NAC (Network Access Control)

Definisi

Network Access Control (NAC) adalah solusi keamanan yang menegakkan kebijakan akses jaringan berdasarkan identitas pengguna, perangkat, dan posture keamanan perangkat. NAC memastikan bahwa hanya perangkat yang compliant dan pengguna yang terautentikasi yang dapat mengakses sumber daya jaringan.

Pre-Admission vs Post-Admission

NAC memiliki dua fase kontrol akses utama:

Pre-Admission Control

Kontrol akses sebelum perangkat diizinkan masuk ke jaringan. Tahapan:

Discovery - Identifikasi perangkat yang mencoba terhubung
Authentication - Verifikasi identitas pengguna/perangkat
Posture Assessment - Inspeksi status keamanan perangkat
Enforcement - Beri akses penuh, terbatas, atau karantina

Contoh: Pengunjung mencoba konek WiFi - diminta login portal, diperiksa antivirus, lalu diberikan akses ke internet saja (tidak ke internal network).

Post-Admission Control

Kontrol akses yang berkelanjutan setelah perangkat masuk jaringan. Perangkat terus dimonitor dan kebijakan dapat berubah dinamis jika terjadi perubahan posture.

Contoh: Laptop dengan endpoint protection terbaru mendapatkan akses penuh. Begitu antivirus mati, NAC otomatis memindahkan laptop ke VLAN karantina tanpa interupsi koneksi.

Aspek	Pre-Admission	Post-Admission
Waktu	Sebelum akses diberikan	Setelah akses diberikan
Pemeriksaan	One-time pada koneksi	Berkala dan real-time
Respon	Izinkan/tolak	Revoke akses, pindahkan VLAN
Use case	Guest access, onboarding	Compliance monitoring, threat response

802.1X, EAP, dan RADIUS

802.1X

Standar IEEE untuk port-based network access control. Bekerja di layer 2 (data link) - perangkat tidak mendapatkan alamat IP sampai berhasil autentikasi.

Komponen 802.1X:

Supplicant: Klien yang meminta akses (software di perangkat)
Authenticator: Switch atau access point yang menegakkan kontrol akses
Authentication Server (AS): Server RADIUS yang memverifikasi kredensial

EAP (Extensible Authentication Protocol)

Framework autentikasi dengan berbagai metode:

EAP-TLS: Menggunakan sertifikat digital (mutual authentication) - sangat aman
EAP-TTLS: Tunnel TLS dengan autentikasi di dalam tunnel
PEAP: Protected EAP - populer di lingkungan Windows/AD
EAP-MD5: Hanya hash password (tidak aman, tidak dianjurkan)

RADIUS (Remote Authentication Dial-In User Service)

Protokol untuk autentikasi, otorisasi, dan akuntansi (AAA). Dalam konteks NAC:

Switch/AP mengirim kredensial ke RADIUS
RADIUS memvalidasi dan mengembalikan kebijakan akses
RADIUS dapat mengirim instruksi RADIUS CoA (Change of Authorization) untuk perubahan akses dinamis

Guest Access

NAC menyediakan akses untuk tamu/pengunjung dengan kontrol ketat:

Captive Portal: Tamu membuka browser, diarahkan ke halaman login
Self-registration: Tamu mendaftar dengan informasi kontak + menerima kode OTP via SMS/email
Sponsor-based: Karyawan mensponsori akses tamu
Time-limited: Akses otomatis kedaluwarsa setelah jangka waktu tertentu
Network segmentation: Tamu diisolasi di VLAN guest - hanya akses internet, tanpa akses ke internal network

Posture Assessment

NAC memeriksa kesehatan perangkat sebelum memberikan akses:

Pemeriksaan Umum:

Antivirus: Apakah terinstal? Apakah database signature terbaru? Apakah real-time protection aktif?
Patch management: Apakah OS fully patched? Apakah critical security update terinstal?
Firewall: Apakah host firewall aktif?
Disk encryption: Apakah hard drive terenkripsi (BitLocker, FileVault)?
Software blacklist: Apakah ada software ilegal atau berbahaya terinstal?

Respon Posture:

Compliant: Akses penuh ke jaringan
Non-compliant (remediable): Akses terbatas + portal remediasi (download patch, update antivirus)
Non-compliant (critical): Karantina total di quarantine VLAN
Unknown: Akses minimal sampai inspeksi selesai

Isolation (Quarantine VLAN)

Quarantine VLAN adalah segmen jaringan terisolasi untuk perangkat yang:

Gagal posture assessment
Terdeteksi terinfeksi malware
Tidak memiliki kredensial valid
Tidak dikenal (rogue device)

Karakteristik Quarantine VLAN:

Akses terbatas ke server remediasi (patch server, AV update server)
Tidak ada akses ke jaringan produksi
Biasanya traffic terbatas ke DHCP dan DNS
Difilter dengan ACL ketat
Integrasi dengan SIEM untuk alerting

Implementasi dengan Cisco ISE

Cisco Identity Services Engine (ISE) adalah platform NAC paling banyak diadopsi di enterprise:

Profiler: Identifikasi perangkat berdasarkan MAC OUI, DHCP fingerprint, HTTP user-agent
pxGrid: Pertukaran konteks keamanan real-time dengan tools lain (firewall, SIEM)
TrustSec: Security Group Tag (SGT) untuk policy enforcement berbasis identitas
BYOD onboarding: Alur kerja self-service untuk perangkat pribadi
Guest management: Portal tamu dengan sponsorship workflow

Implementasi dengan PacketFence

PacketFence adalah NAC open-source gratis yang mendukung:

802.1X (EAP-TLS, PEAP)
Captive portal (konten kustom, sponsorship)
VLAN assignment dinamis
Rogue DHCP detection
VPN enforcement
Billing/registration module
Integrasi dengan Active Directory, LDAP, dan RADIUS

PacketFence cocok untuk organisasi dengan anggaran terbatas - institusi pendidikan, UKM, dan laboratorium riset.

Kesimpulan

NAC adalah komponen kritis dalam strategi zero trust dan network defense. Dengan mengotentikasi setiap perangkat dan memeriksa posture keamanan secara berkelanjutan, NAC mengurangi risiko dari perangkat yang tidak aman, perangkat tak dikenal, dan ancaman internal.