У офіснай сетцы Wi-Fi, а ўсё яшчэ просяць VPN? Вось чаму

Ноўтбук знаходзіцца ў карпаратыўнай сетцы SSID, запыт на сертыфікат быў прыняты, а вэб-праграма ўсё яшчэ патрабуе VPN. Гэта выглядае як падвойная праца, і часам так яно і ёсць. Дзве працэдуры ўваходу звычайна ўводзяць розныя рашэнні, і адзіны спосаб даведацца, ці заслугоўвае другая свайго месца, — спытаць, што яна змяняе.

Далучэнне да сеткі — гэта рашэнне аб допуску

Разгортванне 802.1X адказвае на адно пытанне: ці можа гэтая прылада або карыстальнік далучыцца да гэтай сеткі? Кропка доступу перадае ўліковыя даныя серверу RADIUS, і адказ можа несці атрыбуты, якія змяшчаюць сеанс у пэўны VLAN або ўжываюць фільтр. Гэта допуск і сегментацыя, а не аўтарызацыя для якой-небудзь канкрэтнай праграмы.

Пасля допуску сеанса бесправадное злучэнне шыфруецца паміж кліентам і кропкай доступу. Абарона сканчаецца там, на мяжы правадной сеткі.

Усё за гэтым пунктам — звычайная маршрутызацыя ўнутры будынка, з той унутранай дасяжнасцю, якую дазваляе сегмент.

Што насамрэч абараняе EAP-TTLS

EAP-TTLS буруе TLS-тунэль падчас аўтэнтыфікацыі і запускае ўнутры яго ўнутраны метад. Унутраным метадам часта бывае PAP, і яго наяўнасць у праекце не азначае, што пароль перадаецца па паветры адкрытым тэкстам, бо яго нясе менавіта TLS-тунэль. Кліент усё роўна павінен праверыць ідэнтычнасць сервера і давяраць слушнаму CA, а знаёмы SSID — гэта не такая праверка. Чытайце выбар унутранага метаду як фармат уліковых даных, а не як сцвярджэнне пра знешняе шыфраванне.

Гэта абмен для аўтэнтыфікацыі, а не тунэль даных для далейшага трафіку ноўтбука.

Калі аўтэнтыфікацыя скончана, TLS-тунэль знікае, і пакеты кліента ідуць праз дапушчаны сегмент. Блытаніна паміж гэтымі двума рэчамі — корань пераканання, што шыфраванне Wi-Fi ужо выконвае працу VPN.

VPN — гэта другое, больш вузкае рашэнне

VPN адказвае на іншае пытанне: да якіх прыватных рэсурсаў можа дабрацца гэтая ідэнтычнасць і на якіх умовах? Ён завяршаецца на шлюзе з уласнай палітыкай, уласнымі праверкамі ідэнтычнасці і часта ўласнымі патрабаваннямі да стану прылады. Дасяжны набор пасля ўзняцця тунэля звычайна меншы за ўнутраную сетку будынка і спецыфічны для ролі.

Вось чаму ролю абслугоўвання могуць дапусціць да Wi-Fi як усіх, і ёй усё роўна спатрэбіцца тунэль, каб дабрацца да кіраўнічай падсеткі. Рашэнне па Wi-Fi прынята на кропцы доступу; гэтае рашэнне прымаецца на шлюзе.

Абедзве стадыі могуць быць шыфраванымі і ўсё роўна ўводзіць нязвязаныя палітыкі.

Дзе ламаецца давер, заснаваны на месцазнаходжанні

Стаўленне да офіснай сеткі як да бездакорна надзейнай правальваецца з простай прычыны: месцазнаходжанне ў сетцы — уласцівасць злучэння, а не чалавека. Рэкамендацыі NIST па нулявым даверы кажуць пра гэта прама, і менавіта таму доступ да рэсурсаў вырашаецца на кожны запыт, а не на будынак. Кожны, хто далучаецца да таго ж SSID, атрымлівае тое ж месцазнаходжанне. Таму і скомпраметаваны ноўтбук у сетцы супрацоўнікаў заслугоўвае такога ж скепсісу, як і ў гасцявой сетцы.

Практычнае следства ў тым, што аўтарызацыя праграм усё яшчэ павінна існаваць. VPN, які выдае цэлую падсетку, плюс праграма, якая давярае любому запыту з гэтай падсеткі, — гэта адзін уліковы запіс ад дрэннага дня.

Ні адзін пласт не замяняе другі, бо яны адказваюць на пытанні ў розных межах.

Як зразумець, ці заслугоўвае другі ўваход свайго месца

Спытайце ўладальніка сеткі пра два пытанні: што становіцца дасяжным пасля падключэння VPN і якія ўмовы ідэнтычнасці або прылады правяраюцца, каб гэта дазволіць? Затым праверце адказы, тэстуючы, што насамрэч адказвае. Калі тунэль не мяняе ні дасяжнасці, ні гарантый, ён можа быць працоўнай звычкай, а не кантролем, і гэта рашэнне для ўладальніка, а не тое, што карыстальнік павінен абыходзіць.

Шукайце таксама ненаўмысныя прамыя шляхі, бо рэсурс, дасяжны без тунэля, робіць тунэль дэкарацыяй.

Задакументуйце кожную мяжу і яе мэту, і наступнаму чалавеку не давядзецца здагадвацца, чаму ёсць два ўваходы.