Universal ZTNA

Universal Zero Trust Network Access van Extreme Networks combineert de functies van een Network Access Control (NAC)-systeem met Zero Trust Network Access (ZTNA).

Vraag een demo

Op deze pagina informeert Kappa Data je over wat Universal ZTNA bij Extreme Networks betekent. Op deze pagina laten we zien hoe eenvoudig je Network Access Control (NAC) kunt combineren met Zero Trust Network Access (ZTNA).

UZTNA, combinatie van ZTNA en NAC

Op onze pagina Network Access Control (NAC) hebben we de voordelen en controlemechanismen uitgelegd om de echte identiteit van een gebruiker te controleren en toegang te verlenen tot specifieke delen van het netwerk.

In dit artikel gaan we een stap verder.

Wat als we Zero Trust Network Access (ZTNA) toevoegen aan een NAC-systeem?

Met ZTNA hebben we al de voordelen van toegang tot specifieke applicaties uitgelegd, maar wanneer identiteit wordt dubbel gecontroleerd, beheerd of ingetrokken met een NAC-systeem tegen een lage gebruikersprijs, wordt het echt interessant.

NAC + ZTNA = 3

We zijn in 2024. Cybersecurity is een integraal onderdeel geworden van onze samenleving. Veel bedrijven schakelen daarom voortdurend om hun cybersecurityniveau te verhogen.

Dit jaar staat ook NIS2 voor de deur, dat verschillende kaders definieert waarbinnen een bedrijf moet opereren om te voldoen aan de cybersecuritymaatregelen die door overheden zijn opgelegd.

Dit vormt een grote uitdaging voor netwerk-/beveiligingsingenieurs die omgevingen moeten opzetten zodat iedereen in de organisatie veilig en efficiënt toegang heeft tot de benodigde applicaties, of deze nu on-premises of in de cloud draaien.

Binnen dit connectiviteitscomponent sta je voor twee uitdagingen. Enerzijds: hoe zorg ik ervoor dat mijn gebruikers die op locatie zijn, veilig en geauthenticeerd verbinding maken met het netwerk? Anderzijds: hoe zorg ik ervoor dat mijn gebruikers, waar ze zich ook bevinden (thuis, bij klanten, in een koffiebar, enz.), veilig verbinding kunnen maken met de benodigde applicaties?

Oplossingen zoals Network Access Control (NAC) en Zero Trust Network Access (ZTNA) bestaan al voor deze uitdagingen. Het probleem ligt echter meer in het feit dat dit aparte producten zijn en er geen mogelijkheid is om één uniform beleid te introduceren dat beide uitdagingen oplost en centraal beheerd kan worden.

Omdat verschillende leveranciers dit probleem erkenden, werd een nieuwe term geïntroduceerd: Universal Zero Trust Network Access. Universal ZTNA zorgt ervoor dat er één beleid wordt geïntroduceerd voor gebruikers, ongeacht waar ze zich bevinden.

Universal ZTNA wordt echter door verschillende leveranciers op uiteenlopende manieren gepresenteerd. Sommige leveranciers gaan ervan uit dat je, waar je ook bent, een client instelt die verbinding maakt met een centraal punt (full-tunnel) en dat al het netwerkverkeer door die tunnel gaat.

Centraal wordt al het verkeer geïnspecteerd en verwerkt volgens een set beleidsregels, en je verkeer wordt ook gerouteerd naar het relevante netwerk (IPSec, SaaS, enz.). Andere leveranciers hanteren in plaats daarvan het hierboven besproken principe, waarbij zowel een Cloud NAC als een ZTNA-oplossing voor externe medewerkers wordt aangeboden.

In dit artikel bespreken we de oplossing van Extreme Networks in meer detail.

Extreme Networks heeft onlangs Universal ZTNA toegevoegd aan zijn portfolio. Deze oplossing combineert Cloud NAC voor de campus met ZTNA voor externe medewerkers. Hieronder wordt in detail beschreven hoe de verschillende oplossingen zijn samengesteld en hoe het uniforme beleid precies werkt.

Cloud NAC

Het bovenstaande diagram toont hoe de Cloud NAC correct werkt en welke componenten aanwezig zijn.

Binnen de Cloud NAC zijn er verschillende componenten:

Identity Providers:

Een Identity Provider is nodig om de gebruikers te importeren die de UZTNA-oplossing gaan gebruiken. Binnen Cloud NAC worden deze gebruikt als de backend-authenticatieserver voor 802.1X Radius. Een gebruiker die verbinding maakt met het netwerk (draadloos of bedraad) wordt via de Radius-service geauthenticeerd aan de hand van de inloggegevens die bekend zijn bij de Identity Provider (Entra ID, Google Workspace, On-prem AD).

ExtremeCloud:

Binnen ExtremeCloud zijn er twee applicaties:

ExtremeCloud IQ: De SaaS-netwerkbeheeroplossing van Extreme Networks waarmee switches en access points worden beheerd. Voor deze oplossing configureer je de koppeling tussen LAN/WLAN en de UZTNA Cloud NAC binnen ExtremeCloud IQ.
ExtremeCloud Universal ZTNA: Dit is de UZTNA-applicatie waarin je alle beleidsregels, regels, enz. configureert.

Campus:

Binnen de campus draaien de switches en AP’s die een RADSEC-tunnel naar ExtremeCloud creëren. ExtremeCloud verwerkt de authenticatie en stuurt een reactie terug. Er zijn switches en AP’s die RADSEC rechtstreeks naar ExtremeCloud sturen. Oudere switches en latere 3rd-party switches sturen eerst Radius naar een Radius Proxy die lokaal aanwezig is, en deze stuurt vervolgens RADSEC naar ExtremeCloud.

UZTNA - Applicatie Toegang

De tweede component binnen UZTNA is applicatietoegang. Hiermee geef je externe medewerkers toegang tot applicaties, waar deze zich ook bevinden.

Binnen ExtremeCloud heb je twee applicaties:

ExtremeCloud IQ
Universal ZTNA

Applicatietoegang is ook opgedeeld in twee delen:

Identity Provider: Dit is dezelfde Identity Provider als besproken binnen Cloud NAC. De Identity Provider bevat groepen die je kunt gebruiken in beleidsregels om bepaalde applicaties beschikbaar te maken voor een groep gebruikers.
Public SaaS-applicaties: Dit zijn applicaties die je kunt configureren zodat ze alleen via een UZTNA-verbinding kunnen worden gebruikt. Wanneer een gebruiker verbinding maakt via UZTNA, kan hij de applicatie gebruiken; zonder UZTNA-verbinding wordt toegang geweigerd. Op het moment van schrijven omvatten deze: Mulesoft, Salesforce, Slack, G Suite, Splunk, Github, Atlassian, Dropbox en Zoom.

Remote Access:
Dit is een gebruiker met de UZTNA-agent op zijn apparaat waarmee hij verbinding maakt met ExtremeCloud. Dit kan agent-based of mogelijk ook agentless zijn.

ExtremeCloud:
Dit is de Universal ZTNA-applicatie waar de beleidsregels worden gedefinieerd. De Secure Tunnel Relay zorgt ervoor dat de binnenkomende verbindingen via de agents naar de juiste applicaties worden gestuurd.

IaaS (Infrastructure as a Service): Applicaties die draaien in de Public Cloud (AWS, Azure, Google Cloud).
Data Center: Applicaties die draaien in een Private Data Center (een serviceconnector is geïnstalleerd op de hypervisor).
Campus: Applicaties die draaien op de campus (een serviceconnector is geïnstalleerd in het campusnetwerk).

UZTNA Policies

In de vorige secties hebben we connectiviteit besproken. Uiteraard is het belangrijkste aspect van een ZTNA-oplossing het definiëren van beleidsregels. Hieronder bespreken we stap voor stap hoe je Universal ZTNA van Extreme Networks kunt instellen:

Extreme Universal ZTNA flow

Stap 1

Home scherm

Wanneer we inloggen op ExtremeCloud Universal ZTNA, zien we een algemeen scherm dat ons inzicht geeft in de huidige situatie. Hier kun je de status van de applicaties, serviceconnectors en Radsec-proxies bekijken, samen met het algemene gebruik van de applicaties die via Universal ZTNA beschikbaar zijn gesteld.

Onboarding

Via "Onboarding" krijg je een wizard waarmee je beleidsregels kunt genereren en de onderliggende NAC- en applicatieconfiguratie kunt uitvoeren. In dit geval kiezen we voor "Secure Hybrid Access" omdat we een beleid willen introduceren dat zowel van toepassing is op onze medewerkers op locatie als op externe medewerkers.

Definitie IDP

We hebben momenteel nog geen IdP gedefinieerd, dit zullen we hier doen. We kunnen kiezen uit ExtremeCloud Universal ZTNA (dit is wanneer je geen IdP hebt, maar dit geldt voorlopig alleen voor Applicatietoegang en niet voor Cloud NAC). In dit geval kiezen we voor Entra ID.

Integratie Entra ID

Extreme UZTNA, onboarding stap 1 Entra-id integratie

Vervolgens krijgen we het scherm om de integratie met Entra ID in te stellen. We maken een App-registratie binnen Entra ID en configureren deze met de juiste waarden, zodat er een verbinding is tussen Entra ID en ExtremeCloud UZTNA. Omdat Cloud NAC geen MFA ondersteunt, moeten we een Conditional Access-regel binnen Entra ID maken die MFA omzeilt voor die specifieke applicatie. Je kunt vervolgens een SCIM-synchronisatie instellen door een Enterprise Application in Entra ID te maken, zodat alle groepen en gebruikers automatisch worden gesynchroniseerd tussen UZTNA en Entra ID.

Importeren gebruikers met SCIM

Extreme UZTNA, onboarding stap 1, gebruikers SCIM

Wanneer SCIM is voltooid, zie je dat de gebruikers succesvol zijn geïmporteerd.

Toestellen toevoegen

Nu kunnen we apparaten toevoegen. Apparaten zijn MAC-adressen die we willen authenticeren via de Cloud NAC met MAC-gebaseerde authenticatie.

Definitie Gebruiker Groepen

Extreme UZTNA, onboarding stap 1, gebruikersgroepen

Vervolgens kunnen we gebruikersgroepen aanmaken waarin onze gebruikers worden geplaatst.

Definitie Toestel Groepen

Extreme UZTNA, onboarding stap 1, toestel groepen

En tot slot apparaategroepen waarin we onze apparaten plaatsen.

Stap 2

Bronnen toevoegen

Nu is het tijd om bronnen toe te voegen. Je ziet direct dat de Sites van ExtremeCloud IQ zijn geïmporteerd in ExtremeCloud Universal ZTNA.

Serviceconnector implementeren

Extreme UZTNA, onboarding stap 2 serviceconnectoren implementeren

Vervolgens kunnen we beginnen met het implementeren van een serviceconnector. Een serviceconnector is een stukje software dat ervoor zorgt dat er een tunnel is tussen het netwerk waarin de applicatie die je beschikbaar wilt maken zich bevindt en ExtremeCloud.

Naam kiezen van Service Connector

Extreme UZTNA, onboarding stap 2, kiezen van service connector

Je kiest een naam voor de serviceconnector die je wilt implementeren.

Kies Implementatie methode

Vervolgens kun je de implementatiemethode kiezen. Je kunt de serviceconnector uitvoeren in een Docker-container, als een pakket op een Linux-machine of als een dedicated virtuele machine via een OVA die wordt geleverd door Extreme Networks. Omdat Cloud NAC geen MFA ondersteunt, moeten we een Conditional Access-regel binnen Entra ID maken die MFA omzeilt voor die specifieke applicatie. Je kunt vervolgens een SCIM-synchronisatie instellen door een Enterprise Application in Entra ID te maken, zodat alle groepen en gebruikers automatisch worden gesynchroniseerd tussen UZTNA en Entra ID.You can then set up a SCIM sync by creating an Enterprise Application in Entra ID so that all groups and users are automatically synced between UZTNA and Entra ID.

Status Service Connector

Wanneer het is geïnstalleerd, zie je dat de status op "Up" staat.

Installatie Radsec

Extreme UZTNA, onboarding stap 2, radsec installatie

Nu kunnen we optioneel de Radsec proxy installeren.

Commando Radsec voor Linux

Extreme UZTNA, onboarding stap 2, implementatie op Linux

Wanneer je het installeert, zie je ook het commando dat je kunt gebruiken op een Linux-machine om de Radsec-proxy te implementeren.

Succesvolle implementatie Radsec

Extreme UZTNA, onboarding stap 2, status implementatie Linux

Opnieuw zien we dat het met succes is geïmplementeerd en in de "running state" verkeert.

CloudNAC & UZTNA connectie

Extreme UZTNA, onboarding stap 2, check AP en switch verbindingen

Binnen de apparaten zien we de AP's en/of switches die momenteel in aanmerking komen om te communiceren met de Cloud NAC. Dit is ook een synchronisatie tussen ExtremeCloud IQ en UZTNA. Momenteel communiceren de AP's nog via een Radsec-proxy, en daarom is de SSID geconfigureerd met de Radsec-proxy als de Radius-server.

Succesvolle connectie

Extreme UZTNA, onboarding stap 2, check succesvolle verbinding tussen AP en switches

Controleer de verbinding tussen Extreme Cloud NAC en UZTNA

Stap 3

Definitie Applicaties

In de volgende stap kunnen we de applicaties definiëren die we via UZTNA beschikbaar willen maken.

Keuze van Site Engine

Extreme UZTNA, onboarding stap 3, site engine setup

In dit geval zullen we de Site Engine beschikbaar maken via UZTNA.

Applicatie & monitoring beschikbaar maken

De applicatie is toegevoegd en ook monitoring voor uptime.

Toevoegen van Applicatie aan de groep

Extreme UZTNA, onboarding stap 3, site engine applicaties verbinden aan de groep

We voegen de applicatie toe aan een applicatiegroep. Vervolgens kunnen we deze groep verder gebruiken in de beleidsregels.

Stap 4

Definitie Hybrid Policy

Nu is het tijd om een hybride beleid te definiëren. We zullen er nu een maken specifiek voor de groep Solution Engineers.

Hierin definieer je een aantal zaken:

Naam van het beleid
Gebruikersgroep
Apparategroep
Applicatiegroep
Netwerk (VLAN of Fabric I-SID)
Netwerkbrongroep (bepaalde IP/subnet/poortcombinaties die moeten worden geblokkeerd)

Toevoegen Hybrid Policy

Extreme UZTNA, onboarding stap 4, toevoegen van Hybrid beleid

Extreme UZTNA, onboarding stap 4, condities hybrid beleid

Toevoegen van Hybrid Beleid en toepassen van condities

Toevoegen Hybrid Beleid

Extreme UZTNA, onboarding stap 4, hybrid beleid, creatie van service connector

Extreme UZTNA, onboarding stap 4, hybrid beleid, creatie van netwerk service groep

Hiermee is het eerste hybride beleid gecreëerd, een serviceconnector en Radsec-proxy geïnstalleerd, een eerste applicatie aangemaakt en Cloud NAC-regels toegevoegd.

Condities

Er is ook een vorm van Conditional Access voor Cloud NAC ingebouwd in UZTNA. Op deze manier kan toegang worden geweigerd of toegestaan op basis van:

Locatie
Tijd
Authenticatie (EAP-TLS, EAP-TTLS, MBA, …)

Apparaathouding

Toegang tot applicaties kan worden geweigerd als de agent merkt dat bepaalde zaken niet in orde zijn.

Mobile Device Managament (MDM)

Er is ook een integratie met Microsoft Intune, zodat je alleen compliant apparaten toegang kunt geven via UZTNA

Switch Configuratie

Binnen ExtremeCloud IQ kun je de optie “Instant Secure Port” selecteren om de switchpoort een “NAC”-poort te maken. Op deze manier worden Radius-verzoeken op die poort doorgestuurd naar UZTNA

Veel gestelde vragen

Bekijk hier onze vragen en antwoorden voor het organiseren van een Security Operations Center en waarom je het zou moeten gebruiken voor het voorkomen van cyberincidenten. Als je meer wilt weten over Managed Services die wij aanbieden, aarzel dan niet om contact met ons op te nemen.

Contacteer ons

Hoe ondersteunt Extreme UZTNA de naleving van cyberveiligheidsregels?
Extreme UZTNA ondersteunt de naleving van cyberveiligheidsregels door gedetailleerde toegangscontroles, continue monitoring en uitgebreide rapportagemogelijkheden te bieden. Dit helpt organisaties te voldoen aan eisen voor gegevensbescherming, toegangsbeheer en auditmogelijkheden, die vaak worden voorgeschreven door regelgeving zoals de AVG, HIPAA en de NIS 2-richtlijn. Door strikte beveiligingsbeleid af te dwingen en uitgebreide logboeken van toegangsactiviteiten bij te houden, helpt ZTNA organisaties om naleving van deze regelgeving aan te tonen.
Hoe verschilt Extreme UZTNA van de traditionele netwerkbeveiliging?
Extreme UZTNA verschilt van traditionele netwerkbeveiliging door de verschuiving van een op de perimeter gebaseerd beveiligingsmodel naar een model dat beveiligingscontroles afdwingt op individueel gebruikers- en apparaatsniveau. In plaats van brede toegang te verlenen op basis van de netwerklocatie (bijv. binnen de bedrijfsfirewall), vereist ZTNA voortdurende verificatie van identiteit en apparaatgezondheid, waarbij het principe van minimale privileges wordt toegepast om alleen toegang te verlenen tot specifieke resources.
Waarom is Extreme UZTNA belangrijk voor het verbeteren van cyberbeveiliging?
Extreme UZTNA is belangrijk voor het verbeteren van cybersecurity omdat het:
- Het aanvalsoppervlak verkleint: door de toegang te beperken tot alleen de noodzakelijke bronnen en gebruikers en apparaten continu te verifiëren, minimaliseert ZTNA potentiële toegangspunten voor aanvallers.
- Zijwaartse beweging voorkomt: zelfs als een aanvaller initiële toegang krijgt, voorkomt ZTNA dat ze zich zijwaarts over het netwerk verplaatsen door strikte toegangscontroles voor elke bron af te dwingen.
- Aanpasbaar aan moderne IT-omgevingen: ZTNA is ontworpen om toegang tot zowel on-premises als cloudgebaseerde applicaties te beveiligen, waardoor het ideaal is voor hybride en externe werkomgevingen.
- Verbetert incidentrespons: met gedetailleerde controle en zichtbaarheid over toegangsaanvragen kunnen beveiligingsteams snel verdachte activiteiten identificeren en erop reageren.
Waarom zouden organisaties Extreme UZTNA moeten overwegen als onderdeel van hun cybersecuritystrategie?
Organisaties moeten overwegen om Extreme UZTNA te implementeren als onderdeel van hun cybersecuritystrategie, omdat het een schaalbare, flexibele en robuuste beveiligingsoplossing biedt die zich aanpast aan moderne bedreigingen en IT-omgevingen. Door ZTNA te implementeren, kunnen organisaties:
- De beveiliging in alle omgevingen verbeteren: Of het nu on-premises, in de cloud of in hybride opstellingen is, ZTNA zorgt voor consistente beveiliging.
- De veerkracht tegen geavanceerde bedreigingen vergroten: Continue verificatie en het principe van de minste privileges verminderen het risico op inbreuken en de impact van potentiële beveiligingsincidenten.
- De gebruikerservaring verbeteren: Met contextbewuste toegangscontroles biedt ZTNA veilige toegang zonder afbreuk te doen aan de bruikbaarheid, en ondersteunt het de productiviteit in externe en mobiele werknemers.
- Toekomstbestendige beveiliging: Nu organisaties steeds vaker cloudservices en extern werk implementeren, biedt ZTNA een beveiligingsframework dat met deze trends meegroeit en zorgt voor bescherming op de lange termijn.
Wat is Extreme Universal Zero Trust Network Access (ZTNA)?
Extreme Universal Zero Trust Network Access (UZTNA) is een cybersecurityoplossing die het Zero Trust-beveiligingsmodel implementeert, dat ervan uitgaat dat geen enkele gebruiker of apparaat standaard vertrouwd mag worden, ongeacht of deze zich binnen of buiten de netwerkperimeter bevindt. Deze oplossing verifieert continu de identiteit van gebruikers en de beveiligingshouding van apparaten voordat toegang tot applicaties en gegevens wordt verleend, om ervoor te zorgen dat de toegang is gebaseerd op strikte beveiligingsbeleidsregels.

Contacteer ons voor meer info

Ben je benieuwd hoe UZTNA een belangrijke rol kan spelen in de beveiliging bij jouw klanten? Neem contact met ons op voor een demo via de onderstaande knop

Meer informatie aanvragen