Ofis Wi-Fi şəbəkəsində və yenə də VPN istənilir? Səbəbi budur

Noutbuk korporativ SSID-dədir, sertifikat sorğusu qəbul edilib, və veb tətbiq hələ də VPN istəyir. Bu, ikiqat iş kimi görünür, və bəzən elə də olur. İki giriş adətən fərqli qərarlar tətbiq edir, və ikincinin öz yerini haqq edib-etmədiyini bilməyin yeganə yolu onun nəyi dəyişdiyini soruşmaqdır.

Şəbəkəyə qoşulmaq buraxılış qərarıdır

802.1X tətbiqi bir suala cavab verir: bu cihaz və ya istifadəçi bu şəbəkəyə qoşula bilərmi? Giriş nöqtəsi etimad məlumatlarını RADIUS serverinə ötürür, və cavab sessiyanı müəyyən VLAN-a yerləşdirən və ya filtr tətbiq edən atributlar daşıya bilər. Bu, buraxılış və seqmentləşdirmədir, hər hansı konkret tətbiq üçün avtorizasiya deyil.

Sessiya buraxıldıqdan sonra simsiz əlaqə müştəri ilə giriş nöqtəsi arasında şifrələnir. Müdafiə orada, kabel şəbəkəsinin kənarında bitir.

O nöqtədən sonrakı hər şey binanın içində adi marşrutlaşdırmadır, seqmentin icazə verdiyi daxili əlçatanlıqla.

EAP-TTLS əslində nəyi qoruyur

EAP-TTLS autentifikasiya zamanı TLS tuneli qurur və onun içində daxili metod işlədir. Daxili metod çox vaxt PAP olur, və onun dizaynda görünməsi şifrənin hava ilə açıq mətn kimi keçdiyi anlamına gəlmir, çünki onu daşıyan TLS tunelidir. Müştəri yenə də serverin kimliyini yoxlamalı və düzgün CA-ya etibar etməlidir, və tanış SSID həmin yoxlama deyil. Daxili metod seçimini etimad məlumatı formatı kimi oxu, xarici şifrələmə haqqında bəyanat kimi deyil.

Bu, autentifikasiya mübadiləsidir, noutbukun sonrakı trafiki üçün data tuneli deyil.

Autentifikasiya bitəndə TLS tuneli yox olur və müştərinin paketləri buraxılmış seqment üzərində hərəkət edir. İkisini qarışdırmaq, Wi-Fi şifrələməsinin artıq VPN-in işini gördüyü inancının köküdür.

VPN ikinci, daha dar qərardır

VPN başqa suala cavab verir: bu kimlik hansı özəl resurslara çata bilər və hansı şərtlər altında? O, öz siyasəti, öz kimlik yoxlamaları və çox vaxt öz cihaz vəziyyəti tələbləri olan şlüzda sonlanır. Tunel qurulduqdan sonra əlçatan çoxluq adətən binanın daxili şəbəkəsindən kiçik olur və rola xasdır.

Buna görə texniki xidmət rolu hər kəs kimi Wi-Fi-ya buraxıla bilər və yenə də idarəetmə alt şəbəkəsinə çatmaq üçün tunelə ehtiyac duyar. Wi-Fi qərarı giriş nöqtəsində verildi; bu qərar isə şlüzda verilir.

Hər iki mərhələ şifrələnə bilər və yenə də bir-biri ilə əlaqəsiz siyasətlər tətbiq edə bilər.

Məkana əsaslanan etimadın çökdüyü yer

Ofis şəbəkəsini örtülü şəkildə etibarlı saymaq sadə səbəbdən uğursuz olur: şəbəkə məkanı əlaqənin xassəsidir, insanın deyil. NIST-in sıfır etimad tövsiyələri bunu birbaşa deyir, və resurs girişinin bina üzrə deyil, hər sorğu üzrə qərarlaşdırılmasının səbəbi budur. Eyni SSID-ə qoşulan hər kəs eyni məkanı miras alır. Buna görə də işçi şəbəkəsindəki zədələnmiş noutbuk qonaq şəbəkəsindəki qədər şübhə doğurmalıdır.

Praktiki nəticə budur ki, tətbiq avtorizasiyası yenə də mövcud olmalıdır. Bütün alt şəbəkəni verən VPN, üstəlik həmin alt şəbəkədən gələn hər sorğuya etibar edən tətbiq, pis gündən bir etimad məlumatı uzaqlıqdadır.

Heç bir qat digərini əvəz etmir, çünki onlar müxtəlif miqyaslarda suallara cavab verir.

İkinci girişin öz yerini haqq edib-etmədiyini necə anlamaq olar

Şəbəkə sahibinə iki sual ver: VPN qoşulduqdan sonra nə əlçatan olur, və buna icazə vermək üçün hansı kimlik və ya cihaz şərtləri yoxlanılır? Sonra cavabları faktiki olaraq nəyin cavab verdiyini sınaqdan keçirərək yoxla. Əgər tunel nə əlçatanlığı, nə də təminatı dəyişirsə, o, nəzarətdən çox əməliyyat vərdişi ola bilər, və bu, istifadəçinin yanından keçməli olduğu bir şey deyil, sahibin qərarıdır.

Həmçinin nəzərdə tutulmamış birbaşa yollara bax, çünki tunelsiz əlçatan resurs tuneli bəzək edir.

Hər sərhədi və onun məqsədini sənədləşdir, və növbəti şəxs niyə iki giriş olduğunu təxmin etməli olmayacaq.