Op it kantoar-Wi-Fi en dochs om in VPN frege? Dit is wêrom

De laptop is op de bedriuws-SSID, de sertifikaatfraach is akseptearre, en in webapp freget noch om de VPN. It liket dûbeld wurk, en soms is it dat. De twa oanmeldings twinge meastentiids ferskillende besluten ôf, en de iennige manier om te witten oft de twadde syn plak fertsjinnet, is freegje wat it feroaret.

By in netwurk komme is in tagongsbeslút

In 802.1X-ynset antwurdzje ien fraach: mei dit apparaat of dizze brûker oan dit netwurk ferbine? It tagongspunt jout de oanmeldgegevens troch oan in RADIUS-tsjinner, en it antwurd kin attributen drage dy't de sesje yn in beskaat VLAN pleatse of in filter tapasse. Dat is tagong en segmintearring, net autorisaasje foar in beskaat programma.

Sadree't de sesje tagitten is, wurdt de draadleaze ferbining tusken de klant en it tagongspunt fersifere. De beskerming einiget dêr, oan de râne fan it bedrade netwurk.

Alles foarby dat punt is gewoane routing yn it gebou, mei de ynterne berikberens dy't it segmint tastiet.

Wat EAP-TTLS eins beskermet

EAP-TTLS bout by autentikaasje in TLS-tunnel en lit deryn in ynterne metoade rinne. De ynterne metoade is faak PAP, en it foarkommen dêrfan yn in ûntwerp betsjut net dat it wachtwurd as iepen tekst troch de loft giet, want it is de TLS-tunnel dy't it draacht. De klant moat noch hieltyd de identiteit fan de tsjinner ferifiearje en de krekte CA fertrouwe, en in fertroude SSID is dy ferifikaasje net. Lês de kar fan ynterne metoade as in formaat foar oanmeldgegevens, net as in bewearing oer de bûtenste fersifering.

Dit is in autentikaasje-útwikseling, net in gegevenstunnel foar it lettere ferkear fan de laptop.

As de autentikaasje klear is, is de TLS-tunnel fuort en reizgje de pakketten fan de klant oer it tagitten segmint. De twa trochinoar helje is de woartel fan it leauwen dat Wi-Fi-fersifering al it wurk fan de VPN docht.

De VPN is in twadde, smeller beslút

In VPN antwurdzje in oare fraach: hokker privee boarnen mei dizze identiteit berikke, en ûnder hokker betingsten? It einiget by in poarte mei eigen belied, eigen identiteitskontrôles en faak eigen easken foar de steat fan it apparaat. De berikbere set nei't de tunnel omheech is, is meastentiids lytser as it ynterne netwurk fan it gebou en spesifyk foar de rol.

Dêrom kin in ûnderhâldsrol lykas elkenien ta Wi-Fi tagitten wurde en dochs in tunnel nedich hawwe om in behear-subnet te berikken. It Wi-Fi-beslút waard by it tagongspunt nommen; dit iene wurdt by de poarte nommen.

Beide stadia kinne fersifere wêze en dochs net besibbe belied ôftwinge.

Wêr’t fertrouwen op basis fan lokaasje brekt

It kantoarnetwurk as fanselssprekkend betrouber behannelje mislearret om in ienfâldige reden: netwurklokaasje is in eigenskip fan de ferbining, net fan de persoan. De zero-trust-rjochtlinen fan NIST sizze dat direkt, en dêrom wurdt tagong ta boarnen per fersyk besluten en net per gebou. Elkenien dy't by deselde SSID komt, erft deselde lokaasje. Dêrom fertsjinnet in kompromittearre laptop op it personielsnetwurk deselde skepsis as ien op it gastenetwurk.

De praktyske gefolch is dat autorisaasje fan programma's noch hieltyd bestean moat. In VPN dy't in hiel subnet jout, plus in programma dat elk fersyk fan dat subnet fertrout, is ien oanmeldgegevens fuort fan in minne dei.

Gjin fan beide lagen ferfangt de oare, want se beantwurdzje fragen op ferskillende skalen.

Hoe’t jo witte oft de twadde oanmelding syn plak fertsjinnet

Freegje de netwurkeigner twa dingen: wat wurdt berikber nei't de VPN ferbynt, en hokker identiteits- of apparaatbetingsten wurde kontrolearre om it ta te litten? Ferifiearje dan de antwurden troch te testen wat eins antwurdet. As de tunnel noch berikberens noch garânsje feroaret, is it miskien operasjonele gewoante yn stee fan in kontrôle, en dat is in beslút foar de eigner, net eat dêr't in brûker omhinne moat.

Sjoch ek nei ûnbedoelde direkte paden, want in boarne dy't sûnder de tunnel berikber is, makket de tunnel fersierend.

Dokumintearje elke grins en syn doel, en de folgjende persoan hoecht net te rieden wêrom't der twa oanmeldings binne.