Sur la oficeja Wi-Fi kaj ankoraŭ oni petas VPN? Jen kial

La tekokomputilo estas sur la kompania SSID, la atestila peto estis akceptita, kaj reta aplikaĵo ankoraŭ petas la VPN. Ĝi aspektas kiel duobla laboro, kaj foje ĝi estas. La du ensalutoj kutime plenumas malsamajn decidojn, kaj la sola maniero scii, ĉu la dua meritas sian lokon, estas demandi, kion ĝi ŝanĝas.

Aliĝi al reto estas akcepta decido

802.1X-enkonduko respondas unu demandon: ĉu ĉi tiu aparato aŭ uzanto rajtas konektiĝi al ĉi tiu reto? La alirpunkto transdonas la akreditaĵojn al RADIUS-servilo, kaj la respondo povas porti atributojn, kiuj metas la sesion en apartan VLAN aŭ aplikas filtrilon. Tio estas akcepto kaj segmentado, ne rajtigo por iu ajn aparta aplikaĵo.

Post kiam la sesio estas akceptita, la sendrata ligo estas ĉifrata inter la kliento kaj la alirpunkto. La protekto finiĝas tie, ĉe la rando de la kablita reto.

Ĉio preter tiu punkto estas ordinara enkursigado ene de la konstruaĵo, kun tia interna atingeblo, kian la segmento permesas.

Kion EAP-TTLS efektive protektas

EAP-TTLS konstruas TLS-tunelon dum aŭtentikigo kaj rulas internan metodon ene de ĝi. La interna metodo ofte estas PAP, kaj ĝia apero en projekto ne signifas, ke la pasvorto pasas tra la aero en klara teksto, ĉar la TLS-tunelo estas tio, kio transportas ĝin. La kliento ankoraŭ devas kontroli la identecon de la servilo kaj fidi la ĝustan CA, kaj konata SSID ne estas tiu kontrolo. Legu la elekton de interna metodo kiel formaton de akreditaĵoj, ne kiel aserton pri la ekstera ĉifrado.

Ĉi tio estas aŭtentiga interŝanĝo, ne datena tunelo por la posta trafiko de la tekokomputilo.

Kiam la aŭtentikigo finiĝas, la TLS-tunelo malaperas kaj la pakaĵoj de la kliento vojaĝas trans la akceptitan segmenton. Konfuzi la du estas la radiko de la kredo, ke Wi-Fi-ĉifrado jam faras la laboron de la VPN.

La VPN estas dua, pli mallarĝa decido

VPN respondas malsaman demandon: al kiuj privataj rimedoj ĉi tiu identeco rajtas atingi, kaj sub kiuj kondiĉoj? Ĝi finiĝas ĉe enirejo kun propra politiko, propraj identeckontroloj kaj ofte propraj postuloj pri la stato de la aparato. La atingebla aro post kiam la tunelo ekfunkcias kutime estas pli malgranda ol la interna reto de la konstruaĵo kaj specifa por la rolo.

Tial bontenada rolo povas esti akceptita al Wi-Fi kiel ĉiuj aliaj kaj tamen bezoni tunelon por atingi administran subreton. La Wi-Fi-decida estis farita ĉe la alirpunkto; ĉi tiu estas farata ĉe la enirejo.

Ambaŭ etapoj povas esti ĉifrataj kaj tamen plenumi nerilatajn politikojn.

Kie rompiĝas lok-bazita fido

Trakti la oficejan reton kiel implicite fidindan malsukcesas pro simpla kialo: reta loko estas eco de la konekto, ne de la persono. La gvidlinioj de NIST pri nula fido diras tion rekte, kaj tial aliro al rimedoj estas decidata laŭ peto, ne laŭ konstruaĵo. Ĉiu, kiu aliĝas al la sama SSID, heredas la saman lokon. Tial ankaŭ kompromitita tekokomputilo sur la personala reto meritas la saman skeptikon kiel unu sur la gastiga reto.

La praktika konsekvenco estas, ke aplikaĵa rajtigo ankoraŭ devas ekzisti. VPN, kiu donas tutan subreton, plus aplikaĵo, kiu fidas ĉiun peton el tiu subreto, estas unu akreditaĵo for de malbona tago.

Neniu el la du tavoloj anstataŭas la alian, ĉar ili respondas demandojn laŭ malsamaj ampleksoj.

Kiel scii, ĉu la dua ensaluto meritas sian lokon

Demandu la retposedanton pri du aferoj: kio fariĝas atingebla post kiam la VPN konektiĝas, kaj kiuj identec- aŭ aparatkondiĉoj estas kontrolataj por permesi tion? Poste kontrolu la respondojn per testado de tio, kio efektive respondas. Se la tunelo ŝanĝas nek atingeblon nek garantion, ĝi povas esti operacia kutimo anstataŭ kontrolo, kaj tio estas decido por la posedanto, ne io, kion uzanto devus ĉirkaŭi.

Serĉu ankaŭ neintencitajn rektajn vojojn, ĉar rimedo atingebla sen la tunelo faras la tunelon ornama.

Dokumentu ĉiun limon kaj ĝian celon, kaj la sekva persono ne devos diveni, kial estas du ensalutoj.