Lliga l’accés a l’oficina a la identitat, no al port del commutador
La segmentació, l’admissió i l’autorització de serveis són feines diferents. Tres condicions decideixen si l’accés basat en la identitat supera les VLAN per port.
Hi ha dos dissenys sobre la taula. Un manté els empleats en VLAN basades en rols i edita els ports del commutador quan la gent es mou. L’altre autentica la sessió i deixa que la política decideixi a què pot arribar. L’elecció no va de modernitat; va de si es compleixen tres condicions al teu edifici. Si alguna falla, el disseny basat en ports no és ximple, és el que realment pots operar.
Les tres condicions són l’aplicabilitat, la qualitat de la identitat i el comportament davant d’una fallada.
Condició 1: poden els dispositius d’accés aplicar una política retornada
802.1X és una relació entre un suplicant a l’extrem, un autenticador al commutador o al punt d’accés i un servidor d’autenticació abastat per RADIUS. El servidor pot retornar una VLAN o un altre resultat de política, i RFC 3580 descriu aquest senyal. El commutador encara ha d’implementar el resultat en què confies.
Demana una capacitat, no un protocol: assignació dinàmica de VLAN, ACL descarregables o una redirecció a un portal de registre.
Condició 2: és la font d’identitat autoritativa i ràpida de canviar
La pertinença a un grup al directori només ajuda si és el camp que el negoci ja edita quan canvia un rol. Si l’assignació de rols viu en un full de càlcul copiat als grups cada mes, l’accés basat en la identitat simplement automatitza una entrada obsoleta. Comprova també la latència, perquè un nouvingut que no pot treballar un dia sencer és un resultat pitjor que un canvi manual de port. L’autenticació de dispositiu, la d’usuari i totes dues juntes són tries separades, i les impressores necessiten un model explícit en lloc d’una exempció sense explicar.
Escriu la correspondència: quin grup atorga quina política i qui la pot canviar.
Condició 3: decideix el comportament davant d’una fallada abans del pilot
Cada desplegament té un estat no autenticat i un estat de servidor no disponible, i la política per a tots dos és una decisió de seguretat. Una recaiguda silenciosa en un segment de confiança derrota el disseny; una fallada dura bloqueja la feina durant una caiguda. El punt mitjà habitual és un segment restringit amb accés només a internet i una ruta clara cap al servei d’assistència. Prova la recaiguda al commutador o a la plataforma sense fil reals, perquè els valors per defecte dels proveïdors difereixen.
Si ningú no pot descriure la recaiguda en una frase, el disseny no està acabat.
On encaixa la VPN
Una VPN autentica l’accés per un camí no fiable, i exigir-la també a la LAN de l’oficina pot ser una decisió de confiança deliberada. No elimina la necessitat de mapar grups ni de l’autorització pròpia del servidor de fitxers. També afegeix capacitat de passarel·la, programari de client i gestió de sessions a la càrrega operativa.
Una VPN comprada per evitar editar VLAN ha resolt el problema equivocat i n’ha afegit dos de nous.
La taula, i l’única cosa que cal conservar
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Conserva segments per a servidors, convidats, dispositius i tecnologia operativa. Aquestes fronteres van de trànsit, no de càrrecs, i sobreviuen a qualsevol reorganització. Posa els drets dels empleats a la política d’identitat, on un canvi de rol és una sola edició, i fes servir el mecanisme de desconnexió suportat quan la retirada ha de ser ràpida.
La prova del disseny és un trasllat d’escriptori: ha de moure una persona i el seu equip, no reconstruir els seus permisos al voltant d’una altra presa.