Spojte přístup do kanceláře s identitou, ne s portem přepínače
Segmentace, přijetí a autorizace služeb jsou různé úkoly. Tři podmínky rozhodují, zda přístup řízený identitou porazí VLAN na portu.
Na stole jsou dva návrhy. Jeden drží zaměstnance ve VLAN podle rolí a upravuje porty přepínače, když se lidé stěhují. Druhý ověřuje relaci a nechává politiku rozhodnout, kam se smí dostat. Volba není o modernosti; jde o to, zda ve vaší budově platí tři podmínky. Pokud kterákoli selže, návrh založený na portech není hloupý, je to ten, který skutečně dokážete provozovat.
Tři podmínky jsou vynutitelnost, kvalita identity a chování při selhání.
Podmínka 1: dokážou přístupová zařízení vynutit vrácenou politiku
802.1X je vztah mezi supplikantem na koncovém bodě, autentizátorem v přepínači nebo přístupovém bodě a autentizačním serverem dosaženým přes RADIUS. Server může vrátit VLAN nebo jiný výsledek politiky a RFC 3580 popisuje tuto signalizaci. Přepínač však stále musí implementovat výsledek, na který spoléháte.
Žádejte schopnost, ne protokol: dynamické přiřazení VLAN, stahovatelné ACL, nebo přesměrování na registrační portál.
Podmínka 2: je zdroj identity autoritativní a rychlý ke změně
Členství ve skupině v adresáři pomáhá jen tehdy, je-li to pole, které firma už upravuje, když se role změní. Pokud přiřazení rolí žije v tabulce kopírované do skupin každý měsíc, přístup řízený identitou jen automatizuje zastaralý vstup. Zkontrolujte i latenci, protože nováček, který den nemůže pracovat, je horší výsledek než ruční změna portu. Ověřování zařízení, ověřování uživatele a obojí dohromady jsou samostatné volby a tiskárny potřebují výslovný model místo nevysvětleného obejití.
Zapište mapování: která skupina uděluje kterou politiku a kdo ji smí změnit.
Podmínka 3: rozhodněte o chování při selhání před pilotem
Každé nasazení má neověřený stav a stav nedostupného serveru a politika pro oba je bezpečnostní rozhodnutí. Tichý návrat do důvěryhodného segmentu návrh ničí; tvrdé selhání blokuje práci během výpadku. Obvyklým kompromisem je omezený segment pouze s internetovým přístupem a jasnou cestou na help desk. Otestujte návrat na skutečném přepínači nebo bezdrátové platformě, protože výchozí hodnoty výrobců se liší.
Jestliže nikdo nedokáže návrat popsat jednou větou, návrh není hotový.
Kam zapadá VPN
VPN ověřuje přístup přes nedůvěryhodnou cestu a vyžadovat ji i na kancelářské LAN může být záměrné rozhodnutí o důvěře. Neodstraňuje potřebu mapování skupin ani vlastní autorizace souborového serveru. Přidává také kapacitu brány, klientský software a správu relací k provozní zátěži.
VPN koupená, aby se vyhnula úpravám VLAN, vyřešila špatný problém a přidala dva nové.
Tabulka a jedna věc, kterou je třeba zachovat
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Zachovejte segmenty pro servery, hosty, zařízení a provozní technologie. Tyto hranice jsou o provozu, ne o pracovních pozicích, a přežijí každou reorganizaci. Uložte oprávnění zaměstnanců do politiky identity, kde je změna role jednou úpravou, a použijte podporovaný mechanismus odpojení, když musí být odebrání rychlé.
Testem návrhu je stěhování stolu: má přesunout člověka a jeho vybavení, ne přestavět jeho oprávnění kolem jiné zásuvky.