802.1X ve port security nedir? Switch portlarına yetkisiz cihaz bağlanması nasıl engellenir?

Port security (Cisco)

Bir porta bağlanabilecek MAC adreslerini sınırlar. Basit ama MAC adresi kolayca sahtelenebilir.

interface Gi1/0/5
 switchport mode access
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation restrict

802.1X (port-based network access control)

Cihaz, porta bağlandığında kimliğini kanıtlayana kadar yalnızca kimlik doğrulama trafiği (EAPOL) geçebilir.

Akış: Supplicant EAP ile kimlik bilgisini gönderir; switch bunu RADIUS'a iletir (EAPOL ↔ RADIUS); RADIUS Access-Accept dönerse port açılır. RADIUS ayrıca dinamik VLAN veya downloadable ACL atayabilir.

Yaygın EAP yöntemleri: EAP-TLS (iki tarafta sertifika, en güvenli), PEAP-MSCHAPv2 (kullanıcı adı/parola).

aaa new-model
aaa authentication dot1x default group radius
dot1x system-auth-control
radius server ISE
 address ipv4 10.0.0.20 auth-port 1812 acct-port 1813
 key S3cr3t
interface Gi1/0/5
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 mab

Yazıcı, IP kamera gibi 802.1X desteklemeyen cihazlar için MAB (MAC Authentication Bypass) fallback olarak kullanılır.

Tamamlayıcı L2 güvenlik önlemleri

• Kullanılmayan portları kapatıp boş bir VLAN'a almak.
• DHCP snooping, Dynamic ARP Inspection, IP Source Guard.
• Access portlarda DTP'yi kapatmak (switchport nonegotiate) ve native VLAN'ı kullanılmayan bir VLAN yapmak (VLAN hopping önlemi).
• BPDU Guard ile kullanıcıların switch bağlamasını engellemek.