Porttikohtainen 802.1x-todennus yritysverkossa

Abstract

Insinöörityössä toteutettiin, Paikkatietokeskuksen tietohallinnon toimeksiannosta, IEEE 802.1x -standardin mukainen porttikohtainen todennus tutkimuslaitoksen tietoverkkoon. Tavoitteena työssä on luoda verkko, jossa käyttäjä joutuu tunnistautumaan toimialueen jäseneksi. Työssä tutustutaan RADIUS-palvelimen toimintaan: kytkimien, Windows-järjestelmän ja loppukäyttäjän näkökulmasta. Painopisteenä työssä ovat käytännön toteutus ja yliheitto. Teoriaosuudessa tutustutaan verkkoteknologiaan, porttikohtaisen todennuksen standardiin ja protokolliin sekä Windows-palvelinympäristön toimintaan. Käytännön osuudessa luotiin aluksi testiympäristö, jonka avulla varmistetaan toimeksiannossa vaadittujen kriteerien toimivuus. Testausvaiheessa käytiin läpi verkon kytkimien ja RADIUS-palvelimen toimintaa. Vaaditun toiminnallisuuden varmistamisen jälkeen siirryttiin valmistelemaan käytännön ympäristöä yliheittoon. Tutkimuslaitoksen sisäverkon kytkimet käytiin läpi fyysisellä tasolla ja dokumentoitiin. Tarvittavat konfiguraatiot lisättiin laitteisiin ja työntekijöitä informoitiin verkkoon kohdistuvista muutoksista. Yliheitto toteutettiin vaiheittain, mahdollisten ongelmatapauksien rajaamiseksi. Työssä onnistuttiin konfiguroimaan vaatimusten mukainen verkko. Muutamia ongelmakohteita ilmeni yliheiton jälkeen, jotka vaativat ylläpidollisia toimenpiteitä ja soveltamista porttikohtaisen todentamisen suhteen. Lopputuloksena tutkimuslaitoksen verkko oli tietoturvan kannalta tehokkaampi ja hallittavampi.

The goal of this bachelor's thesis was to study implementing changes in a institute network. Network security within the institute was in need of improvement and the decision was to implement IEEE 802.1x port-based authentication. The goal was to have the users of the network to be recognized as members of the domain, before gaining access to the network. The focus was on the practical implementation, rather than on the theoretical side. The thesis sheds light on the port-based authentication standard, network environment, switch configuration and on the Radius authentication server. It starts out giving an idea about the theoretical side of the implementation, before moving onto the practical side. The requirements set by the IT department of FGI were first tested with the network equipment. After the requirements were fulfilled in the test environment, it was time to move onto preparing the devices for the turnover. The employers were informed beforehand about the changes that were about to be implemented and the turnover was done gradually. The goals of the thesis were successfully fulfilled. Few issues were raised after the turnover was complete and required some attention. The network in the research institute is now more secure and controlled.