Bine kantoartagong oan identiteit, net oan de switchpoarte
Segmintaasje, talitting en tsjinstautorisaaasje binne ferskillende taken. Trije betingsten beslisse oft identiteitsstjoerde tagong per-poarte VLAN's ferslacht.
Der lizze twa ûntwerpen op 'e tafel. Ien hâldt meiwurkers yn rolbasearre VLAN's en bewurket switchpoarten as minsken ferhúzje. De oare autentisearret de sesje en lit it belied beslisse wat it berikke mei. De kar giet net oer moderniteit; it giet oer oft trije betingsten yn jo gebou jilde. As ien fan harren mislearret, is it poartebasearre ûntwerp net dom, it is datjinge dat jo wier eksploitearje kinne.
De trije betingsten binne hanthavenberens, identiteitskwaliteit en gedrach by mislearring.
Betingst 1: kinne de tagongsapparaten in weromjûn belied hanthavenje
802.1X is in ferhâlding tusken in oanfreger op it einpunt, in autentisearjer yn 'e switch of tagongspunt en in autentikaasjetsjinner berikt fia RADIUS. De tsjinner kin in VLAN of in oar beliedsresultaat weromjaan, en RFC 3580 beskreaut dat sinjaal. De switch moat noch altyd it resultaat ymplementearje dêr't jo op fertrouwe.
Freegje om in fermogen, net om in protokol: dynamyske VLAN-tawizing, delhelbere ACL's of in trochferwizing nei in registraasjeportaal.
Betingst 2: is de identiteitsboarne gesachhawwend en fluch te feroarjen
Groepslidmaatskip yn 'e gids helpt allinnich as it it fjild is dat it bedriuw al bewurket as in rol feroaret. As roltaakstelling yn in rekkenblêd wennet dat moanliks yn groepen kopyeare wurdt, automatisearret identiteitsstjoerde tagong gewoan in ferâldere ynfier. Kontrolearje ek de fertraging, want in nijkommer dy't in dei net wurkje kin is in slimmer resultaat as in hânmjittige poartferoaring. Apparaat-autentikaasje, brûker-autentikaasje en beide tegearre binne aparte karren, en printers hawwe in eksplisyt model nedich ynstee fan in ûnferklearre omwei.
Skriuw de mapping op: hokker groep jout hokker belied, en wa mei it feroarje.
Betingst 3: beslút it gedrach by mislearring foar de pilot
Elke ynset hat in net-autentisearre tastân en in tastân fan net beskikbere tsjinner, en it belied foar beide is in feiligensbeslút. In stil weromfallen yn in fertroud segmint ferslacht it ûntwerp; in hurde mislearring blokkearret wurk by in ûnderbrekking. De gewoane middenwei is in beheind segmint mei allinnich internettagong en in dúdlike rûte nei de helpdesk. Test it weromfallen op 'e echte switch of it draadleaze platfoarm, want de standertwearden fan leveransiers ferskille.
As nimmen it weromfallen yn ien sin beskriuwe kin, is it ûntwerp net klear.
Wêr't de VPN past
In VPN autentisearret tagong oer in net-fertroude rûte, en it ek op it kantoar-LAN easkje kin in bewuste fertrouwensbeslút wêze. It hellet de needsaak foar groepsmapping of foar de eigen autorisaasje fan 'e bestânsserver net fuort. It foeget ek gatewaykapasiteit, kliïntsoftware en sesjebehear ta oan 'e operasjonele lading.
In VPN kocht om VLAN-bewurking te foarkommen hat it ferkearde probleem oplost en twa nije tafoege.
De tabel, en it iene ding om te behâlden
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Hâld segminten foar tsjinners, gasten, apparaten en operasjonele technology. Dy grinzen geane oer ferkear ynstee fan oer funksjetitels, en se oerlibje elke reorganisaasje. Set de rjochten fan meiwurkers yn identiteitsbelied, wêr't in rolferoaring ien bewurking is, en brûk it stipe ôfkeppelingsmeganisme as it fuortheljen fluch wêze moat.
De test fan it ûntwerp is in buroferhuzing: it moat in persoan en syn apparatuer ferhúzje, net syn tastimmingen om in oare jek hinne wer opbouwe.