《身分管理成局》

網路技術的發展日新月異，最重要的原則是為了解決網路環境所面臨最直接迫切的問題，筆者最近在不同的國家地區發現網管經理有個急欲解決的問題，在此提出來與讀者分享。

<作者>

A10 Networks亞太區董事總經理韋嘉

上網控管機制、認證過程日趨重要，從企業內的觀點而言，不同的區域網(LAN)用戶可來面對不同的上網機制，各有不同的認證方式，卻也帶來不同的問題，以無線而言，經過不斷的發展，目前企業級別無線網路技術皆可以直接認證用戶端，加上足夠的加密保護如WPA2等，所以不是允許的使用者是無法進入企業內無線網路，傳統撥接及VPN用戶也有相對應機制，目前最大考量點在於有線上網機制。在乙太網的世界哩，有線認證通常是802.1X，但是問題也發生在這裡，802.1X僅能認證到端口，無法認證到最終用戶層級，所以對於使用DHCP動態分配IP地址的同時，如果又缺乏AAA機制，無法有效管理用戶上網，在公司內部，常會發生這樣的情景。又，有訪客時，如果在會議室有連接至乙太網路端口，責訪客可以長驅直入內網，網管人員基本上無從管理，造成安全上的一大盲點，如果造成資安危機，事後亡羊補牢也幫助不大。

筆者所看到的現象是目前許多網管人員已自發性警覺這一問題的嚴重性，加強上網認證身分控制，同時希望一步步簡化認證服務器的管理，將撥接、有線、無線及VPN集中在一個高效能的認證服務器上，藉由DHCP及Radius的控管機制，確實做好認證、授權、計費(Authentication, Authorization, Accounting, AAA)的工作，將大幅度的改善資安，同時如果能有訪客認證機制，亦將解決資安盲點的問題。

目前針對上述問題，各主流網路設備廠商開始思考這一問題，紛紛加強上網認證、身份控管方案，亦能符合更嚴格法規的規範，例如在美國已全面實施的沙賓法案。針對訪客上網機制，目前在業界有一個趨勢即是提供了所謂「Authenticated DHCP」的機制，當接入有線乙太網路端口的同時，先給定一個暫時性IP，並連結至認證的頁面，訪客可以在訪問企業時從前臺取得當日被授權的臨時帳號及密碼，當訪客鍵入臨時訪客帳號、密碼，通過認證程序之後，DHCP才提供一個真正的動態有效IP地址使用，如此一來，如果日後有任何資安上的回溯及釐清責任，均有據可考，這樣的認證機制改良，能改善現有AAA機制的不足。

另外針對企業內部資安問題的回溯問題，目前最大的挑戰就是無法追查過往IP地址的使用記錄，所以造成無法有效控管重大安全事件的追蹤。目前市場上針對此一問題，有先進的解決方案能夠將每日IP地址及用護身份做一對應報表並搭配時間資料寫成日誌報表，儲存Storage設備當中，並加上數字簽章不可更改，日後當IT網管人員發現有重大資安事件的同時，可以從Storage設備中重新下載，可以還原當時網路使用環境，對於帳戶管理的稽核追蹤、員工網路連接責任釐清做有效的內部控制。目前許多資安解決方案均針對外部的入侵，反而對內部員工上網機制、合法帳戶及合法網路連接等重點缺乏有效率的機制，造成不是大量帳戶管理工作就是無法有效控制，目前這方面是企業網路面臨急迫的問題。

再來，筆者目前看到另一個瓶頸問題在於internet的快速發展，頻寬的使用大幅度增加，目前當紅的YouTube已經是在下載Video Clip的層級，與以前的下載照片jpeg檔案而言，頻寬的要求有更上層樓，目前有一個常發生的問題在於大多的企業用戶有著大容量寬頻Layer3路由器、Layer2交換機，快速的伺服器及儲存設備，但是在伺服器前端的Layer4交換機(Switch)無法跟上相匹配的效能，造成資料進出成為一大問題，這對於大的入口網站(Portal)、線上遊戲、ISP、IDC、電子商務交易網站及大量需要資料儲存的企業而言，形成了潛在實質的限制，這一限制事實上也是限制了商機，internet的應用日形多元化及普及化，企業內部伺服器的處理能力如果被限制住無法發揮出來將會直接影響到商務的拓展，目前在這一個問題上，筆者看到了高效能Layer4至 Layer7交換機市場的需求，同時這部分的網路設備市場也在快速穩定的成長當中。市場上已有的技術大多以PC為基礎搭配軟體成為前一代的Layer4交換機解決方案，但是隨著企業內網的提升，目前已進入Gigabit Ethernet的技術，在可預期的將來，會逐步邁入10Gigabit Ethernet網路技術水準，傳統的PC based Layer4交換機將無法負荷，所以打造新一代高效能、高穩定及高擴充性的Layer4交換機也將會是一個新的網路商機。現在市場已逐漸有這樣的產品解決方案問世，當然以筆者的經驗，這將考驗網路設備商的技術能力，如何做到接近線速、方便使用Scripting機制、HA設計的彈性以確保資料進出存取的不中斷，都是使用者關注的重點。

總結前面所提及的幾項急待解決的問題，統一集中上網認證及身份控管，訪客上企業內網認證、IP及用戶身份登錄日誌以備日後回溯釐清責任；以及高效能Layer4交換機以確保即時有效的資料存取，以拓展商機等等，均是筆者目前所觀察到的課題，有別於前幾年的網路路由器、Layer2交換機、防火牆，上述的問題是目前資安建置上新的著眼點。各位讀者亦不妨思考回想是否上述情景亦是您目前所遭遇的當務之急？