Vincule el acceso a la oficina con la identidad, no con el puerto del conmutador

Hay dos diseños sobre la mesa. Uno mantiene a los empleados en VLAN basadas en roles y edita los puertos del conmutador cuando la gente se muda. El otro autentica la sesión y deja que la política decida a qué puede llegar. La elección no va de modernidad; va de si se cumplen tres condiciones en su edificio. Si falla alguna, el diseño basado en puertos no es tonto, es el que realmente puede operar.

Las tres condiciones son la aplicabilidad, la calidad de la identidad y el comportamiento ante fallos.

Condición 1: pueden los dispositivos de acceso aplicar una política devuelta

802.1X es una relación entre un suplicante en el extremo, un autenticador en el conmutador o el punto de acceso y un servidor de autenticación alcanzado por RADIUS. El servidor puede devolver una VLAN u otro resultado de política, y RFC 3580 describe esa señalización. El conmutador aún debe implementar el resultado en el que confía.

Pida una capacidad, no un protocolo: asignación dinámica de VLAN, ACL descargables o una redirección a un portal de registro.

Condición 2: es la fuente de identidad autoritativa y rápida de cambiar

La pertenencia a un grupo en el directorio solo ayuda si es el campo que el negocio ya edita cuando cambia un rol. Si la asignación de roles vive en una hoja de cálculo copiada a los grupos cada mes, el acceso basado en la identidad simplemente automatiza una entrada obsoleta. Compruebe también la latencia, porque un recién incorporado que no puede trabajar un día entero es un resultado peor que un cambio manual de puerto. La autenticación de dispositivo, la de usuario y ambas juntas son opciones separadas, y las impresoras necesitan un modelo explícito en lugar de una omisión sin explicar.

Escriba la correspondencia: qué grupo otorga qué política y quién puede cambiarla.

Condición 3: decida el comportamiento ante fallos antes del piloto

Cada despliegue tiene un estado no autenticado y un estado de servidor no disponible, y la política para ambos es una decisión de seguridad. Una caída silenciosa a un segmento de confianza derrota el diseño; un fallo duro bloquea el trabajo durante una interrupción. El término medio habitual es un segmento restringido con acceso solo a internet y una ruta clara al servicio de asistencia. Pruebe la caída en el conmutador o la plataforma inalámbrica reales, porque los valores por defecto de los proveedores difieren.

Si nadie puede describir la caída en una frase, el diseño no está terminado.

Dónde encaja la VPN

Una VPN autentica el acceso por una ruta no confiable, y exigirla también en la LAN de la oficina puede ser una decisión de confianza deliberada. No elimina la necesidad de mapear grupos ni de la autorización propia del servidor de archivos. También añade capacidad de puerta de enlace, software de cliente y gestión de sesiones a la carga operativa.

Una VPN comprada para evitar editar VLAN ha resuelto el problema equivocado y ha añadido dos nuevos.

La tabla, y lo único que hay que conservar

Conserve segmentos para servidores, invitados, dispositivos y tecnología operativa. Esas fronteras van de tráfico, no de puestos de trabajo, y sobreviven a cualquier reorganización. Ponga los derechos de los empleados en la política de identidad, donde un cambio de rol es una sola edición, y use el mecanismo de desconexión admitido cuando la retirada deba ser rápida.

La prueba del diseño es una mudanza de escritorio: debe mover a una persona y su equipo, no reconstruir sus permisos alrededor de otra toma.