Ciscon autentikointiratkaisuja : Cisco Secure ACS ja NAC Profiler

Abstract

Tämän opinnäytetyön tavoitteena oli tutkia 802.1X-autentikointia verkon reunalla käyttäen kahta Cisco Systems Inc.:n valmistamaa autentikointijärjestelmää. Nämä järjestelmät olivat Cisco Secure Access Cont-rol System 5.1, lyhyesti ACS, joka toimi AAA-palvelimena, ja Cisco NAC Profiler, joka profiloi verkon päätelaitteita ja toimi ulkoisena identiteettivarastona.

Työ toteutettiin kahdessa osassa. Ensin tutkittiin ACS:iä autentikointipalvelimena sekä normaalissa 802.1X-autentikoinnissa että MAB-autentikoinnissa, jonka jälkeen keskityttiin NAC Profilerin toimintaan. Profilerista tutkittiin laiteprofiilien tekoa, laitteiden tunnistamista sekä profilointia, ja lopuksi miten Profiler suhtautuu MAC-osoitteen väärentämiseen.

ACS todettiin melko hyväksi AAA-palvelimeksi, sillä sen sääntöpohjainen toimintaperiaate sallii jousta-van erilaisten autentikointitapahtumien käsittelyn, ja sen raportointityökalut osoittautuivat erinomaisiksi. NAC Profilerin rooli 802.1X-autentikoinnissa osoittautui odotettua pienemmäksi, sillä se toimii MAB-autentikoinnissa vain ulkoisena identiteettivarastona.

802.1X-autentikointi on hyvä vaihtoehto mille tahansa yritykselle, joka haluaa turvata verkkoympäristön-sä, sillä oikein käytettynä se estää luvattomien laitteiden ja käyttäjien liittymisen verkkoon.

The main goal of this bachelor’s thesis was to examine 802.1X authentication in the fringe of a network using two authentication systems made by Cisco Systems Inc. These two systems were Cisco Secure Access Control System 5.1, shortly ACS, which operated as an AAA server, and Cisco NAC Profiler, which profiled endpoints of a network and worked as an external identity store for ACS.

The thesis was executed in two parts. The first part was to study the functionality of ACS as an authenti-cation server in both 802.1X and MAB authentication. The second part concentrated on the functionality of NAC Profiler. Things that were examined were making of endpoint profiles, recognition and profiling of endpoints and finally how NAC Profiler reacts on MAC spoofing.

ACS turned out to be quite good as an AAA server, because it’s rule-based operating principle allowed flexible handling of different types of authentication events, and it’s monitoring and reporting tools proved to be excellent. NAC Profiler’s role in 802.1X turned out to be less than expected, for it worked only as an external identity store in this authentication.

802.1X is a great alternative for companies who want their network environment to be secure, because when used correctly, it denies access for unauthorized users and endpoint devices.