De toepassing van NAC (Network Access Control) in een netwerkomgeving

Amsterdam, 25 februari 2010

Hoe pas je NAC toe in een netwerkomgeving?

De toepassing van NAC (Network Access Control) kent drie fundamenteel verschillende vormen, afhankelijk van waar de toegangscontrole plaatsvindt: edge control (op de grens van het netwerkdomein), core control (op een centrale locatie in het netwerk) of client control (op het device dat verbinding zoekt).

Edge control constateert, of gaat uit van het feit, dat het device waarschijnlijk niet voldoet aan de corporate policies en geeft enkel toegang tot een specifiek deel van het netwerk voor controle en eventueel herstel (quarantainegebied). Als je een LAN wilt beschermen zal de individuele LAN switch port het NAC control point worden. Als het een VPN-verbinding betreft is de IPsec concentrator of het SSL VPN device verantwoordelijk voor de toegangscontrole. In een Wireless omgeving zal het access point of de Wireless switch die rol op zich nemen.

Bij core control kan de controle overal binnen het netwerk plaatsvinden, zolang het minimaal één niveau dieper in het netwerk is dan het edge device. Je kunt een device in lijn, of als een passieve tap tussen een edge switches en de core, plaatsen. Dat device doet de authenticatie, verzamelt endpoint-security informatie en past dan de juiste access control policy toe. De devices inspecteren de verkeersstroom en passen de configuratie aan waar noodzakelijk.

Bij client control richt men zich op het eindsysteem dat verbinding met het netwerk zoekt, waarbij de aandacht vooral uitgaat naar het management van en de controle over dat eindsysteem. Dat kan door het installeren van een agent (applicatie) op ieder eindsysteem die de NAC policies en lokale access controls. Bijvoorbeeld het uitschakelen van Wireless access in geval de VPN client niet is geactiveerd. Een door middel van zo’n tool beschermd endpoint erft hiermee een ‘sterke’ bescherming, zoals die door een persoonlijke firewall, USB device locking en Wireless controls.

Hoewel client control een aantrekkelijke aanpak lijkt vanwege de lagere budgeteisen en het relatief simpele management zijn er weinig mogelijkheden te integreren met NAC-toepassingen die het netwerk helpen zichzelf te beschermen, gebruikersauthenticatie af te dwingen of identity-based access control te bieden.

Voor vragen over dit onderwerp kunt u contact opnemen met Dit e-mailadres is beschermd tegen spambots. U heeft Javascript nodig om het te kunnen zien. , Senior Consultant van DPA IT.

< Vorige		Volgende >

Onze expertisegebieden

IT Management

IT Technology

Behoefte aan antwoorden op uw IT-vraagstukken?

Share |

DPA NEVI Partner

DPA IT is gecertificeerd volgens ISO 9001:2008