Simgenet NAC Server — Endüstriyel Ağ Erişim Denetimi (802.1X, TACACS+, PKI)

Simgenet NAC Server — Endüstriyel Ağ Erişim Denetimi

Simgenet NAC Server, ağa bağlanan her cihazı ve ağ cihazlarını yöneten her kişiyi kimliğiyle tanıyan, rolüne göre yetkilendiren ve her kararı kayda geçiren ağ erişim denetimi sunucusudur. Bir Merkez politikayı belirler; sahadaki Saha düğümleri aynı yazılımla anahtar ve erişim noktalarının isteklerini yerinde cevaplar. Endüstriyel ağ için tasarlandı: cihaz kimliği sertifikayla, IED/PLC için MAC tabanlı, yönetici erişimi TACACS+ ile; merkez kopsa da saha durmaz. Yazılım tamamen Simgenet bünyesinde geliştirilmiştir; hazır bir paketin uyarlaması değildir.

Endüstriyel Gerçeklik İçin Tasarlandı

Kurumsal NAC ürünleri şehir merkezi mantığıyla çalışır: kullanıcı bilgisayarı, misafir portalı, merkeze sürekli bağlantı. Sahada ise IED, PLC, RTU ve kamera vardır; WAN kopar; yönetici anahtara konsoldan girer. NAC Server misafir portalı ve kullanıcı ajanı yerine cihaz kimliği, yerel süreklilik ve cihaz yönetimi üzerine kurulmuştur ve kendi anahtarımız (SMG-SW), zaman sunucumuz (GNSS Server) ve test platformumuzla (SVP) birlikte geliştirilmiştir.

Kim Bağlanabilir: 802.1X, MAB ve Dinamik Yetkilendirme

• Kimlik doğrulama: IEEE 802.1X EAP-TLS (cihaz sertifikası ve zincir doğrulama; sertifika–MAC eşleşmesi kararın parçası) · PEAP / EAP-TTLS (yerel kullanıcı veritabanı) · MAB — sertifikasız IED, PLC, kamera ve sensörler için; MAC sahteciliği şüphesi tespiti · kayıtsız cihaz: reddet veya izleme VLAN'ı.
• Yetkilendirme ve zorlama: rol → VLAN (RFC 3580), Filter-Id → erişim listesi ve üretici öznitelikleriyle dinamik ACL · port sınıfı (zamanlama / koruma / genel): zamanlama taşıyan port farkında olunur · CoA / Disconnect (RFC 5176) ile merkezden oturum düşürme, VLAN değiştirme, yeniden yetkilendirme · karantina ve süreli, kayıtlı acil istisna (break-glass).
• İzleme modu → zorlama modu: kurulum her zaman izleme modunda başlar — karar üretilir, uygulanmaz, raporlanır; envanter dolar, profiller doğrulanır; zorlamaya geçiş yönetici kararıyla, tek düğmeyle geri alınabilir.
• Cihaz profilleme ve envanter: pasif toplayıcı (OUI, DHCP, SNMP), OT cihaz kütüphanesi (röle, RTU, PLC, IED, GNSS/PTP), toplu içe aktarma ve API; Simgenet cihazları ilk anda tanınır.
• "Neden reddedildi?" tek ekranda: canlı doğrulama günlüğü her denemeyi zaman, MAC, kimlik, profil, anahtar/port, politika, red nedeni ve süreklilik durumuyla listeler.

Merkez Kopar, Saha Durmaz: Merkez, Saha Düğümü ve Yedek Merkez

Tek yazılım, iki rol. Politika, envanter, PKI ve raporlama merkezde; kimlik doğrulama isteği sahada, en yakın düğümde milisaniyeler içinde cevaplanır. Merkez ile saha arasındaki her şey imzalı ve sürümlüdür.

• Saha düğümü tek başına: son onaylı politika ve yerel karar tablosu düğümde; WAN kopsa da 802.1X/MAB ve dinamik VLAN kararları sürer — merkezsiz çalışma 30 güne kadar (ayarlanabilir). Süreklilik kipleri (normal → kısıtlı → süreklilik) panelde ve olay defterinde; bağlantı dönünce olaylar aktarılır, politika farkı otomatik kapanır.
• Yedek merkez ve yük paylaşımı: ikinci merkez sürekli senkron; birincil düşünce devralır, dönünce geri verir; tek yazar ilkesi. Saha düğümleri "ev merkez" seçimiyle iki merkeze dağıtılır — boşta bekleyen kapasite yok. Anahtar birden fazla düğümü RADIUS/TACACS+ sunucusu olarak görür.
• Değişiklik güvenliği: politika ve cihaz kayıtları imzalı, nesil numaralı paket olarak dağıtılır; doğrulandı → uygulandı → teyit edildi aşamaları; hatalı nesil tek adımda geri alınır. Yazılım güncellemesi de aynı yol: imzalı paket, A/B kurulum, geri dönüş.

Kim Yönetebilir: RADIUS ve TACACS+ Cihaz Yönetimi

• RADIUS: yönetici girişi yetki seviyesi (admin / operatör / izleyici), RFC 2865/2866/2869; Message-Authenticator her iki yönde zorunlu (BlastRADIUS sınıfı saldırılara kapalı); hesap kaydı; RadSec (RADIUS/TLS, RFC 6614) sunucu; Status-Server.
• TACACS+ (RFC 8907): kimlik doğrulama, oturum yetki seviyesi 0–15, komut yetkilendirme — yönetici tanımlı komut setleri (izin/yasak kalıpları) ve hazır sınıflar (görüntüleme / yapılandırma hariç / tam); her komut kararı denetim kaydında; TACACS+ üzerinden TLS 1.3 (RFC 9887).
• Kimlik kaynakları: yerel kullanıcı ve cihaz veritabanı; LDAP/AD; dış RADIUS ve TACACS+. Zaman güveni (GNSS/NTP kaynağı, sertifika geçerlilik penceresi) kararın parçasıdır.

Yerleşik PKI: Sertifika Elle Taşınmaz

İç sertifika otoritesi (CA), profil tabanlı sertifika üretimi; SCEP (RFC 8894) ve EST (RFC 7030) ile cihazların otomatik sertifika alması ve yenilemesi (yeniden kayıtta eski sertifika otomatik iptal); OCSP yanıtlayıcı ve CRL (sahaya imzalı dağıtım); EAP-TLS'te iptal denetimi — iptal edilen sertifika anında reddedilir; sertifika ömrü alarmları (90/60/30 gün).

Yönetim, İzleme ve Entegrasyon

HTTPS web paneli (TR/EN/FR, rol duyarlı): durum panosu (süreklilik kipi, kabul/ret/izleme, politika nesli, karar hızı), canlı doğrulama günlüğü, cihazlar, anahtarlar, siteler, dağıtım, merkez HA, süreklilik hazırlığı, sertifika teşhisi, anahtar reçeteleri. SNMPv3 (authPriv) + SIMGENET-NAC-MIB + bildirim; syslog CEF/TLS ile SIEM'e doğrudan; X.733 alarm yönetimi; günlük rapor (JSON/CSV/API, 730 gün saklama); REST API; tek tıkla destek paketi (sırsız). Yedek alma/geri yükleme, imzalı güncelleme, A/B geri dönüş.

Simgenet Ekosistemi ve Üçüncü Taraf Cihazlar

Simgenet SMG-SW anahtar ve SMGOS router: 802.1X authenticator, MAB, dinamik VLAN, Filter-Id, CoA, cihaz-yönetim RADIUS/TACACS+, ortak CA — zorlayan ve karar veren aynı elden. Simgenet GNSS Server: zaman güveni ve zamanlama portu farkındalığı. Simgenet SVP: kurulum kabulü ölçülür — 802.1X/MAB/CoA vektörleri, kapasite ve devralma süresi raporla teslim edilir. Üçüncü taraf anahtar ve erişim noktalarıyla standart RADIUS/TACACS+/CoA; yaygın üreticiler için hazır anahtar reçeteleri.

Ölçek ve Kabul (SVP ile ölçülmüş)

• Tek saha düğümünde 400.000+ karar/gün; kararlar sahada, milisaniye sınıfında.
• Merkez devralma < 5 dk, geri dönüş < 6 dk — 9 sahalı filoda 3 senaryoyla ölçüldü; politika dağıtımı 9 sahaya < 2 dk.
• Merkezsiz çalışma 30 güne kadar; kabul testi SVP ile: 802.1X/MAB/dinamik VLAN/CoA vektörleri (bilinen-PASS / bilinen-FAIL), RADIUS güvenlik (Message-Authenticator, hatalı paket, tekrar saldırısı), TACACS+ komut yetkisi, kapasite ölçek testi, devralma/geri dönüş — kilitlenebilir rapor.

Kullanım Alanları

• Enerji / trafo merkezi: IED, PLC, RTU ve kayıt cihazlarının MAB/EAP-TLS ile kaydı; zamanlama ve koruma portlarının sınıfıyla politika; bölge merkezi + yedek merkez; TACACS+ ile anahtar/router yönetimi; IEC 62443 uyumlu kayıt.
• Raylı sistem / endüstriyel tesis / kamu: istasyon ve tesis ağlarında envanter dışı cihaz reddi, izleme modundan zorlamaya kademeli geçiş, saha düğümüyle yerel süreklilik, merkezden tek politika; kamu ağlarında yönetici erişiminin merkezî kaydı.

Donanım: NAC Merkez, Simgenet SMG-NAC104 donanımında (1U 19" rack) çalışır (Intel® Xeon®, 64 GB'a kadar DDR4, 4 × PCIe Gen3 genişleme); NAC Saha düğümü Simgenet donanımda veya sanal makinede kurulur. Merkez ve saha düğümü aynı imaj, rol kurulumda seçilir. Ayrıntılı özellikler ve referans standartlar için ürün broşürünü (TR/EN) Dokümanlar sekmesinden indirebilirsiniz.