Op die kantoor se Wi-Fi en tog gevra om ’n VPN? Hier is hoekom

Die skootrekenaar is op die korporatiewe SSID, die sertifikaatvraag is aanvaar, en ’n webtoepassing vra steeds vir die VPN. Dit lyk na dubbele werk, en soms is dit dit. Die twee aanmeldings dwing gewoonlik verskillende besluite af, en die enigste manier om te weet of die tweede een sy plek verdien, is om te vra wat dit verander.

Om by ’n netwerk aan te sluit, is ’n toelatingsbesluit

’n 802.1X-ontplooiing beantwoord een vraag: mag hierdie toestel of gebruiker by hierdie netwerk aansluit? Die toegangspunt gee die geloofsbriewe aan ’n RADIUS-bediener deur, en die antwoord kan eienskappe dra wat die sessie in ’n bepaalde VLAN plaas of ’n filter toepas. Dit is toelating en segmentering, nie magtiging vir enige bepaalde toepassing nie.

Sodra die sessie toegelaat is, word die draadlose skakel tussen die kliënt en die toegangspunt geënkripteer. Die beskerming eindig daar, by die rand van die bedrade netwerk.

Alles anderkant daardie punt is gewone roetebepaling binne die gebou, met watter interne bereikbaarheid die segment ook al toelaat.

Wat EAP-TTLS werklik beskerm

EAP-TTLS bou ’n TLS-tonnel tydens verifikasie en laat ’n binnemetode daarbinne loop. Die binnemetode is dikwels PAP, en die verskyning daarvan in ’n ontwerp beteken nie dat die wagwoord in gewone teks deur die lug gaan nie, want dit is die TLS-tonnel wat dit dra. Die kliënt moet steeds die bediener se identiteit verifieer en die regte CA vertrou, en ’n bekende SSID is nie daardie verifikasie nie. Lees die keuse van binnemetode as ’n formaat vir geloofsbriewe, nie as ’n uitspraak oor die buitenste enkripsie nie.

Dit is ’n verifikasie-uitruiling, nie ’n datatonnel vir die skootrekenaar se latere verkeer nie.

Wanneer verifikasie klaar is, is die TLS-tonnel weg en beweeg die kliënt se pakkette oor die toegelate segment. Om die twee te verwar, is die oorsprong van die oortuiging dat Wi-Fi-enkripsie reeds die VPN se werk doen.

Die VPN is ’n tweede, nouer besluit

’n VPN beantwoord ’n ander vraag: watter private hulpbronne mag hierdie identiteit bereik, en onder watter voorwaardes? Dit eindig by ’n poort met sy eie beleid, sy eie identiteitskontroles en dikwels sy eie vereistes vir toestelpostuur. Die bereikbare stel nadat die tonnel opkom, is gewoonlik kleiner as die gebou se interne netwerk en spesifiek vir die rol.

Dit is hoekom ’n instandhoudingsrol soos almal anders tot Wi-Fi toegelaat kan word en steeds ’n tonnel nodig het om ’n bestuursubnet te bereik. Die Wi-Fi-besluit is by die toegangspunt geneem; hierdie een word by die poort geneem.

Beide stadiums kan geënkripteer wees en steeds onverwante beleide afdwing.

Waar vertroue op ligging breek

Om die kantoor netwerk as vanselfsprekend betroubaar te behandel, misluk om ’n eenvoudige rede: netwerklokasie is ’n eienskap van die verbinding, nie van die persoon nie. NIST se zero-trust-riglyne maak daardie punt direk, en dit is hoekom toegang tot hulpbronne per versoek eerder as per gebou besluit word. Enigiemand wat by dieselfde SSID aansluit, erf dieselfde ligging. Dit is ook hoekom ’n gekompromitteerde skootrekenaar op die personeelnetwerk dieselfde skeptisisme verdien as een op die gaste-netwerk.

Die praktiese gevolg is dat magtiging van toepassings steeds moet bestaan. ’n VPN wat ’n hele subnet toeken, plus ’n toepassing wat enige versoek van daardie subnet vertrou, is een geloofsbrief weg van ’n slegte dag.

Nie een van die lae vervang die ander nie, want hulle beantwoord vrae op verskillende gebiede.

Hoe om te weet of die tweede aanmelding sy plek verdien

Vra die netwerkeienaar twee vrae: wat word bereikbaar nadat die VPN koppel, en watter identiteits- of toestelkondisies word nagegaan om dit toe te laat? Verifieer dan die antwoorde deur te toets wat werklik reageer. As die tonnel nóg bereikbaarheid nóg versekering verander, is dit moontlik operasionele gewoonte eerder as ’n kontrole, en dit is ’n besluit vir die eienaar eerder as iets wat ’n gebruiker moet omseil.

Soek ook na onbedoelde direkte paaie, want ’n hulpbron wat sonder die tonnel bereikbaar is, maak die tonnel decoratief.

Dokumenteer elke grens en sy doel, en die volgende persoon hoef nie te raai hoekom daar twee aanmeldings is nie.