◀ Prev · Parts · Full · Next ▶

Die Identifizierung der Geräte erfolgt dabei über die MAC-Adresse, weshalb dieser Ansatz oft auch „MAC-based NAC“ genannt wird. Durch die Pflege einer Whitelist kann definiert werden, welche Geräte im Unternehmensnetzwerk zugelassen sind und welche nicht. Über den gleichen Kommunikationsweg wie die Erkennung kann so auch ein Switch einen Befehl von dem NAC-System erhalten und einen Netzwerk-Port umkonfigurieren. Wird also ein fremdes oder unerwünschtes System angeschlossen und entsprechend erkannt, kann z. B. der Netzwerk-Port automatisch abgeschaltet werden – das Gerät verliert sofort die Netzwerkverbindung – physikalisch!

Mit dem Reifen dieser Technologie wurden nach und nach mehr verschiedene Möglichkeiten in den Switches geschaffen, die einige Vorteile bringen. Selbst in kleinsten Netzwerken werden heutzutage bereits VLANs eingesetzt. Die virtuellen Netzwerke bieten eine komfortable Möglichkeit, das Netzwerk unabhängig von der physikalischen Struktur zu segmentieren.

Da auch die Konfiguration der VLANs an den Switches vorgenommen wird, ist es eine naheliegende Erweiterung von Network Access Control, Netzwerkports nicht nur sperren, sondern auch umleiten zu können. Fremde Systeme müssen damit nicht mehr vollständig vom Netzwerk getrennt werden, sondern können in einen separaten Gästebereich umgeschaltet werden, in dem z. B. nur Internet angeboten wird.

Problematisch bleibt, dass die MAC-Adresse sehr leicht fälschbar ist. Ein Eindringling kann sich jede beliebige Adresse aussuchen – sie beispielsweise vom Drucker abschreiben und eintippen um Netzwerkzugang zu erlangen.

Aus diesem Grund gehen einige professionelle Lösungen noch einige Schritte weiter und vergleichen viele weitere Systemeigenschaften, wie die IP-Adresse, den Hostnamen, das Betriebssystem oder offene und geschlossene Ports. Im Resultat bedeutet das, dass ein Eindringling nicht nur die MAC-Adresse fälschen muss, um Zugang zu erlangen, sondern auch all die anderen Eigenschaften. Weichen Teile der Eigenschaften ab, so kann das NAC-System entsprechend Alarm auslösen.

Neben dem Sicherheitsaspekt kann auf diese Weise auch ein komfortables Management der VLANs etabliert werden, indem je Port immer automatisch das zum Endgeräte gehörende VLAN konfiguriert wird. Jeder Mitarbeiter hat demzufolge, egal wo er sich anschließt, immer seine gewohnte Umgebung und seine benötigten Ressourcen zur Verfügung.

◀ Prev · Parts · Full · Next ▶