Прывязаць доступ у офіс да ідэнтычнасці, а не да порта камутатара
Сегментацыя, допуск і аўтарызацыя паслуг — розныя задачы. Тры ўмовы вызначаюць, ці пераўзыходзіць доступ на аснове ідэнтычнасці VLAN на кожны порт.
На стале два праекты. Адзін трымае супрацоўнікаў у VLAN на аснове роляў і рэдагуе парты камутатара, калі людзі перамяшчаюцца. Другі аўтэнтыфікуе сеанс і дазваляе палітыцы вырашаць, да чаго можна дабрацца. Выбар не пра сучаснасць; ён пра тое, ці дзейнічаюць тры ўмовы ў вашым будынку. Калі хоць адна з іх не выконваецца, праект на аснове портаў не дурны, гэта той, які вы сапраўды можаце эксплуатаваць.
Тры ўмовы — гэта забяспечанасць выканання, якасць ідэнтычнасці і паводзіны пры збоі.
Умова 1: ці могуць прылады доступу выконваць вернутую палітыку
802.1X — гэта сувязь паміж запытвальнікам на канчатковым пункце, аўтэнтыфікатарам у камутатары або кропцы доступу і серверам аўтэнтыфікацыі, дасяжным праз RADIUS. Сервер можа вярнуць VLAN або іншы вынік палітыкі, і RFC 3580 апісвае гэты сігнал. Камутатар усё яшчэ павінен рэалізаваць вынік, на які вы разлічваеце.
Прасіце магчымасць, а не пратакол: дынамічнае прызначэнне VLAN, спампавальныя ACL або перанакіраванне на партал рэгістрацыі.
Умова 2: ці крыніца ідэнтычнасці аўтарытэтная і хутка змяняецца
Членства ў групе ў каталогу дапамагае толькі тады, калі гэта тое поле, якое бізнес ужо рэдагуе пры змене ролі. Калі прызначэнне роляў жыве ў табліцы, што штомесяц капіюецца ў групы, доступ на аснове ідэнтычнасці проста аўтаматызуе састарэлыя даныя. Праверце таксама затрымку, бо новы супрацоўнік, які не можа працаваць цэлы дзень, — горшы вынік, чым ручная змена порта. Аўтэнтыфікацыя прылады, аўтэнтыфікацыя карыстальніка і абедзве разам — асобныя выбары, а прынтары патрабуюць яўнай мадэлі, а не непатлумачанага абыходу.
Запішыце адпаведнасць: якая група дае якую палітыку і хто можа яе змяніць.
Умова 3: вызначце паводзіны пры збоі да пілота
Кожнае разгортванне мае неаўтэнтыфікаваны стан і стан недаступнасці сервера, і палітыка для абодвух — рашэнне бяспекі. Ціхі адкат у давераны сегмент знішчае праект; жорсткі збой блакуе працу падчас перапынку. Звычайная сярэдзіна — абмежаваны сегмент з доступам толькі да інтэрнэту і ясным шляхам да службы падтрымкі. Праверце адкат на рэальным камутатары або бесправадной платформе, бо стандартныя налады пастаўшчыка розныя.
Калі ніхто не можа апісаць адкат адным сказам, праект не завершаны.
Дзе месца VPN
VPN аўтэнтыфікуе доступ праз недавераны шлях, і патрабаванне яго таксама ў офіснай LAN можа быць свядомым рашэннем даверу. Ён не адмяняе патрэбы ў адпаведнасці груп або ва ўласнай аўтарызацыі файлавага сервера. Ён таксама дадае прапускную здольнасць шлюза, кліенцкае праграмнае забеспячэнне і кіраванне сеансамі да аперацыйнай нагрузкі.
VPN, куплены, каб пазбегнуць рэдагавання VLAN, вырашыў не тую праблему і дадаў дзве новыя.
Табліца і адна рэч, якую варта захаваць
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Пакіньце сегменты для сервераў, гасцей, прылад і аперацыйных тэхналогій. Гэтыя межы пра трафік, а не пра пасады, і яны перажываюць любую рэарганізацыю. Змесціце правы супрацоўнікаў у палітыку ідэнтычнасці, дзе змена ролі — гэта адно рэдагаванне, і выкарыстоўвайце падтрыманы механізм адключэння, калі выдаленне павінна быць хуткім.
Праверка праекта — гэта пераезд стала: ён павінен перамясціць чалавека і яго абсталяванне, а не перабудаваць яго дазволы вакол іншага раздыма.