دسترسی دفتر را به هویت گره بزنید، نه به پورت سوئیچ
بخش‌بندی، پذیرش و مجوزدهی سرویس کارهای متفاوتی هستند. سه شرط تعیین می‌کند که آیا دسترسی هویت‌محور بر VLANهای هر پورت برتری دارد یا نه.
دو طرح روی میز است. یکی کارمندان را در VLANهای مبتنی بر نقش نگه می‌دارد و وقتی افراد جابه‌جا می‌شوند پورت‌های سوئیچ را ویرایش می‌کند. دیگری نشست را احراز هویت می‌کند و می‌گذارد سیاست تصمیم بگیرد به چه چیزی می‌تواند برسد. انتخاب درباره مدرن بودن نیست؛ درباره این است که آیا سه شرط در ساختمان شما برقرار است. اگر هر یک از آن‌ها شکست بخورد، طرح پورت‌محور احمقانه نیست، همان طرحی است که واقعاً می‌توانید اداره کنید.
سه شرط عبارت‌اند از قابلیت اجرا، کیفیت هویت و رفتار در هنگام خطا.
شرط 1: آیا دستگاه‌های دسترسی می‌توانند سیاست بازگردانده‌شده را اجرا کنند
802.1X رابطهای است میان یک درخواست‌کننده در نقطه پایانی، یک احراز هویت‌کننده در سوئیچ یا نقطه دسترسی، و یک سرور احراز هویت که از طریق RADIUS به آن می‌رسند. سرور می‌تواند یک VLAN یا نتیجه سیاست دیگری بازگرداند، و RFC 3580 آن سیگنال‌دهی را توصیف می‌کند. سوئیچ هنوز باید نتیجه‌ای را که به آن تکیه می‌کنید پیاده‌سازی کند.
قابلیت بخواهید، نه پروتکل: تخصیص پویای VLAN، فهرست‌های ACL قابل دانلود، یا تغییر مسیر به یک درگاه ثبت‌نام.
شرط 2: آیا منبع هویت معتبر و به‌سرعت قابل تغییر است
عضویت گروهی در دایرکتوری تنها زمانی کمک می‌کند که همان فیلدی باشد که کسب‌وکار هنگام تغییر یک نقش از پیش ویرایش می‌کند. اگر تخصیص نقش در صفحه‌گسترده‌ای زندگی می‌کند که ماهانه در گروه‌ها کپی می‌شود، دسترسی هویت‌محور صرفاً یک ورودی کهنه را خودکار می‌کند. تأخیر را هم بررسی کنید، زیرا کارمند تازه‌واردی که یک روز کامل نمی‌تواند کار کند نتیجه‌ای بدتر از تغییر دستی پورت است. احراز هویت دستگاه، احراز هویت کاربر و هر دو با هم انتخاب‌های جداگانه‌ای هستند، و چاپگرها به مدلی صریح نیاز دارند نه به یک دور زدن توضیح‌داده‌نشده.
نگاشت را بنویسید: کدام گروه کدام سیاست را می‌دهد، و چه کسی می‌تواند آن را تغییر دهد.
شرط 3: رفتار در هنگام خطا را پیش از آزمایش مشخص کنید
هر استقرار یک وضعیت احراز هویت‌نشده و یک وضعیت سرور در دسترس‌نبودن دارد، و سیاست برای هر دو یک تصمیم امنیتی است. بازگشت خاموش به یک بخش مورد اعتماد طرح را از بین می‌برد؛ شکست سخت کار را در طول یک قطعی مسدود می‌کند. حد میانه معمول یک بخش محدود با دسترسی تنها به اینترنت و مسیری روشن به میز پشتیبانی است. بازگشت را روی سوئیچ یا بستر بی‌سیم واقعی آزمایش کنید، زیرا پیش‌فرض‌های فروشندگان متفاوت است.
اگر هیچ‌کس نتواند بازگشت را در یک جمله توصیف کند، طرح تمام نشده است.
VPN کجا جا می‌گیرد
VPN دسترسی را از مسیری غیرقابل اعتماد احراز هویت می‌کند، و الزام آن در LAN دفتر نیز می‌تواند تصمیمی آگاهانه درباره اعتماد باشد. این نیاز به نگاشت گروه یا مجوزدهی خود سرور فایل را برنمی‌دارد. همچنین ظرفیت دروازه، نرم‌افزار کارخواه و مدیریت نشست را به بار عملیاتی می‌افزاید.
VPNی که برای پرهیز از ویرایش VLANها خریده شد، مسئله اشتباه را حل کرد و دو مسئله تازه افزود.
جدول، و تنها چیزی که باید نگه داشت
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
بخش‌ها را برای سرورها، مهمان‌ها، دستگاه‌ها و فناوری عملیاتی نگه دارید. آن مرزها درباره ترافیک‌اند نه عناوین شغلی، و از هر بازسازماندهی جان سالم به در می‌برند. اختیارات کارمند را در سیاست هویت بگذارید، جایی که تغییر نقش یک ویرایش است، و وقتی حذف باید سریع باشد از سازوکار قطع پشتیبانی‌شده استفاده کنید.
آزمون طرح جابه‌جایی میز است: باید یک شخص و تجهیزاتش را جابه‌جا کند، نه اینکه مجوزهایش را حول یک جک دیگر بازسازی کند.