Koppel kantoor toegang aan identiteit, nie aan die skakelaarpoort nie
Segmentering, toelating en diensmagtiging is verskillende take. Drie voorwaardes bepaal of identiteitsgedrewe toegang beter is as VLAN's per poort.
Twee ontwerpe lê op die tafel. Een hou werknemers in rolgebaseerde VLAN's en wysig skakelaarpoorte wanneer mense beweeg. Die ander een verifieer die sessie en laat beleid besluit wat dit mag bereik. Die keuse gaan nie oor moderniteit nie; dit gaan oor of drie voorwaardes in jou gebou geld. As enigeen daarvan misluk, is die poortgebaseerde ontwerp nie dom nie, dit is die een wat jy werklik kan bedryf.
Die drie voorwaardes is afdwingbaarheid, identiteitskwaliteit en foutgedrag.
Voorwaarde 1: kan die toegangstoestelle 'n teruggekeerde beleid afdwing
802.1X is 'n verhouding tussen 'n supplikant op die eindpunt, 'n authentiseerder in die skakelaar of toegangspunt, en 'n verifikasieserver wat oor RADIUS bereik word. Die server kan 'n VLAN of 'n ander beleidsresultaat terugstuur, en RFC 3580 beskryf daardie sein. Die skakelaar moet steeds die resultaat implementeer waarop jy staatmaak.
Vra vir 'n vermoë, nie vir 'n protokol nie: dinamiese VLAN-toewysing, aflaaibare ACL's, of 'n herleiding na 'n registrasieportaal.
Voorwaarde 2: is die identiteitsbron gesaghebbend en vinnig om te verander
Lidmaatskap van 'n groep in die gids help net as dit die veld is wat die besigheid reeds wysig wanneer 'n rol verander. As roltoewysing in 'n sigblad woon wat maandeliks in groepe gekopieer word, outomatiseer identiteitsgedrewe toegang bloot 'n verouderde inset. Kontroleer ook die vertraging, want 'n nuweling wat 'n dag lank nie kan werk nie, is 'n slegter uitkoms as 'n handmatige poortverandering. Toestelverifikasie, gebruikerverifikasie en albei saam is aparte keuses, en drukkers het 'n eksplisiete model nodig eerder as 'n onverklaarde ompad.
Skryf die kartering neer: watter groep watter beleid verleen, en wie dit mag verander.
Voorwaarde 3: besluit oor die foutgedrag voor die proef
Elke ontplooiing het 'n ongeverifieerde toestand en 'n toestand waarin die server onbeskikbaar is, en die beleid vir albei is 'n sekuriteitsbesluit. 'n Stille terugval in 'n vertroude segment verydel die ontwerp; 'n harde fout blokkeer werk tydens 'n onderbreking. Die gewone middeweg is 'n beperkte segment met slegs internettoegang en 'n duidelike roete na die hulpdiens. Toets die terugval op die werklike skakelaar of draadlose platform, want verskaffers se verstekwaardes verskil.
As niemand die terugval in een sin kan beskryf nie, is die ontwerp nie klaar nie.
Waar die VPN inpas
'n VPN verifieer toegang oor 'n onvertroude pad, en om dit ook op die kantoor-LAN te vereis, kan 'n doelbewuste vertrouensbesluit wees. Dit verwyder nie die behoefte aan groepkartering of aan die lêerserver se eie magtiging nie. Dit voeg ook gateway-kapasiteit, kliëntsagteware en sessiebestuur by die bedryfslas.
'n VPN wat gekoop is om VLAN-wysigings te vermy, het die verkeerde probleem opgelos en twee nuwes bygevoeg.
Die tabel, en die een ding om te hou
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Hou segmente vir servers, gaste, toestelle en operasionele tegnologie. Daardie grense gaan oor verkeer eerder as oor werkstitels, en hulle oorleef enige herorganisasie. Sit die werknemer se regte in identiteitsbeleid, waar 'n rolverandering een wysiging is, en gebruik die ondersteunde ontkoppelingsmeganisme wanneer verwydering vinnig moet wees.
Die toets van die ontwerp is 'n lessenaarverskuiwing: dit moet 'n persoon en sy toerusting skuif, nie sy regte rondom 'n ander aansluitpunt herbou nie.