Seo kontori juurdepääs identiteediga, mitte lüliti pordiga
Segmenteerimine, lubamine ja teenuse autoriseerimine on erinevad tööd. Kolm tingimust otsustavad, kas identiteedipõhine juurdepääs edestab pordipõhist VLAN-i.
Laual on kaks lahendust. Üks hoiab töötajaid rollipõhistes VLAN-ides ja muudab lüliti porte, kui inimesed liiguvad. Teine autendib sessiooni ja laseb poliitikal otsustada, milleni see võib jõuda. Valik ei ole moodsuse küsimus; see on küsimus, kas kolm tingimust teie hoones kehtivad. Kui mõni neist ebaõnnestub, ei ole pordipõhine lahendus rumal, see on see, mida te tegelikult käitada saate.
Kolm tingimust on jõustatavus, identiteedi kvaliteet ja käitumine rikke korral.
Tingimus 1: kas juurdepääsuseadmed suudavad tagastatud poliitikat jõustada
802.1X on suhe lõpp-punkti taotleja, lülitis või juurdepääsupunktis oleva autentija ja RADIUS-e kaudu kättesaadava autentimisserveri vahel. Server võib tagastada VLAN-i või muu poliitikatulemuse ja RFC 3580 kirjeldab seda signaliseerimist. Lüliti peab ikkagi rakendama tulemuse, millele te loodate.
Küsige võimekust, mitte protokolli: dünaamiline VLAN-i määramine, allalaaditavad ACL-id või ümbersuunamine registreerimisportaalile.
Tingimus 2: kas identiteedi allikas on autoriteetne ja kiiresti muudetav
Grupiliikmelisus kataloogis aitab ainult siis, kui see on väli, mida ettevõte juba muudab, kui roll muutub. Kui rollide määramine elab tabelis, mis kopeeritakse gruppidesse iga kuu, automatiseerib identiteedipõhine juurdepääs lihtsalt aegunud sisendi. Kontrollige ka latentsust, sest uustulnuk, kes ei saa terve päeva töötada, on halvem tulemus kui portide käsitsi muutmine. Seadme autentimine, kasutaja autentimine ja mõlemad koos on eraldi valikud ning printerid vajavad selget mudelit, mitte seletamata möödapääsu.
Kirjutage vastendus üles: milline grupp annab millise poliitika ja kes tohib seda muuta.
Tingimus 3: otsustage rikkekäitumine enne pilooti
Igal juurutusel on autentimata olek ja serveri kättesaamatuse olek, ning mõlema poliitika on turvaotsus. Vaikne tagasilangus usaldusväärsesse segmenti nurjab lahenduse; karm rike blokeerib töö katkestuse ajal. Tavaline kesktee on piiratud segment, millel on ainult internetiühendus ja selge tee tugiteenusesse. Testige tagasilangust päris lülitil või traadita platvormil, sest tarnijate vaikeväärtused erinevad.
Kui keegi ei suuda tagasilangust ühe lausega kirjeldada, ei ole lahendus valmis.
Kuhu VPN sobib
VPN autendib juurdepääsu läbi mitteusaldusväärse tee, ja selle nõudmine ka kontori LAN-is võib olla teadlik usaldusotsus. See ei kõrvalda vajadust gruppide vastendamise ega failiserveri enda autoriseerimise järele. See lisab ka lüüsi võimsust, klienditarkvara ja sessioonihaldust töökoormusele.
VPN, mis osteti VLAN-ide muutmise vältimiseks, lahendas vale probleemi ja lisas kaks uut.
Tabel ja see üks asi, mida hoida
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Hoidke segmendid serverite, külaliste, seadmete ja operatiivtehnoloogia jaoks. Need piirid on liikluse, mitte ametinimetuste kohta, ja need peavad vastu igale ümberkorraldusele. Pange töötajate õigused identiteedipoliitikasse, kus rollimuudatus on üks redigeerimine, ja kasutage toetatud lahtiühendamismehhanismi, kui eemaldamine peab olema kiire.
Lahenduse proovikivi on töölaua kolimine: see peaks liigutama inimest ja tema varustust, mitte ehitama tema õigusi ümber teise pesa ümber.