অফিস প্রবেশাধিকারকে পরিচয়ের সঙ্গে বাঁধুন, সুইচ পোর্টের সঙ্গে নয়
সেগমেন্টেশন, ভর্তি এবং পরিষেবা অনুমোদন আলাদা কাজ। তিনটি শর্ত ঠিক করে পরিচয়-চালিত প্রবেশাধিকার প্রতি-পোর্ট VLAN-কে ছাড়িয়ে যায় কি না।
টেবিলে দুটি নকশা আছে। একটি কর্মীদের ভূমিকা-ভিত্তিক VLAN-এ রাখে এবং লোকজন সরলে সুইচ পোর্ট সম্পাদনা করে। অন্যটি সেশন প্রমাণীকরণ করে এবং নীতিকে ঠিক করতে দেয় এটি কী পর্যন্ত পৌঁছাতে পারে। পছন্দটি আধুনিকতা নিয়ে নয়; এটি নিয়ে যে আপনার ভবনে তিনটি শর্ত খাটে কি না। এর যেকোনোটি ব্যর্থ হলে, পোর্ট-ভিত্তিক নকশাটি বোকা নয়, এটিই সেই নকশা যা আপনি সত্যিই চালাতে পারেন।
তিনটি শর্ত হলো প্রয়োগযোগ্যতা, পরিচয়ের গুণমান এবং ব্যর্থতার আচরণ।
শর্ত 1: প্রবেশাধিকার ডিভাইসগুলো কি ফেরত দেওয়া নীতি প্রয়োগ করতে পারে
802.1X হলো প্রান্তে থাকা একটি সাপ্লিক্যান্ট, সুইচ বা অ্যাক্সেস পয়েন্টে থাকা একটি অথেনটিকেটর এবং RADIUS-এর মাধ্যমে পৌঁছানো একটি প্রমাণীকরণ সার্ভারের মধ্যে সম্পর্ক। সার্ভার একটি VLAN বা অন্য নীতি-ফলাফল ফেরত দিতে পারে, এবং RFC 3580 সেই সংকেত বর্ণনা করে। সুইচকে এখনও সেই ফলাফল বাস্তবায়ন করতে হবে যার উপর আপনি নির্ভর করছেন।
একটি সক্ষমতা চান, প্রোটোকল নয়: গতিশীল VLAN বরাদ্দ, ডাউনলোডযোগ্য ACL, অথবা নিবন্ধন পোর্টালে পুনর্নির্দেশ।
শর্ত 2: পরিচয়ের উৎস কি কর্তৃত্বপূর্ণ এবং দ্রুত পরিবর্তনযোগ্য
ডিরেক্টরিতে গ্রুপ সদস্যপদ কেবল তখনই সাহায্য করে যখন এটি সেই ক্ষেত্র যা ভূমিকা বদলালে ব্যবসা ইতিমধ্যেই সম্পাদনা করে। যদি ভূমিকা বরাদ্দ এমন একটি স্প্রেডশিটে থাকে যা মাসে মাসে গ্রুপে কপি করা হয়, তবে পরিচয়-চালিত প্রবেশাধিকার কেবল একটি পুরোনো ইনপুট স্বয়ংক্রিয় করে। বিলম্বও পরীক্ষা করুন, কারণ যে নতুন কর্মী একদিন কাজ করতে পারে না, সে ম্যানুয়াল পোর্ট পরিবর্তনের চেয়ে খারাপ ফল। ডিভাইস প্রমাণীকরণ, ব্যবহারকারী প্রমাণীকরণ এবং দুটোই একসঙ্গে আলাদা পছন্দ, আর প্রিন্টারগুলোর স্পষ্ট মডেল দরকার, অব্যাখ্যাত বাইপাস নয়।
ম্যাপিংটি লিখে রাখুন: কোন গ্রুপ কোন নীতি দেয়, এবং কে তা পরিবর্তন করতে পারে।
শর্ত 3: পাইলটের আগে ব্যর্থতার আচরণ ঠিক করুন
প্রতিটি স্থাপনায় একটি অপ্রমাণিত অবস্থা এবং একটি সার্ভার-অনুপলব্ধ অবস্থা থাকে, আর দুটির জন্যই নীতি একটি নিরাপত্তা সিদ্ধান্ত। বিশ্বস্ত সেগমেন্টে নীরব প্রত্যাবর্তন নকশাটিকে হারিয়ে দেয়; কঠোর ব্যর্থতা বিভ্রাটের সময় কাজ আটকে দেয়। স্বাভাবিক মধ্যবর্তী পথ হলো কেবল ইন্টারনেট-অ্যাক্সেসসহ একটি সীমাবদ্ধ সেগমেন্ট এবং হেল্প ডেস্কে স্পষ্ট পথ। প্রকৃত সুইচ বা বেতার প্ল্যাটফর্মে প্রত্যাবর্তন পরীক্ষা করুন, কারণ বিক্রেতার ডিফল্ট ভিন্ন হয়।
যদি কেউ এক বাক্যে প্রত্যাবর্তনটি বর্ণনা করতে না পারে, তবে নকশাটি শেষ হয়নি।
VPN কোথায় বসে
VPN একটি অবিশ্বস্ত পথ জুড়ে প্রবেশাধিকার প্রমাণীকরণ করে, এবং অফিস LAN-এও এটি বাধ্যতামূলক করা একটি ইচ্ছাকৃত বিশ্বাস-সিদ্ধান্ত হতে পারে। এটি গ্রুপ ম্যাপিং বা ফাইল সার্ভারের নিজস্ব অনুমোদনের প্রয়োজন মেটায় না। এটি পরিচালনভার-এ গেটওয়ে সক্ষমতা, ক্লায়েন্ট সফটওয়্যার এবং সেশন ব্যবস্থাপনাও যোগ করে।
VLAN সম্পাদনা এড়াতে কেনা একটি VPN ভুল সমস্যার সমাধান করেছে এবং দুটি নতুন সমস্যা যোগ করেছে।
টেবিলটি, এবং একটিমাত্র জিনিস যা রাখতে হবে
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
সার্ভার, অতিথি, ডিভাইস এবং পরিচালন প্রযুক্তির জন্য সেগমেন্ট রাখুন। সেই সীমাগুলো পদবি নয়, ট্রাফিক নিয়ে, এবং যেকোনো পুনর্গঠনে টিকে থাকে। কর্মীদের অধিকার পরিচয়-নীতিতে রাখুন, যেখানে ভূমিকা পরিবর্তন একটিমাত্র সম্পাদনা, এবং অপসারণ দ্রুত হতে হলে সমর্থিত সংযোগ-বিচ্ছিন্নকরণ ব্যবস্থা ব্যবহার করুন।
নকশার পরীক্ষা হলো একটি ডেস্ক স্থানান্তর: এতে একজন মানুষ ও তার সরঞ্জাম সরানো উচিত, অন্য একটি জ্যাকের চারপাশে তার অনুমতিগুলো নতুন করে গড়া নয়।