على شبكة واي فاي المكتب وما زال يُطلب منك VPN؟ إليك السبب

الحاسوب المحمول متصل بـ SSID الخاصة بالشركة، وقد قُبل طلب الشهادة، ومع ذلك ما زال تطبيق ويب يطلب VPN. يبدو الأمر كعمل مزدوج، وهو كذلك في بعض الأحيان. عمليتا الدخول عادةً ما تفرضان قرارين مختلفين، والسبيل الوحيد لمعرفة ما إذا كانت الثانية تستحق مكانها هو السؤال عمّا تغيّره.

الانضمام إلى شبكة هو قرار قبول

نشر 802.1X يجيب عن سؤال واحد: هل يجوز لهذا الجهاز أو هذا المستخدم الاتصال بهذه الشبكة؟ تمرّر نقطة الوصول بيانات الاعتماد إلى خادم RADIUS، وقد تحمل الإجابة سمات تضع الجلسة في VLAN معيّنة أو تطبّق مرشّحًا. ذلك قبول وتقسيم، وليس تصريحًا لأي تطبيق بعينه.

بعد قبول الجلسة، يُشفَّر الرابط اللاسلكي بين العميل ونقطة الوصول. وتنتهي الحماية هناك، عند حدود الشبكة السلكية.

كل ما بعد تلك النقطة هو توجيه عادي داخل المبنى، مع ما تسمح به القطعة من قابلية وصول داخلية.

ما تحميه EAP-TTLS فعليًا

EAP-TTLS يبني نفق TLS أثناء المصادقة ويشغّل داخله طريقة داخلية. والطريقة الداخلية كثيرًا ما تكون PAP، وظهورها في التصميم لا يعني أن كلمة المرور تعبر الهواء بنص واضح، لأن نفق TLS هو ما يحملها. ولا يزال على العميل التحقق من هوية الخادم والوثوق بجهة CA الصحيحة، وSSID مألوفة ليست ذلك التحقق. اقرأ اختيار الطريقة الداخلية كصيغة لبيانات الاعتماد، لا كبيان عن التشفير الخارجي.

هذا تبادل مصادقة، وليس نفق بيانات لحركة الحاسوب المحمول اللاحقة.

عند انتهاء المصادقة يختفي نفق TLS، وتنتقل حزم العميل عبر القطعة المقبولة. والخلط بين الأمرين هو أصل الاعتقاد بأن تشفير واي فاي يؤدي أصلًا عمل VPN.

VPN قرار ثانٍ أضيق

يجيب VPN عن سؤال مختلف: ما الموارد الخاصة التي قد تصل إليها هذه الهوية، وبأي شروط؟ ينتهي النفق عند بوابة لها سياستها وفحوص هويتها، وكثيرًا ما لها متطلباتها بشأن وضع الجهاز. والمجموعة القابلة للوصول بعد قيام النفق عادةً أصغر من الشبكة الداخلية للمبنى وتخص الدور.

لهذا يمكن قبول دور صيانة على واي فاي كأي شخص آخر، ومع ذلك يحتاج إلى نفق للوصول إلى شبكة إدارية فرعية. قرار واي فاي اتُّخذ عند نقطة الوصول؛ وهذا القرار يُتَّخذ عند البوابة.

يمكن أن يكون كل من المرحلتين مشفّرًا، ومع ذلك يفرض كل منهما سياسات غير ذات صلة.

أين تنهار الثقة المستندة إلى الموقع

معاملة شبكة المكتب كموثوقة ضمنًا تفشل لسبب بسيط: الموقع الشبكي خاصية للاتصال، لا للشخص. إرشادات الثقة الصفرية من NIST تقول ذلك صراحةً، ولهذا يُقرَّر الوصول إلى الموارد لكل طلب لا لكل مبنى. وأي شخص ينضم إلى SSID نفسها يرث الموقع نفسه. ولهذا أيضًا يستحق حاسوب محمول مخترَق على شبكة الموظفين نفس التشكيك الذي يستحقه آخر على شبكة الضيوف.

النتيجة العملية هي أنه لا بد من وجود تصريح للتطبيقات. فـ VPN يمنح شبكة فرعية كاملة، مع تطبيق يثق بأي طلب من تلك الشبكة الفرعية، هو على بُعد بيانات اعتماد واحدة من يوم سيئ.

لا تحل أي من الطبقتين محل الأخرى، لأنهما تجيبان عن أسئلة على نطاقين مختلفين.

كيف تعرف هل تستحق عملية الدخول الثانية بقاءها

اسأل مالك الشبكة سؤالين: ما الذي يصبح قابلًا للوصول بعد اتصال VPN، وأي شروط الهوية أو الجهاز تُفحص للسماح به؟ ثم تحقّق من الإجابات باختبار ما يستجيب فعلًا. وإذا لم يغيّر النفق قابلية الوصول ولا الضمان، فقد يكون عادة تشغيلية لا ضابطًا، وذلك قرار للمالك لا شيء ينبغي للمستخدم أن يلتف حوله.

ابحث أيضًا عن مسارات مباشرة غير مقصودة، لأن موردًا يمكن الوصول إليه دون النفق يجعل النفق زينة.

وثّق كل حدّ وغرضه، ولن يضطر الشخص التالي إلى تخمين سبب وجود عمليتي دخول.