Lotu bulegoko sarbidea identitateari, ez switch atakari
Segmentazioa, onarpena eta zerbitzu-autorizazioa lan desberdinak dira. Hiru baldintzek erabakitzen dute identitatean oinarritutako sarbideak portuko VLANak gainditzen dituen.
Bi diseinu daude mahai gainean. Batek langileak rolean oinarritutako VLANetan mantentzen ditu eta switch atakak aldatzen ditu jendea mugitzen denean. Besteak saioa egiaztatzen du eta politikari uzten dio erabakitzen zer irits dezakeen. Aukera ez da modernitate kontua; zure eraikinean hiru baldintza betetzen diren ala ez da kontua. Horietako edozein huts egiten badu, ataketan oinarritutako diseinua ez da ergela, benetan ustia dezakezun diseinua da.
Hiru baldintzak betearazgarritasuna, identitatearen kalitatea eta hutsegite-portaera dira.
1. baldintza: gailuek itzulitako politika bat betearaz dezakete
802.1X amaierako puntuko eskatzaile baten, switch edo sarbide-puntuko autentikatzaile baten eta RADIUS bidez iristen den autentifikazio-zerbitzari baten arteko erlazioa da. Zerbitzariak VLAN bat edo beste politika-emaitza bat itzul dezake, eta RFC 3580ek seinale hori deskribatzen du. Switchak, hala ere, konfiantza duzun emaitza inplementatu behar du.
Eskatu gaitasun bat, ez protokolo bat: VLAN esleipen dinamikoa, deskarga daitezkeen ACLak edo erregistro-portal batera birbideratzea.
2. baldintza: identitate-iturria autoritarioa eta azkar aldatzen da
Direktorioko talde-kidetasunak soilik laguntzen du enpresek rol bat aldatzen denean jada editatzen duten eremua bada. Rol-esleipena hilero taldeetara kopiatzen den kalkulu-orri batean bizi bada, identitatean oinarritutako sarbideak sarrera zaharkitu bat besterik ez du automatizatzen. Berandutzea ere egiaztatu, egun osoan lan egin ezin duen langile berri bat eskuzko ataka-aldaketa baino emaitza okerragoa delako. Gailu-autentifikazioa, erabiltzaile-autentifikazioa eta biak batera aukera bereiziak dira, eta inprimagailuek eredu esplizitua behar dute, azalpenik gabeko saihesbide baten ordez.
Idatzi mapaketa: zein taldek ematen duen zein politika, eta nork alda dezakeen.
3. baldintza: erabaki hutsegite-portaera probaren aurretik
Inplementazio bakoitzak autentifikatu gabeko egoera bat eta zerbitzaria erabilgarri ez dagoen egoera bat ditu, eta bien politika segurtasun-erabakia da. Konfiantzazko segmentu batera isil-isilik erortzeak diseinua gainditzen du; hutsegite gogorrak lana blokeatzen du etenaldi batean. Ohiko erdibidea interneteko sarbidea soilik duen segmentu mugatua eta laguntza-mahairako bide argia dira. Probatu erorketa benetako switch edo haririk gabeko plataforman, hornitzaileen balio lehenetsiak desberdinak direlako.
Inork esaldi batean erorketa deskriba ezin badu, diseinua ez dago amaituta.
Non sartzen da VPNa
VPN batek bide ez-fidagarri baten bidezko sarbidea egiaztatzen du, eta bulegoko LANean ere eskatzea konfiantza-erabaki deliberatua izan daiteke. Ez du talde-mapa edo fitxategi-zerbitzariaren beraren autorizazioaren beharra kentzen. Gateway gaitasuna, bezeroaren softwarea eta saio-kudeaketa ere gehitzen dizkio karga operatiboari.
VLANak editatzeko saihesteko erositako VPN batek arazo okerra konpondu du eta bi berri gehitu ditu.
Taula, eta gorde beharreko gauza bakarra
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Mantendu segmentuak zerbitzarientzat, gonbidatuentzat, gailuentzat eta eragiketa-teknologiarentzat. Muga horiek trafikoari buruzkoak dira, ez lan-tituluei buruzkoak, eta berrantolaketa edozein gainditzen dute. Jarri langileen eskubideak identitate-politikan, non rol-aldaketa edizio bakarra den, eta erabili onartutako deskonexio-mekanismoa kentzeak azkarra izan behar duenean.
Diseinuaren proba mahaia mugitzea da: pertsona bat eta haren ekipamendua mugitu behar ditu, ez haren baimenak beste jack baten inguruan berreraiki.