Συνδέστε την πρόσβαση στο γραφείο με την ταυτότητα, όχι με τη θύρα του μεταγωγέα

Υπάρχουν δύο σχέδια στο τραπέζι. Το ένα κρατά τους εργαζόμενους σε VLAN βάσει ρόλων και αλλάζει τις θύρες του μεταγωγέα όταν μετακινούνται άνθρωποι. Το άλλο επαληθεύει την περίοδο σύνδεσης και αφήνει την πολιτική να αποφασίσει τι επιτρέπεται να προσεγγίσει. Η επιλογή δεν αφορά τον εκσυγχρονισμό· αφορά το αν ισχύουν τρεις συνθήκες στο κτίριό σας. Αν αποτύχει οποιαδήποτε από αυτές, το σχέδιο με θύρες δεν είναι ανόητο, είναι αυτό που μπορείτε πραγματικά να λειτουργήσετε.

Οι τρεις συνθήκες είναι η δυνατότητα επιβολής, η ποιότητα ταυτότητας και η συμπεριφορά σε αποτυχία.

Συνθήκη 1: μπορούν οι συσκευές πρόσβασης να επιβάλουν μια πολιτική που επιστρέφεται

Το 802.1X είναι μια σχέση ανάμεσα σε έναν αιτούντα στο τελικό σημείο, έναν επαληθευτή στον μεταγωγέα ή στο σημείο πρόσβασης και έναν διακομιστή επαλήθευσης που προσεγγίζεται μέσω RADIUS. Ο διακομιστής μπορεί να επιστρέψει ένα VLAN ή άλλο αποτέλεσμα πολιτικής, και το RFC 3580 περιγράφει αυτή τη σηματοδότηση. Ο μεταγωγέας πρέπει παρόλα αυτά να υλοποιήσει το αποτέλεσμα στο οποίο βασίζεστε.

Ζητήστε μια δυνατότητα, όχι ένα πρωτόκολλο: δυναμική ανάθεση VLAN, ACL που μπορούν να μεταφορτωθούν ή ανακατεύθυνση σε πύλη εγγραφής.

Συνθήκη 2: είναι η πηγή ταυτότητας έγκυρη και γρήγορη στην αλλαγή

Η ιδιότητα μέλους ομάδας στον κατάλογο βοηθά μόνο αν είναι το πεδίο που η επιχείρηση επεξεργάζεται ήδη όταν αλλάζει ένας ρόλος. Αν η ανάθεση ρόλων ζει σε ένα υπολογιστικό φύλλο που αντιγράφεται σε ομάδες κάθε μήνα, η πρόσβαση βάσει ταυτότητας απλώς αυτοματοποιεί μια παρωχημένη είσοδο. Ελέγξτε και την καθυστέρηση, γιατί ένας νεοπροσληφθείς που δεν μπορεί να εργαστεί για μια ημέρα είναι χειρότερο αποτέλεσμα από μια χειροκίνητη αλλαγή θύρας. Η επαλήθευση συσκευής, η επαλήθευση χρήστη και τα δύο μαζί είναι ξεχωριστές επιλογές, και οι εκτυπωτές χρειάζονται ένα ρητό μοντέλο αντί για μια ανεξήγητη παράκαμψη.

Γράψτε την αντιστοίχιση: ποια ομάδα παρέχει ποια πολιτική και ποιος επιτρέπεται να την αλλάξει.

Συνθήκη 3: αποφασίστε τη συμπεριφορά σε αποτυχία πριν από το πιλοτικό

Κάθε ανάπτυξη έχει μια μη επαληθευμένη κατάσταση και μια κατάσταση μη διαθέσιμου διακομιστή, και η πολιτική για τις δύο είναι απόφαση ασφαλείας. Μια σιωπηλή υποχώρηση σε τμήμα εμπιστοσύνης ακυρώνει το σχέδιο· μια σκληρή αποτυχία μπλοκάρει την εργασία κατά τη διάρκεια διακοπής. Η συνήθης μέση λύση είναι ένα περιορισμένο τμήμα με πρόσβαση μόνο στο διαδίκτυο και μια σαφή διαδρομή προς την υπηρεσία υποστήριξης. Δοκιμάστε την υποχώρηση στον πραγματικό μεταγωγέα ή στην ασύρματη πλατφόρμα, γιατί οι προεπιλογές των προμηθευτών διαφέρουν.

Αν κανείς δεν μπορεί να περιγράψει την υποχώρηση σε μία πρόταση, το σχέδιο δεν έχει ολοκληρωθεί.

Πού ταιριάζει το VPN

Ένα VPN επαληθεύει την πρόσβαση μέσω μη αξιόπιστης διαδρομής, και το να το απαιτείτε και στο LAN του γραφείου μπορεί να είναι συνειδητή απόφαση εμπιστοσύνης. Δεν αφαιρεί την ανάγκη για αντιστοίχιση ομάδων ούτε για την εξουσιοδότηση του ίδιου του διακομιστή αρχείων. Προσθέτει επίσης χωρητικότητα πύλης, λογισμικό πελάτη και διαχείριση περιόδων σύνδεσης στο λειτουργικό φορτίο.

Ένα VPN που αγοράστηκε για να αποφευχθεί η επεξεργασία VLAN έλυσε το λάθος πρόβλημα και πρόσθεσε δύο νέα.

Ο πίνακας και το ένα πράγμα που πρέπει να κρατήσετε

Κρατήστε τμήματα για διακομιστές, επισκέπτες, συσκευές και λειτουργική τεχνολογία. Αυτά τα όρια αφορούν την κίνηση και όχι τους τίτλους εργασίας, και επιβιώνουν από οποιαδήποτε αναδιοργάνωση. Βάλτε τα δικαιώματα των εργαζομένων στην πολιτική ταυτότητας, όπου μια αλλαγή ρόλου είναι μία επεξεργασία, και χρησιμοποιήστε τον υποστηριζόμενο μηχανισμό αποσύνδεσης όταν η αφαίρεση πρέπει να είναι άμεση.

Η δοκιμή του σχεδίου είναι μια μετακόμιση γραφείου: πρέπει να μετακινήσει ένα άτομο και τον εξοπλισμό του, όχι να ξαναχτίσει τα δικαιώματά του γύρω από άλλη υποδοχή.