Обвържете офис достъпа с идентичност, а не с порта на комутатора
Сегментирането, допускането и оторизацията на услуги са различни задачи. Три условия решават дали достъпът, воден от идентичност, превъзхожда VLAN по порт.
На масата има два проекта. Единият държи служителите в VLAN по роли и редактира портовете на комутатора, когато хората се местят. Другият удостоверява сесията и оставя политиката да реши до какво може да се стигне. Изборът не е за модерност; той е за това дали три условия са налице в сградата ви. Ако някое от тях се провали, проектът на база портове не е глупав, той е този, който наистина можете да управлявате.
Трите условия са приложимост, качество на идентичността и поведение при отказ.
Условие 1: могат ли устройствата за достъп да наложат върната политика
802.1X е връзка между заявител на крайната точка, удостоверител в комутатора или точката за достъп и сървър за удостоверяване, достиган през RADIUS. Сървърът може да върне VLAN или друг резултат от политика и RFC 3580 описва този сигнал. Комутаторът все още трябва да приложи резултата, на който разчитате.
Искайте възможност, не протокол: динамично задаване на VLAN, изтегляеми ACL или пренасочване към портал за регистрация.
Условие 2: авторитетен ли е източникът на идентичност и бърз ли е за промяна
Членството в група в директорията помага само ако това е полето, което бизнесът вече редактира при промяна на роля. Ако задаването на роли живее в таблица, копирана в групите всеки месец, достъпът, воден от идентичност, просто автоматизира остарели входни данни. Проверете и закъснението, защото нов служител, който не може да работи цял ден, е по-лош резултат от ръчна промяна на порт. Удостоверяването на устройство, на потребител и двете заедно са отделни избори, а принтерите се нуждаят от явен модел, а не от необяснено заобикаляне.
Запишете съответствието: коя група дава коя политика и кой може да я промени.
Условие 3: решете поведението при отказ преди пилота
Всяко внедряване има неудостоверено състояние и състояние на недостъпен сървър, а политиката за двете е решение за сигурност. Тихото връщане към доверен сегмент проваля проекта; твърдият отказ блокира работата по време на прекъсване. Обичайната среда е ограничен сегмент само с интернет достъп и ясен път до службата за поддръжка. Тествайте връщането на реалния комутатор или безжична платформа, защото фабричните настройки на доставчика се различават.
Ако никой не може да опише връщането с едно изречение, проектът не е завършен.
Къде се вписва VPN
VPN удостоверява достъп през недоверен път и изискването му и в офис LAN може да е съзнателно решение за доверие. Той не премахва нуждата от съответствие на групи или от собствената оторизация на файловия сървър. Добавя също капацитет на шлюза, клиентски софтуер и управление на сесии към оперативния товар.
VPN, купен, за да се избегне редактиране на VLAN, реши грешния проблем и добави два нови.
Таблицата и едното нещо, което да запазите
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Запазете сегменти за сървъри, гости, устройства и оперативни технологии. Тези граници са за трафик, а не за длъжности, и оцеляват при всяка реорганизация. Поставете правата на служителите в политика за идентичност, където промяната на роля е една редакция, и използвайте поддържания механизъм за прекъсване, когато премахването трябва да е бързо.
Тестът на проекта е преместване на бюро: трябва да премести човек и оборудването му, а не да преустрои правата му около друг контакт.