NAC Nedir?

Bir ağ prizine takılan cihaz, hiçbir denetim yoksa ağın üyesi olur. Adres alır, komşularını görür, yayın alanına katılır. Kim olduğu sorulmamıştır.

NAC bu varsayılanı tersine çevirir. Cihaz önce tanınır, sonra ağa alınır.

Karar Neye Dayanır

Denetim iki soruyu ayrı ayrı sorar.

Birincisi kimliktir: bu cihaz ya da bu kullanıcı kim? Cevap genellikle 802.1X üzerinden alınır; sertifika ya da kurumsal hesap kullanılır.

İkincisi durumdur. Cihaz kuruma kayıtlı mı, işletim sistemi güncel mi, uç nokta koruması çalışıyor mu? Bu kontrol duruş denetimi olarak adlandırılır ve her ortamda uygulanmaz.

Kararın Sonucu

NAC bir kapı gibi çalışmaz; yönlendirici gibi çalışır. Sonuç yalnız kabul ya da ret değildir.

• Tam erişim. Tanınan ve uygun bulunan cihaz kendi bölümüne alınır.
• Kısıtlı bölüm. Tanınmayan ya da eksik bulunan cihaz karantina ağına yerleştirilir; oradan yalnız güncelleme sunucularına ulaşabilir.
• Misafir ağı. Kurumsal kimliği olmayan cihaz internete çıkar, iç kaynaklara erişemez.
• Ret. Bağlantı hiç kurulmaz.

Bu esneklik, uygulamayı kademeli hale getirir. İlk aşamada yalnız kayıt tutulur, zorlama sonra açılır.

Güvenlik Duvarıyla İlişkisi

İkisi farklı sorulara cevap verir ve birbirinin yerine geçmez.

NAC, cihazın ağa girip hangi bölüme yerleşeceğine karar verir. O bölümden başka bölümlere hangi trafiğin geçeceği ise güvenlik duvarının işidir.

İkisi birlikte çalıştığında değer artar: NAC cihazı doğru bölüme koyar, güvenlik duvarı o bölümün sınırlarını uygular. Biri olmadan diğeri eksik kalır. NAC’siz bir segmentasyonda cihazların doğru bölümde olduğu varsayılır; güvenlik duvarsız bir NAC’te ise bölümler arasında sınır yoktur.

Uygulamadaki Zorluk

En büyük engel envanterdir. Yazıcılar, kameralar, bina otomasyon cihazları ve ölçüm sistemleri 802.1X desteklemez. Bunlar için donanım adresine dayalı istisnalar tanımlanır ve o istisnalar zamanla listenin çoğunluğu haline gelebilir.

İstisna sayısının izlenmesi, projenin başarısını ölçen en dürüst göstergedir.