معرفی NAC (کنترل دسترسی شبکه) و جایگاه و ضرورت آن در شبکه های سازمانی

توضیح کلی درباره NAC (کنترل دسترسی شبکه)، جایگاه آن در معماری سازمانی و ضرورت پیاده‌سازی آن

به همراه معرفی بازیگران اصلی حوزه NAC

مقایسه ویژه و کامل تر Cisco ISE و HPE Aruba ClearPass

تلاش شده با مطالعه این مقاله، حتی اگر با مفاهیم امنیت شبکه آشنا نباشید، تصویر واضحی از ارزش NAC به دست آورید.

---

NAC چیست؟ یک تعریف ساده

NAC مخفف Network Access Control به معنای “کنترل دسترسی به شبکه” است. اگر بخواهیم خیلی ساده بگوییم، NAC یک دربان هوشمند برای شبکه سازمانی شماست.

تصور کنید شبکه سازمان شما یک ساختمان امنیتی است:

• بدون NAC: هر کسی (کارمند، مهمان، یا حتی یک هکر) با هر دستگاهی (لپ‌تاپ شخصی آلوده، تلفن همراه، یا دستگاه اینترنت اشیا) بتواند به راحتی وارد ساختمان شود و به تمام اتاق‌ها (سرورها، دیتابیس‌ها و اطلاعات محرمانه) دسترسی پیدا کند.

• با NAC: دربانی وجود دارد که قبل از ورود، از هر شخص و دستگاهی سه سوال می‌پرسد:

  1. تو کیستی؟ (هویت کاربر و دستگاه)

  2. آیا سالم هستی؟ (آیا آنتی‌ویروس به‌روز دارد؟ آخرین وصله امنیتی نصب شده؟)

  3. اجازه داری کجا بروی؟ (فقط به اینترنت دسترسی داشته باش یا به سرور حسابداری هم وصل شوی؟)

و بر اساس پاسخ‌ها، اجازه ورود کامل، ورود محدود، قرنطینه (برای رفع آلودگی) یا رد کامل ورود را صادر می‌کند.

به عبارت فنی، NAC مجموعه‌ای از پروتکل‌ها (مثل 802.1X)، سیاست‌ها و نرم‌افزارهاست که:

• دستگاه‌های متصل به شبکه (سیمی، بی‌سیم، VPN) را شناسایی (Profiling) می‌کند.

• سلامت امنیتی آنها را بررسی (Posture Assessment) می‌کند.

• سطح دسترسی آنها را بر اساس هویت کاربر، نوع دستگاه و انطباق با سیاست‌ها تعیین (Policy Enforcement) می‌کند.

---

جایگاه NAC در معماری امنیت شبکه سازمانی

در معماری سنتی امنیت شبکه (مبتنی بر فایروال و مرز دفاعی)، معمولاً تمرکز روی ترافیک ورودی و خروجی از شبکه (شمال–جنوب) بود. اما NAC جایگاه خود را در دسترسی داخلی به شبکه (شرق–غرب) پیدا کرده است.

به طور مشخص، NAC پل ارتباطی بین لایه ۲ (دسترسی شبکه) و لایه امنیت است. جایگاه آن را می‌توان در این مدل لایه‌ای دید:

لایه امنیتی	وظیفه اصلی	نقش NAC
لایه مرزی (Perimeter)	فایروال، IPS، Web Filter	NAC در این لایه نقشی ندارد، اما می‌تواند به فایروال خبر دهد که “این دستگاه آلوده است” تا آن را ببندد.
لایه دسترسی (Access)	سوئیچ‌ها، اکسس پوینت‌ها، VPN	NAC در این لایه فرماندهی می‌کند. اینجا است که تصمیم می‌گیرد پورت سوئیچ باز شود یا بماند.
لایه هویت (Identity)	Active Directory، LDAP، IAM	NAC با این لایه ادغام می‌شود تا بداند کاربر چه نقشی دارد (مدیر، کارمند عادی، مهمان).
لایه پایانه (Endpoint)	آنتی‌ویروس، پچ مدیریت، EDR	NAC از این لایه جویا می‌شود: “آخرین بروزرسانی امنیتی نصب شده؟ آیا آنتی‌ویروس فعال است؟“

جایگاه استراتژیک NAC: امروزه با گسترش حاشیه امنیت متغیر (Zero Trust)، NAC دیگر یک ابزار لوکس نیست، بلکه یکی از پایه‌های پیاده‌سازی معماری اعتماد صفر محسوب می‌شود. در مدل Zero Trust، فرض بر این است که “هیچکس و هیچچیز ذاتاً قابل اعتماد نیست” و NAC دقیقاً همین مفهوم را در لحظه اتصال به شبکه پیاده می‌کند.

---

ضرورت NAC در شبکه‌های سازمانی (چرا به آن نیاز داریم؟)

شاید با خود بگویید: “ما فایروال و آنتی‌ویروس داریم، دیگر NAC چه ضرورتی دارد؟” پاسخ در شکاف‌های امنیتی شبکه‌های مدرن نهفته است. در اینجا ۵ ضرورت حیاتی NAC را بررسی می‌کنیم:

۱. جلوگیری از ورود دستگاه‌های آلوده و غیرمجاز (BYOD)

واقعیت امروز: کارمندان لپ‌تاپ شخصی، تبلت و گوشی خود را به شبکه سازمان وصل می‌کنند. این دستگاه‌ها ممکن است آلوده به بدافزار باشند یا وصله امنیتی نداشته باشند. NAC قبل از اتصال، سلامت آنها را بررسی کرده و در صورت عدم انطباق، دستگاه را به یک شبکه قرنطینه (Quarantine) هدایت می‌کند تا اصلاح شود.

۲. بخش‌بندی پویا و کمینه کردن آسیب (Micro-segmentation)

در شبکه‌های سنتی، معمولاً همه کارمندان یک VLAN مشترک داشتند. اگر یک دستگاه در آن VLAN آلوده می‌شد، بدافزار به راحتی در کل VLAN پخش می‌گردید. NAC می‌تواند به هر دستگاه (حتی دو دستگاهی که پشت یک سوئیچ هستند) یک برچسب امنیتی اختصاصی بدهد و سطح دسترسی آن را محدود کند. مثلاً دستگاه بخش فروش فقط به سرور CRM دسترسی داشته باشد و به سرور منابع انسانی هرگز.

۳. شفافیت کامل (Visibility) در برابر دستگاه‌های ناشناس (IoT/OT)

آیا می‌دانید چه دستگاه‌هایی به شبکه شما وصل هستند؟ چاپگر، دوربین مداربسته، ترموستات هوشمند، دستگاه پوز، یا حتی یک رزبری‌پای کوچک که در اتاق کنفرانس جاسازی شده؟ NAC می‌تواند این دستگاه‌ها را بر اساس اثر انگشت (MAC OUI، پروتکل‌های DHCP و HTTP) شناسایی و طبقه‌بندی کند و به شما بگوید: “این یک چاپگر اچ‌پی است، باید فقط به سرور پرینت دسترسی داشته باشد، نه به اینترنت.”

۴. پاسخ خودکار به تهدیدات (Remediation)

فرض کنید یک آنتی‌ویروس روی لپ‌تاپ یکی از کاربران، یک بدافزار را تشخیص می‌دهد. در حالت عادی، شما چند ساعت بعد متوجه می‌شوید. اما NAC می‌تواند در لحظه از سیستم EDR خبر بگیرد و بلافاصله دسترسی آن دستگاه را از شبکه قطع کند یا آن را به VLAN ایزوله منتقل نماید تا تیم امنیت آن را پاکسازی کند.

۵. رعایت الزامات قانونی و استانداردها (Compliance)

بسیاری از استانداردهای امنیتی مانند PCI-DSS (برای مراکز پرداخت کارت اعتباری)، HIPAA (بیمارستان‌ها) و ISO 27001 به صراحت یا تلویحاً نیاز به کنترل دسترسی مبتنی بر هویت و بررسی سلامت دستگاه دارند. NAC مستندات دقیقی از “چه کسی، با چه دستگاهی، در چه زمانی و با چه سطح دسترسی به شبکه وصل شده” ارائه می‌دهد که برای ممیزی‌ها حیاتی است.

---

جمع‌بندی: آیا NAC برای همه سازمان‌ها ضروری است؟

اندازه سازمان	ضرورت NAC	توضیح
زیر ۵۰ کاربر	کم (اختیاری)	می‌توان با VLAN ساده و فایروال شخصی مدیریت کرد، یا از NAC ابری ارزان مثل Portnox استفاده کرد.
۵۰ تا ۵۰۰ کاربر	متوسط (توصیه می‌شود)	با رشد تعداد دستگاه‌ها (چاپگرها، BYOD، مهمان)، کنترل دسترسی دستی غیرممکن می‌شود. NAC سبک مثل FortiNAC گزینه مناسبی است.
بیش از ۵۰۰ کاربر + صنایع حساس	بسیار بالا (تقریباً اجباری)	بانک‌ها، بیمارستان‌ها، سازمان‌های دولتی و شرکت‌های بزرگ بدون NAC در معرض ریسک بسیار بالایی قرار دارند. اینجا محصولاتی مثل ISE، ClearPass یا Forescout ضروری هستند.

حرف آخر: NAC دیگر یک “ویژگی جانبی” برای شبکه‌های لوکس نیست. در عصری که تهدیدات داخلی (Insider Threats) و حملات پیچیده (مانند رنسوم‌ورهای پخش‌شونده در شبکه) روزبه‌روز بیشتر می‌شوند، NAC همان دربان هوشمندی است که بدون آن، شبکه سازمانی شما شبیه به یک ساختمان با در باز برای همه خواهد بود.

بازیگران اصلی در این عرصه کدامند؟

بازیگران اصلی در عرصه NAC (کنترل دسترسی شبکه) را می‌توان در سه دسته کلی جای داد: غربال‌شده‌های جهانی (پیشتازان بازار)، گزینه‌های تخصصی و رقبای قدرتمند، و همچنین راهکارهای بومی و منطقه‌ای (مانند روسیه و چین) که در سال‌های اخیر رشد چشمگیری داشته‌اند.

در ادامه این بازیگران را بر اساس جایگاهشان در بازار به شما معرفی می‌کنم.

🏆 غربال‌شده‌های اصلی بازار (پیشتازان کلاسیک)

این شرکت‌ها به عنوان معتبرترین و رایج‌ترین گزینه‌ها در پروژه‌های بزرگ سازمانی شناخته می‌شوند.

• Cisco ISE (Identity Services Engine): همان‌طور که اشاره کردید، ISE استاندارد طلایی برای سازمان‌هایی است که زیرساخت شبکه آنها کاملاً بر پایه تجهیزات سیسکو (Cisco Shop) است. قدرت اصلی آن در قابلیت‌های پیشرفته‌ای مانند TrustSec برای میکروسیگمنتیشن و pxGrid برای تبادل اطلاعات لحظه‌ای با سایر محصولات امنیتی سیسکو است . همچنین در رتبه‌بندی‌های معتبر مانند Gartner Peer Insights، سیسکو همواره به عنوان یکی از رقبای اصلی مطرح می‌شود .

• HPE Aruba ClearPass: ClearPass به عنوان یک راهکار چندفروشنده (Multi-Vendor) و بسیار منعطف شناخته می‌شود. نقطه قوت آن نه تنها در شبکه‌های HPE Aruba، بلکه مدیریت دسترسی در محیط‌های ناهمگون و مدیریت حرفه‌ای دستگاه‌های شخصی (BYOD) است .

• Forescout Technologies: اگر عبارت “شناسایی و رویت همه دستگاه‌ها” برایتان حیاتی است، Forescout رقیب سرسخت دو گزینه قبلی است. این پلتفرم به طور خاص در شناسایی دستگاه‌های ناشناخته IoT (اینترنت اشیا) و OT (فناوری عملیاتی) مانند دستگاه‌های پزشکی یا صنعتی بدون نیاز به نصب عامل (Agent-less) تخصص دارد . بسیاری از تحلیل‌ها Forescout را به دلیل توانایی در پیاده‌سازی در مقیاس‌های بسیار بزرگ (بیش از ۱۰,۰۰۰ نود) در زمره “پیشتازان” (Leaders) قرار می‌دهند .

⚔️ رقبای قدرتمند و تخصصی (چالشگران اصلی)

علاوه بر سه غول فوق، بازیگران قدرتمند دیگری نیز حضور دارند که در سناریوهای مشخصی بسیار درخشان عمل می‌کنند:

• Fortinet (FortiNAC): این گزینه برای سازمان‌هایی که از اکوسیستم امنیتی Fortinet (به ویژه فایروال‌های FortiGate) استفاده می‌کنند، یک انتخاب هوشمندانه است. FortiNAC به صورت عمیق با فایروال ادغام می‌شود و قابلیت واکنش خودکار سریعی در برابر تهدیدات دارد .

• Extreme Networks (ExtremeControl): یک گزینه هم‌سطح با دیگران، به ویژه برای سازمان‌هایی که تجهیزات Extreme Networks (یا برندهای ادغام شده قبلی مانند Avaya و Brocade) دارند .

• HPE (Hewlett Packard Enterprise): با توجه به اینکه Aruba زیرمجموعه HPE است، محصولات NAC این شرکت عمدتاً همان ClearPass محسوب می‌شود، اما در برخی گزارش‌ها به عنوان یک برند مجزا از Aruba نیز فهرست می‌شود که نشان‌دهنده قدرت پشتیبانی HPE از این حوزه است .

🌍 ظهور قدرت‌های جدید: بازیگران بومی و منطقه‌ای

یکی از تحولات جالب توجه در این حوزه، رشد سریع راهکارهای بومی NAC در کشورهای مختلف است که عمدتاً به دلیل نیازهای حاکمیتی، تحریم‌ها یا قوانین محلی (مانند لزوم ثبت در لیست نرم‌افزارهای داخلی) شکل گرفته‌اند.

• بازار روسیه: در روسیه، راهکارهای بومی نه تنها جای خالی غربی‌ها را پر کرده‌اند، بلکه در برخی موارد نوآوری‌های منحصربه‌فردی ارائه داده‌اند. بر اساس گزارش‌های فنی محلی، برترین‌ها عبارتند از:

  • DECK AUTH: تمرکز بر ایجاد اکوسیستم یکپارچه و ادغام با راهکارهای امنیتی داخلی مانند آنتی‌ویروس کسپرسکی .

  • Netams WNAM: ارائه قابلیت‌های منحصربه‌فرد در معماری سیستمی (مانند معماری ۲.۰) و پردازش پیشرفته درخواست‌های RADIUS .

  • GIS Efros DeOps: نقطه قوت اصلی این محصول، دریافت مجوزهای رسمی از سازمان FSTEC روسیه است که آن را برای سازمان‌های دولتی اجباری می‌کند .

  • Axel PRO و Eltex: بازیگران جدیدتری که در حال تکمیل سبد محصولات امنیتی خود هستند .

• بازار چین: در بازار چین نیز شرکت‌های بزرگی مانند Huawei و H3C به عنوان رقبای جدی سیسکو و Aruba مطرح هستند. گزارش‌های بازار چین، این شرکت‌ها را به عنوان جایگزین‌های اصلی برای غول‌های غربی معرفی می‌کنند .

📋 فهرست جامع‌تر سایر بازیگران

اگر بخواهیم نگاه دقیق‌تری به لیست بازیگران این عرصه بیندازیم، نام‌های دیگری نیز در گزارش‌های تحلیلی تکرار می‌شوند که هر کدام در بخش خاصی از بازار سهم دارند :

• Ivanti: یکی از گزینه‌های شناخته شده در مدیریت دارایی‌های IT و امنیت endpoint .

• Portnox: شناخته شده به خاطر راهکار NAC ابری (Cloud-Native) که مدیریت آن بسیار ساده‌تر از ISE است .

• Genians و macmon secure: راهکارهایی که در بازارهای اروپایی و آسیایی حضور فعالی دارند و به خاطر سادگی و کارایی در مقیاس‌های متوسط معروف هستند .

• Pulse Secure و Sophos: برندهای قدیمی در حوزه امنیت شبکه که محصولات NAC را نیز در سبد خود دارند .

• CommScope (Ruckus Cloudpath): گزینه‌ای محبوب در شبکه‌های بی‌سیم (Wi-Fi) و مدیریت دسترسی امن .

جمع‌بندی: جدول بازیگران اصلی

برای جمع‌بندی بهتر، این بازیگران را در جدول زیر بر اساس رویکرد و جایگاهشان دسته‌بندی می‌کنیم:

دسته‌بندی	نام بازیگر	مشخصه کلیدی
پیشتازان کلاسیک	Cisco ISE	ایده‌آل برای شبکه‌های Pure-Cisco و میکروسیگمنتیشن پیشرفته (TrustSec)
	Aruba ClearPass	مناسب برای محیط‌های چندفروشنده و مدیریت حرفه‌ای BYOD
	Forescout	تخصص در شناسایی دستگاه‌های IoT/OT بدون نیاز به نصب عامل
چالشگران اصلی	Fortinet (FortiNAC)	یکپارچگی عمیق با فایروال‌های FortiGate و واکنش خودکار
	Extreme Networks	گزینه مناسب برای دارندگان تجهیزات Extreme یا زیرساخت‌های قدیمی
قدرت‌های بومی	روسی (DECK, Netams, GIS)	انطباق با قوانین محلی، مجوزهای دولتی و رفع نیازهای تحریمی
(روسیه و چین)	چینی (Huawei, H3C)	حضور غالب در بازار داخلی چین و رقابت قیمتی/امنیتی با برندهای غربی
سایر گزینه‌ها	Portnox, Ivanti, Pulse Secure	راهکارهای اختصاصی (مانند NAC ابری) یا مکمل در مجموعه امنیت سازمان

امیدوارم این تحلیل جامع به شما در درک بهتر چشم‌انداز رقابتی NAC کمک کرده باشد. اگر سوال دیگری دارید یا نیاز به بررسی عمیق‌تری درباره یکی از این گزینه‌ها دارید، در خدمتتان هستم.

مقایسه کامل تر HPE Aruba ClearPass با Cisco ISE

بر اساس تحلیل‌های فنی موجود، مقایسه Aruba ClearPass و Cisco ISE عمدتاً به دو دسته‌بندی اصلی ختم می‌شود: سادگی و انعطاف‌پذیری در مقابل عمق یکپارچگی و پیچیدگی.

تحلیل تفاوت‌های کلیدی این دو راهکار مدیریت دسترسی شبکه (NAC) در ادامه:

1. معماری و مقیاس‌پذیری

هر دو محصول از نظر ساختار خوشه‌ای بسیار شبیه هستند و حداکثر تا 50 نود را پشتیبانی می‌کنند. تنها تفاوت در نام‌گذاری اجزای آن هاست .

مولفه	Cisco ISE	Aruba ClearPass
مدیریت مرکزی	Policy Administration Node (PAN)	Publisher
پردازش درخواست	Policy Services Node (PSN)	Subscriber
حداکثر تعداد نود	50	50

2. تجربه کاربری و سادره عملیات

این مهم‌ترین نقطه تمایز این دو محصول است.

• ClearPass: تقریباً در تمامی بررسی‌های کاربران، ClearPass به عنوان محصولی با رابط کاربری ساده‌تر، شهودی‌تر و کاربرپسندتر توصیف شده است. منوها و ویزاردهای آن به گونه‌ای طراحی شده‌اند که پیکربندی را سریع و آسان می‌کنند. ابزار Access Tracker در ClearPass برای عیب‌یابی درخواست‌ها بسیار قدرتمندتر از Live Logs در ISE ارزیابی شده است .

• ISE: کاربران رابط کاربری ISE را بسیار عمیق و پیچیده توصیف می‌کنند. یادگیری آن منحنی سختی دارد و پیکربندی تنظیمات در آن اغلب زمان‌بر و نیازمند تخصص بالایی است. این پیچیدگی گاهی منجر به اشکالات پیکربندی می‌شود که عیب‌یابی آن دشوار است .

3. انعطاف‌پذیری در محیط‌های چند فروشنده‌ای (Multi-Vendor)

• ClearPass: نقطه قوت اصلی ClearPass، استقلال از سخت‌افزار است. این محصول می‌تواند تقریباً در هر محیط شبکه‌ای، صرف نظر از اینکه تجهیزات آن از چه برندی هستند (Cisco, Aruba, Juniper, etc.)، پیاده‌سازی شود و به خوبی کار کند. این ویژگی آن را برای سازمان‌هایی با زیرساخت ناهمگن ایده‌آل می‌کند .

• ISE: هرچند ISE از سایر برندها پشتیبانی می‌کند، اما قدرت واقعی آن در شبکه‌های “همه سیسکو” (All-Cisco) نمایان می‌شود. بسیاری از قابلیت‌های پیشرفته آن مانند TrustSec (برای میکروسیگمنتیشن) و SGT (Security Group Tags) صرفاً روی تجهیزات سیسکو کار می‌کنند .

4. امنیت و قابلیت‌های ویژه

• ISE: در زمینه امنیت پیشرفته و اکوسیستم یکپارچه دست بالا را دارد. ISE قابلیت‌های منحصر به فردی مانند AI Endpoint Analytics و پروفایلینگ عمیق در محیط‌های سیسکو دارد. همچنین از طریق فناوری pxGrid می‌تواند به صورت لحظه‌ای با سایر محصولات امنیتی سیسکو (مانند Firepower) تبادل اطلاعات کند تا تهدیدات را به صورت خودکار مسدود نماید. این محصول برای سازمان‌های بسیار بزرگ و حساس که به دنبال یکپارچگی کامل امنیت و شبکه هستند، مناسب‌تر است .

• ClearPass: قابلیت اختصاصی Multi-Factor Authentication (MFA) در لایه دسترسی، برگ برنده ClearPass است که به صورت توکار در دسترس می‌باشد. همچنین در مدیریت دستگاه‌های BYOD (Bring Your Own Device) و شبکه‌های بی‌سیم، عملکرد بهتری دارد .

5. هزینه (TCO)

• ClearPass: تقریباً در تمامی گزارش‌ها، ClearPass مقرون‌به‌صرفه‌تر از ISE معرفی شده است. قیمت اولیه لایسنس آن معمولاً کمتر است و مدل لایسینگ آن ساده‌تر گزارش شده است. برخی کاربران حتی از انتقال از ISE به ClearPass صرفاً به دلیل هزینه کمتر آن اشاره کرده‌اند .

• ISE: ISE گزینه‌ای گران‌تر است، هم از نظر لایسنس اولیه و هم هزینه نگهداری سالیانه. همچنین پیاده‌سازی آن معمولاً به مشاوران متخصص نیاز دارد که هزینه نهایی را افزایش می‌دهد .

6. گواهینامه‌ها و حاکمیت

• ClearPass: دارای گواهینامه Common Criteria EAL4+ است که برای بسیاری از پروژه‌های دولتی و حساس یک الزام حیاتی محسوب می‌شود .

جدول جمع‌بندی مقایسه

ویژگی	Aruba ClearPass	Cisco ISE
سختی پیاده‌سازی	متوسط (ساده‌تر)	دشوار (پیچیده)
رابط کاربری	دوستانه، بصری و حرفه‌ای	پیچیده، عمیق و قدیمی
نوع شبکه	ایده‌آل برای چند فروشنده ای (Multi-Vendor)	ایده‌آل برای شبکه های Pure-Cisco
قابلیت منحصر‌به‌فرد	MFA داخلی و BYOD قوی	TrustSec و pxGrid
بهای تمام شده	مقرون‌به‌صرفه‌تر (پایین‌تر)	گران‌تر (TCO بالا)
امنیت سیستمی	متوسط (با افزونه‌های قوی)	بالا (در صورت ادغام با Cisco)

جمع‌بندی نهایی: کدام را انتخاب کنیم؟

Aruba ClearPass را انتخاب کنید اگر:

• زیرساخت شبکه شما مخلوطی از برندهای مختلف است.

• به دنبال راه‌حلی با مدیریت ساده‌تر و هزینه نگهداری کمتر هستید.

• نیاز به پیاده‌سازی MFA برای دسترسی به شبکه دارید.

• میزان تردد دستگاه‌های شخصی (BYOD) و مهمان در شبکه شما بالاست .

Cisco ISE را انتخاب کنید اگر:

• زیرساخت شما ۱۰۰٪ سیسکو (سوئیچ، روتر، وایرلس) است.

• نیاز به پیاده‌سازی میکروسیگمنتیشن (TrustSec) و Zero Trust عمیق دارید.

• به دنبال قابلیت اتوماتیک‌سازی امنیت در مقیاس وسیع (با استفاده از AI Endpoint Analytics) هستید.

• تیم فنی شما از تخصص بالایی در محصولات سیسکو برخوردار است .