Sido toimiston pääsy identiteettiin, älä kytkimen porttiin
Segmentointi, pääsyn hyväksyntä ja palvelun valtuutus ovat eri töitä. Kolme ehtoa ratkaisee, voittaako identiteettiin perustuva pääsy porttikohtaiset VLANit.
Pöydällä on kaksi mallia. Toinen pitää työntekijät roolipohjaisissa VLANeissa ja muokkaa kytkimen portteja, kun ihmiset muuttavat. Toinen todentaa istunnon ja jättää käytännön päätettäväksi, mihin se saa päästä. Valinta ei ole nykyaikaisuudesta; se on siitä, pätevätkö kolme ehtoa rakennuksessasi. Jos yksikin niistä pettää, porttipohjainen malli ei ole tyhmä, se on se, jota voit todella ylläpitää.
Kolme ehtoa ovat toimeenpanokelpoisuus, identiteetin laatu ja käyttäytyminen vikatilanteessa.
Ehto 1: voivatko pääsylaitteet panna täytäntöön palautetun käytännön
802.1X on suhde päätelaitteen pyytäjän, kytkimessä tai tukiasemassa olevan todentajan ja RADIUSin kautta tavoitettavan todentamispalvelimen välillä. Palvelin voi palauttaa VLANin tai muun käytäntötuloksen, ja RFC 3580 kuvaa tämän signaloinnin. Kytkimen on silti toteutettava tulos, johon luotat.
Pyydä kyvykkyyttä, älä protokollaa: dynaaminen VLANin määritys, ladattavat ACL:t tai uudelleenohjaus rekisteröintiportaaliin.
Ehto 2: onko identiteetin lähde auktoritatiivinen ja nopeasti muutettava
Hakemiston ryhmäjäsenyys auttaa vain, jos se on kenttä, jota liiketoiminta jo muokkaa roolin vaihtuessa. Jos roolien määritys elää taulukossa, joka kopioidaan ryhmiin kuukausittain, identiteettiin perustuva pääsy vain automatisoi vanhentuneen syötteen. Tarkista myös viive, sillä uusi työntekijä, joka ei voi työskennellä päivään, on huonompi lopputulos kuin portin vaihtaminen käsin. Laitteen todennus, käyttäjän todennus ja molemmat yhdessä ovat erillisiä valintoja, ja tulostimet tarvitsevat eksplisiittisen mallin selittämättömän ohituksen sijaan.
Kirjoita kartoitus muistiin: mikä ryhmä myöntää minkä käytännön ja kuka saa muuttaa sitä.
Ehto 3: päätä vikatilanteen käyttäytyminen ennen pilottia
Jokaisessa käyttöönotossa on todentamaton tila ja palvelimen tavoittamattomuustila, ja kummankin käytäntö on turvallisuuspäätös. Hiljainen paluu luotettuun segmenttiin kumoaa mallin; kova vika estää työn katkoksen aikana. Tavallinen keskitie on rajoitettu segmentti, jossa on vain internetyhteys ja selkeä reitti tukipalveluun. Testaa paluu oikealla kytkimellä tai langattomalla alustalla, sillä toimittajien oletusarvot eroavat.
Jos kukaan ei pysty kuvaamaan paluuta yhdellä lauseella, malli ei ole valmis.
Mihin VPN sopii
VPN todentaa pääsyn epäluotettavan polun yli, ja sen vaatiminen myös toimiston lähiverkossa voi olla tietoinen luottamuspäätös. Se ei poista tarvetta ryhmien kartoitukselle tai tiedostopalvelimen omalle valtuutukselle. Se lisää myös yhdyskäytävän kapasiteettia, asiakasohjelmistoa ja istunnonhallintaa operatiiviseen kuormaan.
VLANien muokkauksen välttämiseksi ostettu VPN ratkaisi väärän ongelman ja lisäsi kaksi uutta.
Taulukko ja ainoa asia, joka kannattaa pitää
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Pidä segmentit palvelimille, vieraille, laitteille ja operatiiviselle teknologialle. Ne rajat koskevat liikennettä eivätkä työnimikkeitä, ja ne kestävät minkä tahansa uudelleenjärjestelyn. Laita työntekijöiden oikeudet identiteettikäytäntöön, jossa roolin muutos on yksi muokkaus, ja käytä tuettua irrotusmekanismia, kun poiston on oltava nopea.
Mallin testi on työpöydän siirto: sen pitäisi siirtää henkilö ja hänen laitteensa, ei rakentaa hänen oikeuksiaan uudelleen toisen liittimen ympärille.