На офис Wi-Fi и все още ви искат VPN? Ето защо

Лаптопът е в корпоративния SSID, подканата за сертификат е приета, а уеб приложение все още иска VPN. Изглежда като двойна работа и понякога е така. Двете влизания обикновено налагат различни решения, и единственият начин да разберете дали второто заслужава мястото си е да попитате какво променя то.

Присъединяването към мрежа е решение за допускане

Внедряването на 802.1X отговаря на един въпрос: може ли това устройство или потребител да се свърже с тази мрежа? Точката за достъп предава идентификационните данни на RADIUS сървър, а отговорът може да носи атрибути, които поставят сесията в определен VLAN или прилагат филтър. Това е допускане и сегментиране, а не оторизация за конкретно приложение.

След като сесията бъде допусната, безжичната връзка се криптира между клиента и точката за достъп. Защитата свършва там, в края на кабелната мрежа.

Всичко след тази точка е обикновено маршрутизиране вътре в сградата, с каквато вътрешна достижимост позволява сегментът.

Какво всъщност защитава EAP-TTLS

EAP-TTLS изгражда TLS тунел по време на удостоверяването и изпълнява вътрешен метод в него. Вътрешният метод често е PAP и появата му в даден дизайн не означава, че паролата преминава по въздуха като чист текст, защото именно TLS тунелът я пренася. Клиентът все още трябва да провери самоличността на сървъра и да се довери на правилния CA, а познат SSID не е такава проверка. Четете избора на вътрешен метод като формат за идентификационни данни, а не като твърдение за външното криптиране.

Това е обмен за удостоверяване, а не тунел за данни за по-късния трафик на лаптопа.

Когато удостоверяването приключи, TLS тунелът изчезва и пакетите на клиента пътуват по допуснатия сегмент. Объркването между двете е коренът на вярата, че Wi-Fi криптирането вече върши работата на VPN.

VPN е второ, по-тясно решение

VPN отговаря на друг въпрос: до кои частни ресурси може да достигне тази самоличност и при какви условия? Той завършва на шлюз със собствена политика, собствени проверки на самоличността и често собствени изисквания за състоянието на устройството. Достижимото множество след вдигане на тунела обикновено е по-малко от вътрешната мрежа на сградата и специфично за ролята.

Затова роля за поддръжка може да бъде допусната до Wi-Fi като всички останали и все пак да се нуждае от тунел, за да достигне административна подмрежа. Решението за Wi-Fi е взето в точката за достъп; това решение се взема на шлюза.

И двата етапа могат да бъдат криптирани и все пак да налагат несвързани политики.

Къде се чупи доверието, основано на местоположение

Третирането на офис мрежата като мълчаливо надеждна се проваля по проста причина: мрежовото местоположение е свойство на връзката, не на човека. Насоките на NIST за нулево доверие казват това директно и затова достъпът до ресурси се решава за всяка заявка, а не за всяка сграда. Всеки, който се присъедини към същия SSID, наследява същото местоположение. Затова компрометиран лаптоп в мрежата на служителите заслужава същото съмнение като такъв в мрежата за гости.

Практическото следствие е, че оторизацията на приложенията все още трябва да съществува. VPN, който дава цяла подмрежа, плюс приложение, което се доверява на всяка заявка от тази подмрежа, е на едни идентификационни данни от лош ден.

Нито един слой не заменя другия, защото те отговарят на въпроси в различни обхвати.

Как да разберете дали второто влизане заслужава мястото си

Попитайте собственика на мрежата два въпроса: какво става достижимо след свързване на VPN и какви условия за самоличност или устройство се проверяват, за да се разреши? След това проверете отговорите, като тествате какво всъщност отговаря. Ако тунелът не променя нито достижимостта, нито гаранцията, той може да е оперативен навик, а не контрол, и това е решение за собственика, а не нещо, което потребителят трябва да заобикаля.

Търсете и нежелани директни пътища, защото ресурс, достижим без тунела, прави тунела декоративен.

Документирайте всяка граница и нейната цел и следващият човек няма да трябва да гадае защо има две влизания.