روی Wi-Fi اداره هستید و باز هم VPN می‌خواهند؟ دلیلش این است

لپ‌تاپ روی SSID شرکتی است، درخواست گواهی پذیرفته شده، و یک برنامه وب هنوز VPN می‌خواهد. شبیه کار دوباره به نظر می‌رسد، و گاهی هم هست. دو ورود معمولاً تصمیم‌های متفاوتی را اعمال می‌کنند، و تنها راه فهمیدن این که دومی جای خود را به دست می‌آورد یا نه این است که بپرسید چه چیزی را تغییر می‌دهد.

پیوستن به شبکه یک تصمیم پذیرش است

استقرار 802.1X به یک پرسش پاسخ می‌دهد: آیا این دستگاه یا کاربر می‌تواند به این شبکه متصل شود؟ نقطه دسترسی اعتبارنامه‌ها را به سرور RADIUS می‌فرستد، و پاسخ می‌تواند ویژگی‌هایی داشته باشد که نشست را در VLAN خاصی قرار دهد یا فیلتری اعمال کند. این پذیرش و بخش‌بندی است، نه مجوز برای هیچ برنامه خاصی.

پس از پذیرش نشست، پیوند بی‌سیم میان کلاینت و نقطه دسترسی رمزگذاری می‌شود. حفاظت همان‌جا، در لبه شبکه سیمی، پایان می‌یابد.

هر چیزی فراتر از آن نقطه مسیریابی معمولی درون ساختمان است، با همان دسترسی داخلی که بخش شبکه اجازه می‌دهد.

EAP-TTLS در واقع از چه چیزی محافظت می‌کند

EAP-TTLS هنگام احراز هویت یک تونل TLS می‌سازد و روشی درونی را در آن اجرا می‌کند. روش درونی غالباً PAP است، و حضور آن در یک طرح به این معنا نیست که گذرواژه به‌صورت متن روشن از هوا می‌گذرد، زیرا این تونل TLS است که آن را حمل می‌کند. کلاینت هنوز باید هویت سرور را بررسی کند و به CA درست اعتماد کند، و یک SSID آشنا همان بررسی نیست. انتخاب روش درونی را به‌عنوان قالب اعتبارنامه بخوانید، نه به‌عنوان بیانیه‌ای درباره رمزگذاری بیرونی.

این یک تبادل احراز هویت است، نه تونل داده برای ترافیک بعدی لپ‌تاپ.

وقتی احراز هویت تمام شود، تونل TLS از میان می‌رود و بسته‌های کلاینت روی بخش پذیرفته‌شده سفر می‌کنند. اشتباه گرفتن این دو، ریشه این باور است که رمزگذاری Wi-Fi از قبل کار VPN را انجام می‌دهد.

VPN تصمیم دوم و باریک‌تری است

VPN به پرسش دیگری پاسخ می‌دهد: این هویت به کدام منابع خصوصی دسترسی دارد، و تحت چه شرایطی؟ در دروازه‌ای با سیاست خودش، بررسی‌های هویت خودش و غالباً الزامات خودش برای وضعیت دستگاه پایان می‌یابد. مجموعه قابل دسترس پس از برپایی تونل معمولاً کوچک‌تر از شبکه داخلی ساختمان و مختص نقش است.

به همین دلیل می‌توان یک نقش نگهداری را مثل بقیه به Wi-Fi پذیرفت و باز هم برای رسیدن به یک زیرشبکه مدیریت به تونل نیاز داشت. تصمیم Wi-Fi در نقطه دسترسی گرفته شد؛ این یکی در دروازه گرفته می‌شود.

هر دو مرحله می‌توانند رمزگذاری‌شده باشند و در عین حال سیاست‌های بی‌ربطی را اعمال کنند.

کجا اعتماد مبتنی بر مکان می‌شکند

برخورد با شبکه اداره به‌عنوان چیزی که به‌طور ضمنی قابل اعتماد است به دلیلی ساده شکست می‌خورد: موقعیت شبکه ویژگی اتصال است، نه ویژگی شخص. راهنمای اعتماد صفر NIST این را مستقیم می‌گوید، و به همین دلیل دسترسی به منابع به‌ازای هر درخواست تعیین می‌شود نه به‌ازای هر ساختمان. هر کسی که به همان SSID بپیوندد همان موقعیت را به ارث می‌برد. به همین دلیل هم یک لپ‌تاپ آلوده در شبکه کارکنان همان تردیدی را شایسته است که یکی در شبکه مهمان.

پیامد عملی این است که مجوز برنامه‌ها هنوز باید وجود داشته باشد. VPNی که یک زیرشبکه کامل می‌دهد، به‌همراه برنامه‌ای که به هر درخواست از آن زیرشبکه اعتماد می‌کند، یک اعتبارنامه با یک روز بد فاصله دارد.

هیچ‌یک از این دو لایه جای دیگری را نمی‌گیرد، زیرا به پرسش‌هایی در دامنه‌های متفاوت پاسخ می‌دهند.

چگونه بفهمیم ورود دوم جای خود را به دست می‌آورد

از صاحب شبکه دو چیز بپرسید: پس از اتصال VPN چه چیزی قابل دسترس می‌شود، و برای اجازه دادن به آن کدام شرایط هویت یا دستگاه بررسی می‌شود؟ سپس پاسخ‌ها را با آزمودن آنچه واقعاً پاسخ می‌دهد بررسی کنید. اگر تونل نه دسترسی و نه تضمین را تغییر نمی‌دهد، ممکن است عادت عملیاتی باشد نه یک کنترل، و این تصمیمی برای صاحب شبکه است، نه چیزی که کاربر باید دور بزند.

به مسیرهای مستقیم ناخواسته هم نگاه کنید، زیرا منبعی که بدون تونل قابل دسترس است تونل را تزیینی می‌کند.

هر مرز و هدفش را مستند کنید، و نفر بعدی لازم نیست حدس بزند چرا دو ورود وجود دارد.