Bürozugang an Identität binden, nicht an den Switch-Port

Zwei Entwürfe liegen auf dem Tisch. Der eine hält Mitarbeitende in rollenbasierten VLANs und ändert Switch-Ports, wenn Menschen umziehen. Der andere authentifiziert die Sitzung und lässt die Richtlinie entscheiden, was erreicht werden darf. Die Wahl ist keine Frage der Modernität; sie hängt davon ab, ob drei Bedingungen in Ihrem Gebäude gelten. Scheitert eine davon, ist der portbasierte Entwurf nicht dumm, sondern der, den Sie tatsächlich betreiben können.

Die drei Bedingungen sind Durchsetzbarkeit, Identitätsqualität und Fehlerverhalten.

Bedingung 1: Können die Zugangsgeräte eine zurückgegebene Richtlinie durchsetzen

802.1X ist eine Beziehung zwischen einem Supplikanten am Endpunkt, einem Authenticator im Switch oder Access Point und einem Authentifizierungsserver, der über RADIUS erreicht wird. Der Server kann ein VLAN oder ein anderes Richtlinienergebnis zurückgeben, und RFC 3580 beschreibt diese Signalisierung. Der Switch muss das Ergebnis, auf das Sie sich verlassen, trotzdem umsetzen.

Fragen Sie nach einer Fähigkeit, nicht nach einem Protokoll: dynamische VLAN-Zuweisung, herunterladbare ACLs oder eine Weiterleitung zu einem Registrierungsportal.

Bedingung 2: Ist die Identitätsquelle maßgeblich und schnell änderbar

Gruppenmitgliedschaft im Verzeichnis hilft nur, wenn es das Feld ist, das das Unternehmen bereits bearbeitet, wenn sich eine Rolle ändert. Lebt die Rollenzuweisung in einer Tabelle, die monatlich in Gruppen kopiert wird, automatisiert identitätsgesteuerter Zugang lediglich eine veraltete Eingabe. Prüfen Sie auch die Latenz, denn ein Neuzugang, der einen Tag lang nicht arbeiten kann, ist ein schlechteres Ergebnis als ein manueller Portwechsel. Geräteauthentifizierung, Benutzerauthentifizierung und beides zusammen sind getrennte Entscheidungen, und Drucker brauchen ein ausdrückliches Modell statt einer unerklärten Umgehung.

Schreiben Sie die Zuordnung auf: welche Gruppe welche Richtlinie gewährt und wer sie ändern darf.

Bedingung 3: Fehlerverhalten vor dem Pilotbetrieb festlegen

Jede Einführung hat einen nicht authentifizierten Zustand und einen Zustand mit nicht verfügbarem Server, und die Richtlinie für beides ist eine Sicherheitsentscheidung. Ein stiller Rückfall in ein vertrauenswürdiges Segment entwertet den Entwurf; ein harter Fehler blockiert die Arbeit während einer Störung. Der übliche Mittelweg ist ein eingeschränktes Segment mit reinem Internetzugang und einem klaren Weg zum Helpdesk. Testen Sie den Rückfall auf dem echten Switch oder der Funkplattform, denn Herstellervorgaben unterscheiden sich.

Wenn niemand den Rückfall in einem Satz beschreiben kann, ist der Entwurf nicht fertig.

Wo die VPN hineinpasst

Eine VPN authentifiziert den Zugang über einen nicht vertrauenswürdigen Pfad, und sie auch im Büro-LAN zu verlangen, kann eine bewusste Vertrauensentscheidung sein. Sie ersetzt weder die Gruppenzuordnung noch die eigene Autorisierung des Fileservers. Sie fügt der Betriebslast außerdem Gateway-Kapazität, Client-Software und Sitzungsverwaltung hinzu.

Eine VPN, die gekauft wurde, um VLAN-Bearbeitung zu vermeiden, hat das falsche Problem gelöst und zwei neue hinzugefügt.

Die Tabelle und das eine, was bleiben sollte

Behalten Sie Segmente für Server, Gäste, Geräte und Betriebstechnik. Diese Grenzen betreffen Verkehr statt Jobtitel, und sie überstehen jede Umorganisation. Legen Sie die Berechtigungen der Mitarbeitenden in die Identitätsrichtlinie, wo eine Rollenänderung eine Bearbeitung ist, und nutzen Sie den unterstützten Trennmechanismus, wenn eine Entfernung schnell erfolgen muss.

Der Test des Entwurfs ist ein Schreibtischumzug: Er soll eine Person und ihre Ausrüstung bewegen, nicht ihre Berechtigungen um eine andere Dose herum neu bauen.