo ra một tình huống khó xử về mặt vận hành:

• Việc để các cảng mở cửa tiềm ẩn rủi ro an ninh.
• Việc áp dụng xác thực nghiêm ngặt làm gián đoạn các dịch vụ thiết yếu

Do đó, một thiết kế doanh nghiệp thực tiễn cần phải cung cấp phương án xác thực dự phòng an toàn.

Phần 2: Kiến trúc tham chiếu – 802.1X với cơ chế dự phòng MAB

Để hỗ trợ cả các thiết bị đầu cuối hiện đại và cũ, hầu hết các mạng doanh nghiệp đều sử dụng chiến lược xác thực ưu tiên 802.1X.

Khi một thiết bị kết nối với cổng chuyển mạch, quá trình xác thực thường diễn ra như sau:

1. Thiết bị chuyển mạch gửi một gói tin thử thách EAPOL để bắt đầu quá trình xác thực 802.1X.
2. Nếu thiết bị hỗ trợ 802.1X, nó sẽ phản hồi bằng thông tin xác thực hoặc chứng chỉ.
3. Nếu thiết bị không phản hồi, bộ chuyển mạch sẽ chờ trong khoảng thời gian chờ có thể cấu hình được.
4. Sau đó, hệ thống sẽ chuyển sang chế độ Bỏ qua xác thực MAC (MAC Authentication Bypass - MAB).
5. Địa chỉ MAC của thiết bị đầu cuối được gửi đến Cisco ISE trong yêu cầu truy cập RADIUS.

Trong yêu cầu RADIUS, địa chỉ MAC thường được sử dụng làm cả tên người dùng và mật khẩu, thường được gắn kèm các thuộc tính như:

Ví dụ về thuộc tính RADIUS được sử dụng trong quá trình xác thực MAB:

Service-Type = Call Check

Kiến trúc này cho phép mạng xác thực các thiết bị được quản lý một cách an toàn, đồng thời vẫn cho phép các thiết bị không hỗ trợ chuẩn 802.1X kết nối trong điều kiện được kiểm soát.

Các thiết bị chuyển mạch truy cập doanh nghiệp như Cisco Catalyst 9200 và Catalyst 9300 thường được sử dụng trong vai trò này vì chúng hỗ trợ:

• Xác thực 802.1X
• Bỏ qua xác thực MAC
• Phân công VLAN động
• Công cụ thực thi ACL có thể tải xuống
• Hội nhập với Trang web chính thức của Cisco

Cấu hình chuyển mạch đơn giản thường ưu tiên 802.1X trước MAB.

Ví dụ cấu hình CLI cho phép bật 802.1X với tính năng dự phòng MAB:

authentication order dot1x mab
authentication priority dot1x mab
mab
dot1x pae authenticator

Phần 3: Hồ sơ thiết bị Cisco ISE

Mặc dù MAB cho phép kết nối, nhưng chỉ riêng địa chỉ MAC thôi thì không thể tin cậy được. Chúng dễ bị giả mạo và khó quản lý thủ công.

Thay vì dựa vào danh sách trắng MAC tĩnh, Cisco ISE cung cấp một công cụ lập hồ sơ thiết bị tự động xác định các điểm cuối bằng cách sử dụng nhiều nguồn dữ liệu.

Các kỹ thuật phân tích hồ sơ phổ biến bao gồm:

• Nhận dạng dấu vân tay DHCP
• Phân tích MAC OUI
• Các đầu dò SNMP
• Phân tích hành vi lưu lượng mạng

Chức năng kiểm tra DHCP đặc biệt hữu ích. Cisco ISE có thể phân tích các tùy chọn DHCP như:

• Tùy chọn DHCP 60 (Mã định danh lớp nhà cung cấp)
• Tùy chọn DHCP 77 (Lớp người dùng)

Các truy vấn SNMP cũng có thể tiết lộ thông tin thiết bị, chẳng hạn như mô tả hệ thống.

Ví dụ về các thuộc tính SNMP được truy xuất từ ​​các thiết bị mạng:

sysDescr
sysObjectID

Bằng cách đối chiếu các tín hiệu này, Cisco ISE có thể phân loại thiết bị thành các nhóm nhận dạng như máy in, máy ảnh, điện thoại VoIP hoặc thiết bị đầu cuối IoT.

Phần 4: Thực thi chính sách với dACL và phân đoạn VLAN

Sau khi xác định một thiết bị, Cisco ISE phải áp đặt các hạn chế về quyền truy cập của thiết bị đó.

Hai cơ chế phổ biến là ACL có thể tải xuống (dACL) và gán VLAN động.

ACL có thể tải xuống

Danh sách kiểm soát truy cập (ACL) có thể tải xuống được tự động đẩy từ Cisco ISE đến thiết bị chuyển mạch trong quá trình xác thực.

Thay vì cấp quyền truy cập mạng đầy đủ, ACL hạn chế lưu lượng truy cập chỉ dành cho các dịch vụ cần thiết.

Ví dụ về chính sách dACL cho phép máy in chỉ truy cập được các dịch vụ cụ thể:

permit tcp any host 10.10.10.50 eq 9100
permit udp any host 10.10.10.10 eq 53
deny ip any any

Cách làm tốt nhất là giữ cho các chính sách dACL tương đối nhỏ để tránh việc sử dụng TCAM quá mức trên các switch truy cập.

Bảng sau đây trình bày một ví dụ đơn giản về phân khúc doanh nghiệp.

Phần 5: Rủi ro an ninh và các chiến lược giảm thiểu

Mặc dù MAB cung cấp một cách thiết thực để hỗ trợ các thiết bị cũ, nhưng nó lại gây ra một số vấn đề về bảo mật.

MAC Spoofing

Kẻ tấn công có thể thay đổi địa chỉ MAC của chúng để mạo danh các thiết bị đáng tin cậy.

Các chiến lược giảm thiểu bao gồm:

• Xác minh cấu hình thiết bị
• Chính sách kiểm soát truy cập nghiêm ngặt
• Phân đoạn mạng

Kết nối thiết bị trái phép

Các cổng chuyển mạch mở có thể cho phép các thiết bị trái phép kết nối.

Các nhóm bảo mật có thể giảm thiểu rủi ro thông qua:

• An ninh cảng
• Giám sát điểm cuối
• ghi nhật ký xác thực

Phong trào bên

Các thiết bị IoT bị xâm nhập có thể cố gắng truy cập vào các tài nguyên nội bộ.

Việc sử dụng các hạn chế dACL và phân đoạn VLAN giúp giảm đáng kể bề mặt tấn công.

Phần 6: Hướng dẫn triển khai truy cập có dây an toàn

Việc triển khai 802.1X và MAB trên toàn mạng doanh nghiệp đòi hỏi kế hoạch cẩn thận. Nhiều tổ chức áp dụng chiến lược triển khai theo từng giai đoạn.

Giai đoạn 1: Tăng khả năng hiển thị và Khám phá

Chức năng xác thực được bật ở chế độ giám sát để thu thập thông tin điểm cuối và xây dựng các quy tắc phân tích chính xác.

• Xác định các loại thiết bị
• Theo dõi các nỗ lực xác thực
• Tạo các nhóm nhận dạng

Giai đoạn 2: Xác thực có kiểm soát

Xác thực 802.1X được áp dụng cho các thiết bị đầu cuối được quản lý, trong khi MAB vẫn khả dụng cho các thiết bị không được hỗ trợ.

• Xác thực chứng chỉ
• Xác nhận các chính sách phân đoạn VLAN
• Quy tắc ủy quyền kiểm thử

Giai đoạn 3: Thực thi chính sách toàn diện

Khi các chính sách đã ổn định, các tổ chức sẽ cho phép thực thi đầy đủ.

• Các thiết bị không xác định đang bị cách ly.
• Các thiết bị trái phép bị chặn
• Các thiết bị IoT nhận được quyền truy cập mạng hạn chế.

Các tổ chức nâng cấp mạng truy cập doanh nghiệp thường dựa vào các nhà cung cấp như... Bộ định tuyến-chuyển mạch để chuyển đổi cơ sở hạ tầng và sử dụng các công cụ như Giá CNTT Để so sánh giá cả và tính sẵn có của phần cứng mạng.

Phần 7: Câu hỏi thường gặp

MAC Authentication Bypass (MAB) là gì?

MAB là phương pháp xác thực dự phòng được sử dụng khi các thiết bị không hỗ trợ 802.1X. Thiết bị chuyển mạch sẽ gửi địa chỉ MAC của thiết bị đến Cisco ISE, nơi sẽ xác định xem thiết bị đầu cuối có được cấp quyền truy cập mạng hay không.

Liệu MAB có đủ bảo mật cho môi trường doanh nghiệp không?

MAB kém an toàn hơn so với xác thực dựa trên chứng chỉ vì địa chỉ MAC có thể bị giả mạo. Tuy nhiên, khi kết hợp với việc lập hồ sơ thiết bị, phân đoạn và các chính sách truy cập nghiêm ngặt, nó cung cấp một cách thiết thực để hỗ trợ các thiết bị cũ.

Tại sao các thiết bị chuyển mạch Catalyst 9200 và 9300 thường được sử dụng cho truy cập mạng dây an toàn?

Các thiết bị chuyển mạch này hỗ trợ các tính năng xác thực nâng cao bao gồm 802.1X, MAB fallback, gán VLAN động và thực thi ACL có thể tải xuống. Chúng cũng tích hợp chặt chẽ với Cisco ISE để kiểm soát truy cập dựa trên định danh.

Liệu các thiết bị IoT có thể được bảo mật mà không cần chuẩn 802.1X?

Đúng vậy. Các doanh nghiệp thường bảo mật thiết bị IoT bằng cách kết hợp xác thực MAB, cấu hình Cisco ISE, phân đoạn VLAN và các chính sách kiểm soát truy cập hạn chế.