Il problema del Network Access Control (NAC)
Una porta di switch aperta è una porta di fiducia implicita: chiunque colleghi un cavo ottiene accesso alla VLAN. Il NAC ribalta questo paradigma imponendo che ogni endpoint sia autenticato e autorizzato prima di ottenere connettività di rete. In ambito Cisco il motore di questo controllo è Cisco ISE (Identity Services Engine), che agisce da server di policy centralizzato parlando RADIUS con gli switch e i wireless controller.
802.1X: i tre attori
Lo standard IEEE 802.1X definisce l’autenticazione port-based e coinvolge tre ruoli:
| Ruolo | Chi è | Funzione |
|---|---|---|
| Supplicant | Software sull’endpoint (es. AnyConnect NAM, supplicant nativo OS) | Presenta le credenziali |
| Authenticator | Lo switch o WLC | Fa da proxy, apre/chiude la porta |
| Authentication Server | Cisco ISE (RADIUS) | Valuta le policy e decide |
Il dialogo endpoint-switch usa EAPoL (EAP over LAN); lo switch incapsula l’EAP dentro RADIUS verso ISE. Finché l’autenticazione non ha successo, la porta lascia passare solo EAPoL (e opzionalmente CDP/LLDP), bloccando tutto il resto.
Metodi EAP
- EAP-TLS: mutua autenticazione basata su certificati sia lato client sia lato server. È il metodo più sicuro (nessuna password trasmessa) ma richiede una PKI.
- PEAP (MSCHAPv2): costruisce un tunnel TLS usando solo il certificato del server, dentro cui viaggiano le credenziali utente. Più semplice da deployare perché non serve un certificato per ogni client.
- EAP-FAST: usa un PAC al posto del certificato server.
MAB: fallback per chi non ha supplicant
Stampanti, telecamere IP, badge reader e molti dispositivi IoT non hanno un supplicant. Per loro si usa MAB (MAC Authentication Bypass): dopo il timeout di 802.1X, lo switch cattura il MAC address del dispositivo e lo invia a ISE come identità (username = password = MAC). ISE verifica il MAC contro un endpoint group.
Ordine di autenticazione: la best practice è provare prima 802.1X, poi MAB. 802.1X è più forte e va tentato per primo; MAB interviene solo quando l’endpoint non risponde all’EAP. Configurare MAB prima di dot1x indebolisce la sicurezza perché un dispositivo con supplicant verrebbe autenticato solo sul MAC (facilmente spoofabile).
WebAuth per gli ospiti
Per utenti guest senza credenziali 802.1X si usa WebAuth: l’utente riceve accesso limitato, apre il browser e viene rediretto a un portale (Local Web Auth o Central Web Auth su ISE) dove inserisce credenziali guest. Con CWA il flusso tipico è: MAB fallito/sconosciuto → ISE ritorna un redirect URL + dACL → l’utente si autentica sul portale → ISE emette una CoA per riautorizzare la sessione con l’accesso pieno.
Profiling e CoA
Il profiling permette a ISE di identificare cosa è un dispositivo (Apple iPhone, telecamera Axis, stampante HP) raccogliendo attributi via DHCP, CDP/LLDP, RADIUS, DNS, SNMP, NetFlow. La policy può così assegnare autorizzazioni diverse per tipo di device senza credenziali specifiche.
La Change of Authorization (CoA) — RFC 5176 — è il meccanismo con cui ISE modifica una sessione già attiva senza far cadere il link fisico. È fondamentale per due motivi:
- Ri-autenticazione: dopo profiling, posture o login guest, ISE spinge una nuova autorizzazione (nuova dACL, nuova VLAN, SGT).
- Remediation posture: se l’endpoint non è compliant (antivirus mancante, patch assenti), viene messo in quarantena; dopo la remediation, la CoA lo riautorizza. Tutto senza scollegare la porta né interrompere fisicamente la connessione.
Posture
L’assessment di posture (via agent AnyConnect/Cisco Secure Client o temporal agent) verifica lo stato di sicurezza dell’endpoint. Il flusso: accesso limitato → controllo compliance → CoA per accesso pieno se compliant, o quarantena + remediation se non compliant.
Modalità di deployment
| Modalità | Comportamento | Uso |
|---|---|---|
| Monitor Mode (Open) | Autentica ma non blocca nulla in caso di fallimento; logga soltanto | Fase iniziale, discovery |
| Low-Impact Mode | Porta in modalità open con una pre-auth ACL che permette servizi essenziali (DHCP, DNS, PXE); dopo l’auth applica la policy | Transizione, PXE boot |
| Closed Mode | Nessun traffico prima dell’autenticazione (solo EAPoL) | Stato finale, massima sicurezza |
Il percorso di rollout raccomandato è Monitor → Low-Impact/Closed, per evitare di tagliare fuori dispositivi legittimi durante l’adozione.
Trappole tipiche d’esame
- Ordine di fallback → Se lo scenario chiede la sequenza corretta su una porta con endpoint misti: prima 802.1X, poi MAB. MAB è il fallback per device senza supplicant, non il metodo primario.
- Riautorizzare senza downtime → Scenario “remediation posture o cambio autorizzazione senza far cadere la porta”: la risposta è CoA, non lo shut/no shut della porta né la disconnessione del client.
- Device senza supplicant su porta 802.1X → Stampante/telecamera che non si autentica: la soluzione è MAB (con eventuale profiling), non disabilitare 802.1X sulla porta.
- Guest access → Utente senza credenziali dot1x che deve solo navigare: WebAuth/CWA con portale, tipicamente innescato da MAB + redirect + CoA.
- PXE boot o servizi pre-auth necessari → Serve accesso limitato prima dell’autenticazione senza aprire tutto: Low-Impact Mode con pre-auth ACL, non Closed Mode (che blocca il PXE) né Monitor Mode (che non impone policy).