Im Firmen-WLAN und trotzdem wird eine VPN verlangt? Das steckt dahinter

Das Notebook hängt am Unternehmens-SSID, die Zertifikatsabfrage wurde akzeptiert, und eine Web-App verlangt trotzdem die VPN. Das wirkt wie doppelte Arbeit, und manchmal ist es das auch. Die beiden Anmeldungen setzen meist unterschiedliche Entscheidungen durch, und der einzige Weg zu wissen, ob die zweite ihren Platz verdient, ist zu fragen, was sie ändert.

Der Beitritt zu einem Netzwerk ist eine Zulassungsentscheidung

Eine 802.1X-Bereitstellung beantwortet eine Frage: Darf dieses Gerät oder dieser Benutzer sich mit diesem Netzwerk verbinden? Der Access Point reicht die Anmeldedaten an einen RADIUS-Server weiter, und die Antwort kann Attribute tragen, die die Sitzung in ein bestimmtes VLAN legen oder einen Filter anwenden. Das ist Zulassung und Segmentierung, keine Autorisierung für eine bestimmte Anwendung.

Sobald die Sitzung zugelassen ist, wird die Funkstrecke zwischen Client und Access Point verschlüsselt. Dort endet der Schutz, am Rand des kabelgebundenen Netzes.

Alles jenseits dieses Punktes ist gewöhnliches Routing innerhalb des Gebäudes, mit der internen Erreichbarkeit, die das Segment zulässt.

Was EAP-TTLS tatsächlich schützt

EAP-TTLS baut während der Authentifizierung einen TLS-Tunnel auf und führt darin eine innere Methode aus. Die innere Methode ist oft PAP, und ihr Auftauchen in einem Entwurf bedeutet nicht, dass das Passwort im Klartext durch die Luft geht, denn der TLS-Tunnel trägt es. Der Client muss weiterhin die Identität des Servers prüfen und der richtigen CA vertrauen, und eine vertraute SSID ist diese Prüfung nicht. Lesen Sie die Wahl der inneren Methode als Format der Anmeldedaten, nicht als Aussage über die äußere Verschlüsselung.

Das ist ein Authentifizierungsaustausch, kein Datentunnel für den späteren Verkehr des Notebooks.

Wenn die Authentifizierung endet, ist der TLS-Tunnel weg, und die Pakete des Clients laufen über das zugelassene Segment. Die beiden zu verwechseln ist die Wurzel des Glaubens, WLAN-Verschlüsselung erledige bereits die Aufgabe der VPN.

Die VPN ist eine zweite, engere Entscheidung

Eine VPN beantwortet eine andere Frage: Auf welche privaten Ressourcen darf diese Identität zugreifen, und unter welchen Bedingungen? Sie endet an einem Gateway mit eigener Richtlinie, eigenen Identitätsprüfungen und oft eigenen Anforderungen an den Gerätezustand. Die erreichbare Menge nach Aufbau des Tunnels ist meist kleiner als das interne Netz des Gebäudes und rollenspezifisch.

Deshalb kann eine Wartungsrolle wie alle anderen ins WLAN gelassen werden und braucht trotzdem einen Tunnel, um ein Verwaltungssubnetz zu erreichen. Die WLAN-Entscheidung fiel am Access Point; diese fällt am Gateway.

Beide Stufen können verschlüsselt sein und dennoch unabhängige Richtlinien durchsetzen.

Wo standortbasierendes Vertrauen bricht

Das Büronetz als implizit vertrauenswürdig zu behandeln scheitert aus einem einfachen Grund: Der Netzwerkstandort ist eine Eigenschaft der Verbindung, nicht der Person. Die Zero-Trust-Leitlinien von NIST sagen das direkt, und deshalb wird Ressourcenzugriff pro Anfrage entschieden und nicht pro Gebäude. Wer demselben SSID beitritt, erbt denselben Standort. Deshalb verdient ein kompromittiertes Notebook im Mitarbeiternetz dieselbe Skepsis wie eines im Gästenetz.

Die praktische Folge ist, dass Anwendungsautorisierung weiterhin existieren muss. Eine VPN, die ein ganzes Subnetz gewährt, plus eine Anwendung, die jeder Anfrage aus diesem Subnetz vertraut, ist einen Anmeldedatensatz von einem schlechten Tag entfernt.

Keine der beiden Schichten ersetzt die andere, weil sie Fragen in unterschiedlichen Reichweiten beantworten.

Wie Sie erkennen, ob die zweite Anmeldung ihren Platz verdient

Fragen Sie den Netzwerkverantwortlichen zwei Dinge: Was wird erreichbar, nachdem die VPN verbindet, und welche Identitäts- oder Gerätebedingungen werden geprüft, um das zu erlauben? Prüfen Sie dann die Antworten, indem Sie testen, was tatsächlich antwortet. Ändert der Tunnel weder Erreichbarkeit noch Gewissheit, ist er vielleicht operative Gewohnheit statt Kontrolle, und das ist eine Entscheidung des Verantwortlichen, nicht etwas, das ein Nutzer umgehen sollte.

Suchen Sie auch nach unbeabsichtigten direkten Pfaden, denn eine ohne den Tunnel erreichbare Ressource macht den Tunnel dekorativ.

Dokumentieren Sie jede Grenze und ihren Zweck, dann muss die nächste Person nicht raten, warum es zwei Anmeldungen gibt.