Kiểm thử NAC 802.1X và MAB: reauthentication, failover và policy

802.1X điều khiển truy cập qua port với supplicant, authenticator và authentication server. MAB thường được dùng cho thiết bị không có supplicant nhưng danh tính dựa trên MAC yếu hơn certificate. Một Access-Accept không chứng minh endpoint đã vào đúng segment hay ACL được áp dụng.

Các lỗi nguy hiểm gồm fallback MAB ngoài ý muốn, critical VLAN quá rộng khi RADIUS mất, dACL cũ còn tồn tại sau đổi role và CoA không thu hồi phiên. Do đó test plan phải gửi traffic positive/negative sau mỗi quyết định policy.

Topology gồm endpoint emulator hoặc nhiều endpoint thật, access switch/WLAN controller, cặp RADIUS/policy node, PKI/identity store, DHCP/DNS và resource đích. Capture RADIUS trong lab có kiểm soát; log identity và enforcement phải cùng time source.

Tập test cần user/device hợp lệ, certificate hết hạn/thu hồi, MAC không đăng ký, printer/IoT dùng MAB, guest, thiết bị posture không đạt và endpoint đổi port. Không dùng dữ liệu định danh production trong lab nếu không cần thiết.

Ghi EAP method, TLS/certificate policy, RADIUS timeout/retry, server order, reauthentication timer, host mode, violation action, MAB order, guest/critical VLAN, CoA và accounting. Khóa firmware switch, NAC release, certificate chain và đồng hồ.

• Biến: Endpoint scale · Mức thử: 1, 100, 1.000+ · Rủi ro: RADIUS/CPU saturation
• Biến: Reauth timing · Mức thử: đồng bộ, jittered · Rủi ro: Reauthentication storm
• Biến: Server failure · Mức thử: primary, path, cả cụm · Rủi ro: Fail policy sai
• Biến: EAP identity · Mức thử: user/device/cert · Rủi ro: Mapping nhầm role
• Biến: MAB fallback · Mức thử: allow/deny · Rủi ro: Bypass 802.1X
• Biến: CoA · Mức thử: role/VLAN/quarantine · Rủi ro: State cũ tồn tại

KPI gồm authentication success/failure theo loại, RADIUS response time p95/p99, time-to-network, failover time, retry volume, concurrent sessions, policy accuracy và session accounting completeness. Đo DHCP/DNS/application reachability sau authorization để xác nhận quyền thực tế.

Bằng chứng gồm packet capture EAPOL/RADIUS đã xử lý an toàn, policy decision log, switch session detail, VLAN/dACL và traffic probe. Mỗi case cần expected result, actual result và mã lý do; không chỉ screenshot “Connected”.

• Danh tính/trạng thái: Managed device + cert hợp lệ · Kết quả mong đợi: Production role · Traffic phải cho: DNS, app được phép · Traffic phải chặn: Mgmt trái phép
• Danh tính/trạng thái: Cert hết hạn/thu hồi · Kết quả mong đợi: Deny/quarantine · Traffic phải cho: Remediation nếu policy · Traffic phải chặn: Production
• Danh tính/trạng thái: Printer đăng ký MAB · Kết quả mong đợi: IoT/printer role · Traffic phải cho: Print/DNS/NTP · Traffic phải chặn: User/server segment
• Danh tính/trạng thái: MAC lạ · Kết quả mong đợi: Deny/guest · Traffic phải cho: Portal nếu có · Traffic phải chặn: Internal resource
• Danh tính/trạng thái: Posture fail · Kết quả mong đợi: Quarantine · Traffic phải cho: Update/remediation · Traffic phải chặn: Sensitive app
• Danh tính/trạng thái: RADIUS primary down · Kết quả mong đợi: Secondary/policy định trước · Traffic phải cho: Theo thiết kế · Traffic phải chặn: Không tự mở rộng quyền

Pha A xác thực từng danh tính. Pha B kiểm tra authorization bằng traffic. Pha C tăng endpoint và đồng bộ reauth. Pha D gây lỗi RADIUS, identity store và network path. Pha E thử CoA, certificate rollover và recovery.

• Đồng bộ thời gian, chụp cấu hình và certificate chain.
• Chạy positive/negative EAP cases.
• Xác nhận MAB chỉ dùng cho nhóm được phép.
• Test traffic được phép/bị chặn trên từng role.
• Tăng endpoint theo bậc và đo time-to-network.
• Kích hoạt reauth đồng thời rồi thêm jitter.
• Ngắt primary RADIUS và đường tới identity store.
• Gửi CoA đổi role/quarantine/terminate.
• Thử cert hết hạn, revoke và rollover trong lab.
• Phục hồi; kiểm tra stale session và accounting.

• Policy 802.1X/MAB có ownership rõ.
• MAB không là fallback mặc định cho mọi endpoint.
• Guest/critical VLAN có quyền tối thiểu.
• RADIUS timeout/retry và secondary đã thử.
• Reauth timer có jitter hoặc phân bố hợp lý.
• CoA thu hồi state cũ đúng hạn.
• Certificate expiry/revocation đã kiểm chứng.
• Accounting có start/stop/interim theo nhu cầu.
• Log endpoint–switch–RADIUS cùng thời gian.
• Runbook có rollback không mở rộng quyền.

Hành vi thay đổi theo supplicant OS, authenticator firmware, NAC release và EAP method. Một case Windows không đại diện printer, phone, IoT hoặc WLAN. MAB xác minh địa chỉ khai báo chứ không tạo danh tính mạnh như certificate.

Load test phải tách giới hạn endpoint emulator, switch và RADIUS. Kết quả lab không tự chứng minh capacity production nếu latency tới identity store, PKI, logging hoặc database khác.

• *Supplicant: Phần mềm endpoint tham gia 802.1X.
• *Authenticator: Switch/AP kiểm soát port và chuyển EAP.
• *RADIUS: Giao thức AAA giữa authenticator và server.
• *MAB: Xác thực dựa trên MAC cho thiết bị phù hợp.
• *CoA: Change of Authorization thay đổi phiên đang hoạt động.
• *dACL: ACL tải động theo quyết định policy.