Ofis girişini kommutator portuna deyil, şəxsiyyətə bağlayın
Seqmentləşdirmə, qəbul və xidmət avtorizasiyası fərqli işlərdir. Üç şərt şəxsiyyət əsaslı girişin port üzrə VLAN-lardan üstün olub-olmadığını müəyyən edir.
Masada iki dizayn var. Biri işçiləri rol əsaslı VLAN-larda saxlayır və insanlar yerini dəyişəndə kommutator portlarını redaktə edir. Digəri sessiyanı doğrulayır və siyasətin nəyə çata biləcəyinə qərar verməsinə imkan verir. Seçim müasirliklə bağlı deyil; üç şərtin binanızda keçərli olub-olmaması ilə bağlıdır. Onlardan hər hansı biri uğursuz olarsa, port əsaslı dizayn axmaq deyil, əslində idarə edə biləcəyiniz dizayndır.
Üç şərt tətbiq edilə bilmə, şəxsiyyət keyfiyyəti və uğursuzluq davranışıdır.
Şərt 1: giriş cihazları qaytarılan siyasəti tətbiq edə bilirmi
802.1X son nöqtədəki təmin edici, kommutatorda və ya giriş nöqtəsindəki doğrulayıcı və RADIUS üzərindən əldə edilən doğrulama serveri arasında münasibətdir. Server VLAN və ya başqa siyasət nəticəsi qaytara bilər və RFC 3580 bu siqnalı təsvir edir. Kommutator hələ də etibar etdiyiniz nəticəni tətbiq etməlidir.
Protokol deyil, imkan tələb edin: dinamik VLAN təyini, yüklənə bilən ACL-lər və ya qeydiyyat portalına yönləndirmə.
Şərt 2: şəxsiyyət mənbəyi səlahiyyətli və tez dəyişdirilə biləndirmi
Qovluqdakı qrup üzvlüyü yalnız o sahə olduqda kömək edir ki, biznes rol dəyişəndə artıq onu redaktə edir. Əgər rol təyini aylıq olaraq qruplara köçürülən cədvəldə yaşayırsa, şəxsiyyət əsaslı giriş sadəcə köhnəlmiş məlumatı avtomatlaşdırır. Gecikməni də yoxlayın, çünki bir gün işləyə bilməyən yeni işçi əl ilə port dəyişikliyindən daha pis nəticədir. Cihaz doğrulaması, istifadəçi doğrulaması və ikisi birlikdə ayrı seçimlərdir və printerlər izahsız yan keçid əvəzinə açıq modelə ehtiyac duyur.
Xəritəni yazın: hansı qrup hansı siyasəti verir və kim onu dəyişə bilər.
Şərt 3: uğursuzluq davranışını pilotdan əvvəl müəyyən edin
Hər yerləşdirmədə doğrulanmamış vəziyyət və server əlçatmaz vəziyyət var və hər ikisi üçün siyasət təhlükəsizlik qərarıdır. Etibarlı seqmentə səssiz geri dönüş dizaynı məhv edir; sərt uğursuzluq kəsinti zamanı işi bloklayır. Adi orta yol yalnız internetə çıxışı olan məhdud seqment və dəstək masasına aydın yoldur. Geri dönüşü real kommutatorda və ya simsiz platformada sınaqdan keçirin, çünki satıcı standartları fərqlidir.
Əgər heç kim geri dönüşü bir cümlə ilə təsvir edə bilmirsə, dizayn bitməyib.
VPN harada yer tutur
VPN etibarsız yol üzərindən girişi doğrulayır və onu ofis LAN-da da tələb etmək qəsdən verilmiş etibar qərarı ola bilər. Bu, qrup xəritələnməsinə və ya fayl serverinin öz avtorizasiyasına ehtiyacı aradan qaldırmır. O, həmçinin əməliyyat yükünə şlüz tutumu, müştəri proqramı və sessiya idarəetməsi əlavə edir.
VLAN redaktəsindən qaçmaq üçün alınmış VPN səhv problemi həll etdi və iki yenisini əlavə etdi.
Cədvəl və saxlanmalı olan bir şey
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Seqmentləri serverlər, qonaqlar, cihazlar və əməliyyat texnologiyası üçün saxlayın. Bu sərhədlər vəzifə adları ilə deyil, trafiklə bağlıdır və istənilən yenidən təşkilata davam edir. İşçi hüquqlarını şəxsiyyət siyasətinə qoyun, burada rol dəyişikliyi bir redaktədir və çıxarılma sürətli olmalı olduqda dəstəklənən ayırma mexanizmindən istifadə edin.
Dizaynın sınağı masa köçüdür: bir insanı və avadanlığını köçürməli, icazələrini başqa bir yuvaya görə yenidən qurmamalıdır.