LimRAD NAC· Ağ Erişim Kontrolü

Ağınıza kim, hangi cihazla, hangi yetkiyle giriyor?

Hepsi kontrol altında. LimRAD NAC ağınıza bağlanan her cihazı keşfeder, sınıflandırır, kimliğini doğrular ve politikaya göre erişimini gerçek zamanlı denetler. 802.1X, MAC doğrulama, captive portal ve RADIUS tek platformda.

  • 802.1X · EAP-TLS
  • MAC Doğrulama
  • Captive Portal
  • RADIUS · TACACS+
  • CoA · Dinamik VLAN
  • Karantina
  • On-premise
Demo talep et Teknik özellikler
Örnek ekran: core-sw-01 anahtarına ve wlc-hq kablosuz denetleyicisine bağlanan yedi yeni cihaz DHCP, MAC-OUI, HTTP ve NMAP parmak iziyle tanınır, cihaz tipine göre sınıflandırılır ve Kurumsal VLAN 20, Misafir VLAN 30, OT VLAN 40 ya da Karantina VLAN 999 segmentine yerleştirilir. Tipi belirlenemeyen b8:27:eb:0a:55:31 karantinaya alınır.

01Problem

Ağ kapıları açık, kimin girdiğini kimse bilmiyor.

Çalışan cihazları, misafirler, yükleniciler, IoT sensörleri, kameralar; hepsi aynı ağa bağlanmak istiyor. Kimlik ile cihaz birbirinden kopuk. Düz ağ tasarımında tek bir yetkisiz cihaz kritik sistemlere ulaşabiliyor ve erişim kontrolü hâlâ elle, port port yönetiliyor.

Düz ağyanal erişim açık
VLAN 1 · tek segment PC SRV PRN CAM IoT ?
LimRAD NAC ilesegmentli
VLAN 20 · kurumsal VLAN 30 · misafir VLAN 40 · OT karantina · 999 PC SRV TEL CAM IoT ?
%30+Ağa bağlı cihazların envanterde görünmeyen "gölge cihaz" oranı
1 cihazDüz ağda tek yetkisiz cihaz, tüm VLAN'a yanal erişim riski demek
saatlerManuel port, VLAN atama ve yetkilendirmenin operasyonel maliyeti

Sektör genelinde gözlenen değerlerdir; kurumdan kuruma değişir.

02Çözüm

Gör. Sınıflandır. Kontrol et.

LimRAD NAC, on-premise çalışan ağ erişiminin tek kontrol noktasıdır. Bağlanan her cihaz aynı üç adımdan geçer; RADIUS ve captive portal aynı çatı altındadır.

  1. 01 · GÖR

    Her cihazı gör

    Ağa bağlanan her cihaz; kurumsal, misafir ya da IoT, anında keşfedilir. Envanterinizde gölge cihaz kalmaz.

    • Kablolu
    • Kablosuz
    • Uzak erişim
    0ajan gereksinimi
    (ajan isteğe bağlı)
  2. 02 · SINIFLANDIR

    Ne olduğunu bil

    DHCP, MAC-OUI, HTTP ve NMAP parmak izi yöntemleriyle her cihazın tipi, işletim sistemi ve üreticisi belirlenir.

    • DHCP
    • MAC / OUI
    • HTTP
    • NMAP
    • 13 kategori
    25+cihaz tipi sınıfı
  3. 03 · KONTROL ET

    Erişimi denetle

    Politikaya göre cihazı yetkilendir, izole et ya da karantinaya al. Karar anında uygulanır.

    • Yetkili kurumsal VLAN
    • İzole misafir VLAN
    • Karantina
    < 3 sntespit → yaptırım

03Temel yetenekler

On yetenek, iki alt modül, tek erişim platformu.

Kablolu, kablosuz ve uzak erişim tek altyapıda. RADIUS ve HotSpot, NAC'ın içine gömülü alt modüller olarak gelir; ayrı ürün, ayrı entegrasyon gerekmez.

04Görünürlük

Önce görün, sonra karar verin.

Yetenek · 01 · Profilleme

Cihaz görünürlüğü & profilleme.

Ağa bağlanan her cihaz keşfedilir ve pasif ile aktif parmak izi yöntemleriyle sınıflandırılır. Ajan gerekmez.

  • Pasif + aktif parmak izi: DHCP, MAC-OUI, HTTP banner, NMAP
  • Cihaz parmak izi veritabanı: 13 kategori; DHCP, TCP, SSL, SSH, DNS ve diğerleri
  • 25+ cihaz tipi: laptop, telefon, yazıcı, kamera, IoT, sunucu
  • NMS envanteri ile ortak: aynı cihaz kaydı, iki modülde tek doğruluk
Cihaz listesilimrad / nac / cihazlar · 1.284 kayıt
CihazTipÜretici · İSParmak iziPortVLAN
LT-FIN-014f8:bc:12:4e:91:07LaptopDell Inc.Windows 11DOHNGi1/0/320
MBP-ARGE-07a4:83:e7:1c:04:9bLaptopApple, Inc.macOS 15DOHNwlc-hq20
misafir-iphonef0:18:98:6c:22:d1TelefonApple, Inc.iOSDOHNwlc-hq30
PRN-K2-013c:d9:2b:07:a4:5eYazıcıHewlett PackardgömülüDOHNGi1/0/1020
CAM-GIRIS-0300:40:8c:b3:12:6fKameraAxis Communicationsgömülü LinuxDOHNGi1/0/1840
SNS-ISI-1124:0a:c4:9d:30:e2IoTEspressif Inc.RTOSDOHNGi1/0/2140
srv-yedek-02ac:1f:6b:5a:08:c4SunucuSuper Micro ComputerLinux 6.xDOHNGi1/0/2320
—b8:27:eb:0a:55:31BilinmeyenRaspberry Pi Trading—DOHNGi1/0/14999
Parmak izi DB DHCPTCPSSLSSHDNS+8 kategori NAC + NMS ortak kayıt

Yetenek · 02 · Zaman çizelgesi

Cihaz zaman çizelgesi.

Bir cihaza ait tüm kayıtlar tek zaman ekseninde. Log ekranları arasında gezinmeden sorunun ne zaman ve neden başladığını görün.

  • 7 şerit, tek eksen: AAA, NAC olayları, cihaz olayları, kural & aksiyon, komutlar, NMS alarmları, sistem logu
  • Kayıt detayı: tetiklenen kural, kaynak ve eşleşen koşullar tek panelde
  • Aynı anda olanlar (±3 dk): farklı kaynaklardaki olaylar otomatik ilişkilendirilir
  • Esnek zaman aralığı: 1 saatten 7 güne, yakınlaştırma ve metin arama
Cihaz zaman çizelgesiLT-SAHA-207 · f8:bc:12:7a:03:5d
AAA
NAC olayları
Cihaz olayları
Kural & aksiyon
Komutlar
NMS alarmları
Sistem logu

Kural & aksiyon

USB politikası ihlali → karantina

Kural grubu
Kurumsal cihazlar
Kural
USB-Depolama-Yasak
Eşleşen koşul
usb.storage = takılı · grup = Saha
Aksiyon
karantina · VLAN 999

Aynı anda olanlar · ±3 dk · 6 kayıt

Bir kaydın üzerine gelin ya da seçin: detay ve ±3 dk içindeki ilişkili kayıtlar açılır.

05Kimlik & politika

Her cihaza uygun yöntem, her gruba doğru politika.

Yetenek · 03 · Kimlik doğrulama

Her cihaza uygun kimlik doğrulama.

Sertifika taşıyabilen kurumsal cihazlar için 802.1X, taşıyamayan cihazlar için MAC doğrulama, misafirler için captive portal. Tek platform, birden çok yöntem.

  • 802.1X / EAP-TLS: sertifika tabanlı, en güçlü kurumsal yöntem
  • MAC doğrulama (MAB): yazıcı, kamera, IoT gibi ajansız cihazlar için
  • Captive portal: misafir ve BYOD için web tabanlı giriş
  • OTP / MFA · TACACS+: çok faktörlü doğrulama ve ağ yöneticisi erişimi
802.1X kimlik doğrulama akışıEAP-TLS · RADIUS UDP 1812
  1. Supplicantistemci · sertifika sunar
  2. EAPOLAuthenticatorswitch / WLC
  3. UDP 1812LimRAD RADIUSpolitika + kimlik kaynağı
  4. AcceptVLAN 20kurumsal segment
Cihaz / kullanıcıYöntemKimlikSonuç
Kurumsal dizüstü802.1X · EAP-TLSmakine sertifikası (PKI)VLAN 20
Personel, AD hesabı802.1X · PEAPAD kullanıcı + parolaprofil VLAN'ı
Yazıcı, kamera, IoTMABMAC + cihaz profiliVLAN 40
Misafir, BYODCaptive portalSMS / sponsor onayıVLAN 30
Ağ yöneticisiTACACS+ · OTPAD + tek kullanımlık kodpriv-lvl 15

Yetenek · 04 · Politika motoru

Kural, grup, politika. Üst gruptan miras.

Kurallar kural gruplarında toplanır, kural grupları politikalara bağlanır. Cihaz ağa geldiğinde tipine, kimliğine ve durumuna göre değerlendirilir. Alt gruplar politikayı üst gruptan miras alır; yalnız farkı tanımlarsınız.

  • Merkezi kural yönetimi: tüm ağ için tek arayüzden
  • Sorgular (queries): koşullu değerlendirme mantığı
  • Log kaynağı (register): politika bazlı olay kayıt kanalları
  • Offline agent: bağlantı kesildiğinde de yaptırım
Politika motorukural → kural grubu → politika

01Kurallar

  • tip = Kamera → OT VLAN
  • grup = AD·Muhasebe → VLAN 20
  • bilinmeyen → karantina

02Kural grupları

  • Kurumsal cihazlar
  • IoT / OT
  • Misafir / BYOD

03Politikalar

  • Genel Merkez Politikası3 kural grubu · log kaynağı aktif
  • Şube Politikası2 kural grubu · offline agent
Cihaz grupları · bir grup seçin
Etkin politika

Genel Merkez Politikası

Üst gruptan miras · kaynak Kurum

Kurum / Genel Merkez / Kameralar / OT

  • Kurumsal cihazlar
  • IoT / OT
  • Misafir / BYOD
log kaynağı aktif

06Yaptırım & altyapı

Karar vermek yetmez, anında uygula.

Yetenek · 05 · Yaptırım

CoA ile oturumu kesmeden yeniden yetkilendir.

LimRAD NAC, RADIUS CoA (Change of Authorization, RFC 5176) ile çalışan bir oturumun yetkisini yeniden başlatmadan değiştirir. Uyumsuz cihaz saniyeler içinde izole edilir.

  • Dinamik VLAN atama: cihazı doğru segmente taşı
  • Karantina: kısıtlı VLAN'a hapset
  • Port kontrolü: 802.1X PAE ile portu kapat
  • CoA gönderimi: oturumu kesmeden yeniden yetkilendir
Canlı akışı ana sayfada izleyin
Yaptırım · CoARFC 5176 · UDP 3799
LimRAD NACpolitika kararı
CoA-Request
Tunnel-Private-Group-ID = 999 CoA-ACK
core-sw-01NAS · 10.0.0.11
ÖnceGi1/0/14 · profilleniyor
SonraVLAN 999 · izole
  1. Yeni cihaz bağlandı b8:27:eb:0a:55:31 · port Gi1/0/14
  2. Profilleme + politika kontrolü: tip=Bilinmeyen · kural: karantina
  3. CoA gönderildi → VLAN 999 · switch onayladı · cihaz izole edildi
Tespit → yaptırım< 3 sn

Yetenek · 06 · NAS & gruplar

NAS envanteri & cihaz grupları.

Ağınızdaki tüm erişim noktaları merkezi olarak tanımlanır; cihazlar mantıksal gruplara ayrılır. Politikalar bu yapılar üzerinden ölçeklenir.

  • Vendor bağımsız NAS: Cisco, Aruba, HPE, FortiGate ve daha fazlası
  • Grup bazlı politika: tek grup, tek kural; binlerce cihaza uygulanır
  • NAS başına CoA portu: her erişim noktası için ayrı CoA ayarı
NAS & cihaz gruplarılimrad / nac / nas
NAS listesi14 erişim noktası
AdTipIPCoA
core-sw-01Switch · Cisco10.0.0.113799
wlc-hqWLC · Aruba10.0.0.403799
vpn-gw-1VPN · FortiGate10.0.0.60—
branch-sw-izmirSwitch · HPE10.12.0.53799
Cihaz gruplarıcihaz sayısı
  • Genel Merkez1.284
  • BYOD / Misafir738
  • Kameralar / OT412
  • Yazıcılar96

07Uyum, olay & entegrasyon

Bağlandıktan sonra da izlemeye devam.

Uç nokta uyumu · LimRAD Ajan

Uyumsuz cihaz kurumsal ağa girmez.

LimRAD Ajan uç noktanın durumunu toplar; ontoloji tabanlı kural motoru uyumu değerlendirir. Uyumsuz cihaz karantinaya alınır, sorun giderilince CoA ile kurumsal VLAN'a döner.

  • Posture olguları: antivirüs, güvenlik duvarı, işletim sistemi ve yama, donanım, sanallaştırma, sertifika
  • Platformlar: Windows, Linux, macOS
  • Offline yaptırım: ajan bağlantısı kesilse de politika uygulanmaya devam eder
  • Donanım politikası: USB, Bluetooth, Wi-Fi devre dışı bırakma; beyaz ve kara listeler
Uç nokta uyum değerlendirmesiNAC posture · LimRAD Ajan
WS-FIN-014 · Windows 11● ajan bağlıson heartbeat 14 sn
  • Antivirüsgerçek zamanlı koruma açık · imzalar güncelGeçti
  • Güvenlik duvarıtüm profiller açıkGeçti
  • İşletim sistemi & yamason toplu güncelleme kuruluGeçti
  • DonanımUSB depolama politikası uygulanıyorGeçti
  • Sanallaştırmafiziksel makineGeçti
  • Sertifikamakine sertifikası geçerliGeçti
Uyumlu Kurumsal VLAN 20 · erişim açık
Offline yaptırım. Sunucuyla bağlantı kesilirse ajan son politikayı uç noktada uygulamaya devam eder.

Yetenek · 07 · Olay & alarm

Olay & alarm yönetimi.

Her kimlik doğrulama, yetki değişikliği ve yeni cihaz bir olay olarak kaydedilir. Kritik olaylar için alarm tanımlar, bunları doğrudan bilet sistemine bağlarsınız.

  • Olay tipleri: yeni cihaz, başarısız auth, yetkisiz VLAN, karantina, CoA gönderimi
  • Alarm tanımları: kritik olay tiplerine göre
  • Aksiyon: alarmdan bilet sistemine doğrudan kayıt
NAC olayları · 24 saatlimrad / nac / olaylar
146olay
  • Karantina10
  • Yetkisiz VLAN17
  • Auth başarısız30
  • Yeni cihaz37
  • Başarılı auth52
Son olaylarcanlı
  • Karantina

    Bilinmeyen cihaz izole edildi

    b8:27:eb:0a:55:31 · core-sw-01 · 2 dk önce
  • Yetkisiz VLAN

    Cihaz yanlış segmente erişmeye çalıştı

    10.30.2.58 · wlc-hq · 8 dk önce
  • Auth başarısız

    Sertifika süresi dolmuş · 802.1X reddedildi

    a4:83:e7:1c:04:9b · 12 dk önce
Alarm: Karantinabilet açılır

Yetenek · 08 · Entegrasyonlar

NAC tek başına bir ada değil.

Güvenlik, kimlik ve operasyon araçlarınızla iki yönlü konuşur; kurumsal uygulamalardan cihaz uyum bilgisi toplar.

  • Güvenlik duvarları: cihaz durumuna göre firewall kuralı ve segmentasyon tetikleme
  • AD / LDAP: Active Directory ve LDAP dizinleriyle kimlik ve grup eşlemesi
  • SIEM: syslog ve olay akışıyla merkezi güvenlik izlemeye besleme
  • Harici cihaz kaynakları ve kurumsal ayarlar: üçüncü parti envanter verisi, merkezi ayar yönetimi
Entegrasyonlariki yönlü

NAC'a gelen

AD / LDAPkimlik ve grup eşlemesi
Harici cihaz kaynaklarıüçüncü parti envanter
Kurumsal uygulamalarcihazlardan uyum verisi
LimRAD NACkurumsal ayarlar
merkezi yönetim

NAC'tan giden

Güvenlik duvarlarıkural ve segmentasyon tetikleme
SIEMsyslog ve olay akışı
Bilet sistemialarm → bilet (Jira)

08Alt modül · RADIUS & TACACS+

NAC'ın kalbinde kurumsal RADIUS.

LimRAD NAC, tam teşekküllü bir AAA sunucusunu içinde barındırır: yerli C++ ile yazılmış, tek süreçte iki protokol. İstemci yönetimi, gruplar, yetkilendirme profilleri, çoklu kimlik kaynağı, proxy ve accounting için ayrı ürün gerekmez.

RADIUSUDP 1812Kimlik doğrulama ve yetkilendirme
RADIUSUDP 1813Accounting · oturum kayıtları
TACACS+TCP 49Ağ cihazı yönetici erişimi, komut yetkilendirme
CoA / DisconnectUDP 3799RFC 5176 · NAS başına ayarlanır
Kimlik kaynaklarızincirlenebilir · sırayla denenir
  1. Active Directorycorp.kurum.local · winbind1. sıra
  2. LDAPldap://dir-01:3892. sıra
  3. SQL veritabanıPostgreSQL · radius_users3. sıra
  4. Yerel kullanıcılaryedek ve hizmet hesapları4. sıra

Diğer kaynaklar

  • MySQL
  • MS SQL
  • Oracle
  • Sybase
  • ODBC
  • JSON / HTTP API

EAP ailesi ve diğer yöntemler

  • PEAP
  • EAP-TLS
  • EAP-TTLS
  • EAP-FAST
  • TEAP
  • EAP-MSCHAPv2
  • EAP-GTC
  • EAP-MD5
  • LEAP
  • PAP
  • CHAP
  • MSCHAPv1/v2
Yetkilendirme profiliRADIUS · Access-Accept

Muhasebe-Grubu

Kurumsal kablolu ve kablosuz erişim

AD grubu = Muhasebe
Tunnel-Type=VLAN
Tunnel-Private-Group-ID=20
Filter-Id=ACL_FINANCE
Session-Timeout=28800 sn
Acct-Interim-Interval=300 sn

Eşleme

  • Dizin grubu → RADIUS grubu
  • OU eşleşmesi
  • VLAN · ACL · oturum · QoS
İzleme & raporlamalimrad / radius / oturumlar
KullanıcıCihazBaşlangıçSüreVeriDurum
e.kayaMuhasebe-Grubuf8:bc:12:4e:91:0708:121 sa 29 dk412 MBaktif
host/LT-FIN-022makine doğrulamasıf8:bc:12:61:0a:3e08:4754 dk96 MBaktif
m.aydinSaha-Ekibia4:83:e7:52:9c:1007:581 sa 05 dk1,2 GBsonlandı
  • ACCEPTEAP-TLS · Muhasebe-Grubu → VLAN 20
  • REJECTa4:83:e7:1c:04:9b · sertifika süresi dolmuş
  • ACCEPTMAB · yazıcı profili · Gi1/0/10
TACACS+ komut yetkilendirmeTCP 49
NOC-ReadOnly komut ^show\s+ → PERMIT
NOC-ReadOnly komut ^configure → DENY
  • show running-configPERMITnetops-admin · priv-lvl 15
  • show interfaces statusPERMITnoc-readonly · priv-lvl 1
  • configure terminalDENYnoc-readonly · priv-lvl 1 · kural ^configure

  • Proxy & forwarder

    Realm tabanlı yönlendirme, yük dağıtımı ve federasyon.

    realm izmir   → radius-izm-01:1812
realm lab     → yerel doğrulama
varsayılan    → yerel

  • OTP / MFA

    Parolanın üstüne tek kullanımlık kod; yönetici ve uzak erişim için çok faktörlü doğrulama katmanı.

  • EAP-TLS & kurumsal PKI

    Sertifika tabanlı, parolasız kimlik doğrulama; makine bazlı doğrulama ile kullanıcıdan bağımsız.

  • SQL proxy

    Harici SQL kaynaklarına proxy üzerinden güvenli erişim.

  • Özel sözlük

    Vendor'a özel RADIUS öznitelikleri için genişletilebilir dictionary.

  • Accounting & harici loglar

    Başlangıç, süre, veri, sonlanma; dış sistemlere aktarım ve endpoint kaydı.

09Alt modül · HotSpot

Misafirler güvenle bağlansın.

Markanıza göre özelleştirilen portal sayfaları, sponsor onay akışı, SMS ve e-posta doğrulaması, toplu voucher üretimi ve özel kayıt alanları. Konuk erişimi kayıt altında ve süreli.

  • 5651 sayılı kanuna uygun süreli ve kayıtlı erişim, kayıt logları
  • TC Kimlik ve SMS doğrulama, e-posta ile giriş
  • Sponsor onayı: personel onaylı misafir erişimi
  • Toplu voucher: etkinlikler için süreli kullanıcı üretimi
  • Web stilleri: markalı portal şablonları, KVKK onayı
  • Misafir VLAN izolasyonu: kurum ağından ayrı segment
09:41Wi-Fi
misafir.kurumunuz.com.tr
KURUM · MİSAFİR AĞI

Misafir Ağına Hoş Geldiniz

Devam etmek için bilgilerinizi girin.

SMSTC KimlikSponsor
Ad Soyad
Deniz Yılmaz
Telefon numarası
+90 5•• ••• •• 17
KVKK aydınlatma metnini okudum, onaylıyorum.
SMS ile kod gönder

Erişim 4 saat geçerlidir

  • TC Kimlikdoğrulama
  • SMS kodutek kullanımlık
  • E-postakod ile giriş
  • Sponsor onayıpersonel

Toplu voucher

K7Q-29XM 4 saat · misafir VLAN · kayıtlı

Kayıt logu · 5651

  • SMS · +90 5•• •• 1710.30.8.41
  • Sponsor · e.kaya10.30.8.37
  • Voucher · K7Q-29XM10.30.8.12

10Kullanım senaryoları

Ağ erişim kontrolü nerede işe yarar?

  1. 01

    Kurumsal 802.1X

    Kablolu ve kablosuz ağda çalışan cihazları sertifikayla otomatik ve güvenli bağlayın. Doğru kullanıcı, doğru VLAN; elle port yönetimi yok.

    • EAP-TLS + kurumsal PKI
    • Dinamik VLAN atama
    • AD grup → politika
  2. 02

    Misafir & BYOD

    Ziyaretçileri ve kişisel cihazları captive portal ile kontrollü bir konuk segmentine alın. Erişim süreli, kayıtlı ve kurumsal ağdan izole.

    • SMS / sponsor onayı
    • Süreli erişim + voucher
    • Konuk VLAN izolasyonu
  3. 03

    IoT / OT segmentasyonu

    Kameraları, sensörleri ve endüstriyel cihazları parmak iziyle tanıyıp kendi izole segmentlerine alın. Bir cihaz ele geçse bile yayılamaz.

    • Otomatik cihaz profilleme
    • MAC doğrulama (ajansız)
    • NMS + EMM ile bütünleşik

11Sonraki adımlar

LimRAD NAC'ı birlikte deneyelim.

30 gün

Ücretsiz deneme

Kendi ortamınıza kurar, bir switch ya da kablosuz denetleyici üzerinde 802.1X'i devreye alıp farkı kendiniz görürsünüz. Kurulum desteği bizden.

Deneme talep et
45 dakika

Bire bir teknik demo

Çözüm mimarımız, ağınızdaki gerçek senaryolar üzerinden özel bir demo hazırlar. Ekibinizi davet edin.

Demo planla

Telefon +90 312 287 76 73E-posta info@limrad.com