Bir hastanede tıbbi cihaz, personel bilgisayarı ve ziyaretçi telefonu aynı ağa bağlanabilir; ancak aynı kaynaklara erişmemelidir. NAC yatırımının amacı yalnızca kullanıcıdan parola istemek değil, bağlantının kimliğini ve bağlamını değerlendirip en az yetkiyi uygulamaktır. ClearPass bu kararı verir; switch, AP veya gateway kararı ağda uygular.
1. Yönetim, erişim kararı ve trafik güvenliğini ayırın
Central AP ve switch yönetimi içindir. ClearPass erişim politikası içindir. SRX gibi firewall'lar trafiği ve uygulama tehditlerini denetler. NAC kullanmak internet güvenliği veya veri merkezi firewall ihtiyacını ortadan kaldırmaz. ClearPass ile Central NAC ve Mist Access Assurance da aynı lisans veya aynı dağıtım modeli değildir; mevcut altyapıya göre değerlendirilir.
2. Policy Manager ve ek yetenekler
- Policy Manager: RADIUS/802.1X, TACACS+, cihaz profili ve bağlama dayalı erişim kararı.
- Guest: geçici hesap, öz kayıt ve sponsor onaylı misafir erişimi.
- Onboard: kişisel cihazlara benzersiz kimlik sertifikası ve güvenli bağlantı ayarları.
- OnGuard: desteklenen uç cihazlarda güvenlik uygunluğu; politikaya göre düzeltme veya karantina.
- OnConnect: 802.1X uygulanamayan destekli kablolu ortamlarda SNMP enforcement; EAP-TLS yerine aynı güvenceyi verdiği varsayılmaz.
3. Önce kimlik ve sertifika altyapısını hazırlayın
Kurumsal cihazlarda EAP-TLS planlanıyorsa sertifikayı kimin verdiği, cihazlara nasıl dağıtıldığı, güven kökleri, süre sonu, iptal ve yenileme birlikte ele alınmalıdır. İstemcinin RADIUS sunucu sertifikasını doğrulaması kritik bir adımdır. Dizin/MDM/PKI entegrasyonunda sürüm uyumluluğu ve gerekli izinler pilot başlamadan kontrol edilir.
- Kullanıcı ve cihaz gruplarını ayırın; ortak hesabı cihaz kimliği yerine kullanmayın.
- DNS, NTP, sertifika zinciri ve ağ cihazı RADIUS ayarlarını kontrol edin.
- Rol/VLAN ve CoA desteğini her üretici, model ve sürüm için test edin.
- Access Tracker kayıtları üzerinden başarısızlığın istemci, sertifika, kimlik kaynağı veya politika kaynaklı olup olmadığını ayırın.
4. Örnek politika matrisi
- Kurumsal bilgisayar + geçerli sertifika: çalışan rolü ve görevine uygun kurumsal kaynaklar.
- Kişisel cihaz + Onboard kaydı: BYOD rolü; kurumun belirlediği sınırlı uygulamalar.
- Onaylı misafir: süreli hesap, yalnızca izin verilen internet erişimi.
- 802.1X desteklemeyen yazıcı veya tıbbi cihaz: doğrulanmış profil, sabit işlevine uygun ayrı segment.
- OnGuard sonucu uygunsuz cihaz: uyumlu altyapıda düzeltme kaynaklarıyla sınırlı erişim; otomatik tam erişim verilmez.
Bu matris örnektir; gerçek roller, veri hassasiyeti ve iş sürekliliğine göre kurumla birlikte belirlenir. Özellikle tıbbi ve OT cihazlarında ajan kurulumu veya aktif tarama üretici onayı olmadan uygulanmamalıdır.
5. Aşamalı geçiş ve arıza senaryoları
Tüm portlarda bir anda zorunlu 802.1X açmak iş kesintisi riski yaratır. Önce envanter ve gözlem, ardından sınırlı bir kullanıcı grubu, bir SSID veya bir kat pilotu tercih edilir. RADIUS sunucusuna erişilemediğinde fail-open/fail-closed davranışı kullanıcı grubu ve risk seviyesine göre seçilir; her portun otomatik açık kalması güvenli bir varsayım değildir.
- Geçerli/geçersiz sertifika, yeni cihaz, misafir süresi sonu ve IoT istisnası testleri.
- Primary/secondary RADIUS, sunucu kesintisi ve yeniden bağlantı testleri.
- Yanlış VLAN, eksik rol veya CoA desteğinde geri dönüş planı.
- Posture sonrası kısıtlama ve düzeltme sonrası yeniden erişim testi.
- Kayıt saklama, misafir verileri ve mahremiyet kapsamının kurum politikasıyla eşleştirilmesi.
6. Lisans ve proje kapsamını birlikte belirleyin
Toplam çalışan sayısı tek başına lisans hesabı değildir; aynı anda bağlanan bilgisayar, telefon, IoT ve misafir uçları da değerlendirilir. Entry/Access kapsamı, appliance veya VM platformu, Onboard/OnGuard ihtiyacı, yedeklilik ve destek ayrı başlıklardır. F2, kimlik altyapısı ve cihaz uyumluluğunu inceleyip pilot kabul kriterlerini, lisans kapsamını ve geçiş planını birlikte hazırlayabilir.
Resmi kaynaklar
- https://www.hpe.com/us/en/products/networking/clearpass-policy-manager.html
- https://www.hpe.com/psnow/doc/a00064815enw
- https://www.hpe.com/psnow/doc/a50011438enw
- https://www.hpe.com/psnow/doc/a00037472enw
- https://www.hpe.com/psnow/doc/a00143464enw