Cysylltu mynediad y swyddfa â hunaniaeth, nid â phorth y swits
Mae segmentu, derbyn a chymhwyso gwasanaeth yn wahanol swyddi. Mae tri amod yn penderfynu a yw mynediad sy'n seiliedig ar hunaniaeth yn curo VLAN fesul porth.
Mae dau gynllun ar y bwrdd. Mae un yn cadw gweithwyr mewn VLANau sy'n seiliedig ar rolau ac yn golygu porthladdoedd y swits pan fydd pobl yn symud. Mae'r llall yn dilysu'r sesiwn ac yn gadael i'r polisi benderfynu beth y caiff ei gyrraedd. Nid yw'r dewis yn ymwneud â moderniaeth; mae'n ymwneud ag a yw tri amod yn dal yn eich adeilad. Os bydd unrhyw un ohonynt yn methu, nid yw'r cynllun sy'n seiliedig ar borthladdoedd yn dwp, dyma'r un y gallwch ei weithredu mewn gwirionedd.
Y tri amod yw gorfodadwyedd, ansawdd hunaniaeth ac ymddygiad methiant.
Amod 1: a all y dyfeisiau mynediad orfodi polisi a ddychwelwyd
Mae 802.1X yn berthynas rhwng hawlgarwr ar y pen draw, dilyswr yn y swits neu'r pwynt mynediad, a gweinydd dilysu a gyrchir dros RADIUS. Gall y gweinydd ddychwelyd VLAN neu ganlyniad polisi arall, ac mae RFC 3580 yn disgrifio'r signal hwnnw. Rhaid i'r swits o hyd weithredu'r canlyniad rydych yn dibynnu arno.
Gofynnwch am allu, nid am brotocol: neilltuo VLAN deinamig, ACLau y gellir eu lawrlwytho, neu ailgyfeirio i borth cofrestru.
Amod 2: a yw'r ffynhonnell hunaniaeth yn awdurdodol ac yn gyflym i'w newid
Mae aelodaeth grŵp yn y cyfeiriadur yn helpu dim ond os mai dyna'r maes y mae'r busnes yn ei olygu'n barod pan fydd rôl yn newid. Os yw neilltuo rolau yn byw mewn taenlen a gopïir i grwpiau bob mis, mae mynediad sy'n seiliedig ar hunaniaeth yn awtomeiddio mewnbwn hen ffasiwn yn unig. Gwiriwch yr oedi hefyd, oherwydd mae gweithiwr newydd na all weithio am ddiwrnod yn ganlyniad gwaeth na newid porth â llaw. Mae dilysu dyfais, dilysu defnyddiwr a'r ddau gyda'i gilydd yn wahanol ddewisiadau, ac mae angen model penodol ar argraffwyr yn hytrach na osgoi heb esboniad.
Ysgrifennwch y mapio: pa grŵp sy'n rhoi pa bolisi, a phwy a ganiateir ei newid.
Amod 3: penderfynwch ar ymddygiad methiant cyn y peilot
Mae gan bob defnyddiad wladwriaeth heb ei dilysu a chyflwr gweinydd heb fod ar gael, ac mae'r polisi ar gyfer y ddau yn benderfyniad diogelwch. Mae cwymp distaw i segment ymddiried yn trechu'r cynllun; mae methiant caled yn rhwystro gwaith yn ystod toriad. Y canolbwynt arferol yw segment cyfyngedig gyda mynediad i'r rhyngrwyd yn unig a llwybr clir i'r ddesg gymorth. Profwch y cwymp ar y swits neu'r platfform di-wifr go iawn, oherwydd mae rhagosodiadau gwerthwyr yn wahanol.
Os na all neb ddisgrifio'r cwymp mewn un frawddeg, nid yw'r cynllun wedi gorffen.
Ble mae'r VPN yn ffitio
Mae VPN yn dilysu mynediad ar draws llwybr heb ymddiriedaeth, a gall ei gwneud yn ofynnol ar LAN y swyddfa hefyd fod yn benderfyniad ymddiriedaeth bwriadol. Nid yw'n dileu'r angen am fapio grwpiau nac am awdurdodiad y gweinydd ffeiliau ei hun. Mae hefyd yn ychwanegu capasiti porth, meddalwedd cleient a rheoli sesiwn at y baich gweithredol.
Mae VPN a brynwyd i osgoi golygu VLANau wedi datrys y broblem anghywir ac wedi ychwanegu dwy ragor.
Y tabl, a'r un peth i'w gadw
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Cadwch segmentau ar gyfer gweinyddion, gwesteion, dyfeisiau a thechnoleg weithredol. Mae'r ffiniau hynny'n ymwneud â thraffig yn hytrach na theitlau swyddi, ac maent yn goroesi unrhyw ailstrwythur. Rhowch hawliau'r gweithiwr ym mholisi hunaniaeth, lle mae newid rôl yn un golygiad, a defnyddiwch y mecanwaith datgysylltu a gefnogir pan fo'n rhaid i dynnu fod yn brydlon.
Prawf y cynllun yw symud desg: dylai symud person a'i offer, nid ailadeiladu ei ganiatadau o amgylch jac gwahanol.