Na Wi-Fi da oficina e aínda che piden a VPN? Velaquí por que

O portátil está no SSID corporativo, o aviso do certificado foi aceptado, e unha aplicación web segue pedindo a VPN. Parece traballo dobre, e ás veces éo. Os dous inicios de sesión adoitan impoñer decisións distintas, e a única forma de saber se o segundo merece o seu sitio é preguntar que cambia.

Unirse a unha rede é unha decisión de admisión

Un despregamento 802.1X responde a unha pregunta: pode este dispositivo ou usuario conectarse a esta rede? O punto de acceso pasa as credenciais a un servidor RADIUS, e a resposta pode levar atributos que sitúan a sesión nunha VLAN concreta ou aplican un filtro. Iso é admisión e segmentación, non autorización para ningunha aplicación concreta.

Unha vez admitida a sesión, a ligazón sen fíos cifra entre o cliente e o punto de acceso. A protección remata aí, na beira da rede cableada.

Todo o que vai máis aló dese punto é enrutamento ordinario dentro do edificio, co alcance interno que permita o segmento.

Que protexe realmente EAP-TTLS

EAP-TTLS constrúe un túnel TLS durante a autenticación e executa un método interno dentro del. O método interno adoita ser PAP, e a súa aparición nun deseño non significa que o contrasinal cruce o aire en texto claro, porque é o túnel TLS quen o transporta. O cliente segue tendo que verificar a identidade do servidor e confiar na CA correcta, e un SSID coñecido non é esa verificación. Lea a elección do método interno como un formato de credenciais, non como unha afirmación sobre o cifrado exterior.

Isto é un intercambio de autenticación, non un túnel de datos para o tráfico posterior do portátil.

Cando remata a autenticación, o túnel TLS desaparece e os paquetes do cliente viaxan polo segmento admitido. Confundir ambos é a raíz da crenza de que o cifrado Wi-Fi xa fai o traballo da VPN.

A VPN é unha segunda decisión, máis estreita

Unha VPN responde a outra pregunta: a que recursos privados pode chegar esta identidade, e en que condicións? Termina nunha pasarela coa súa propia política, as súas propias comprobacións de identidade e a miúdo os seus propios requisitos de estado do dispositivo. O conxunto alcanzable tras levantar o túnel adoita ser menor que a rede interna do edificio e específico do rol.

Por iso un rol de mantemento pode ser admitido na Wi-Fi como todos os demais e aínda así necesitar un túnel para chegar a unha subrede de xestión. A decisión da Wi-Fi tomouse no punto de acceso; esta tómase na pasarela.

Ambas as etapas poden estar cifradas e aínda así aplicar políticas non relacionadas.

Onde se rompe a confianza baseada na localización

Tratar a rede da oficina como implicitamente fiable falla por unha razón sinxela: a localización de rede é unha propiedade da conexión, non da persoa. A guía de confianza cero de NIST di iso directamente, e por iso o acceso aos recursos decídese por petición e non por edificio. Calquera que se una ao mesmo SSID herda a mesma localización. Tamén por iso un portátil comprometido na rede do persoal merece o mesmo escepticismo que un na rede de convidados.

A consecuencia práctica é que a autorización de aplicacións segue tendo que existir. Unha VPN que concede toda unha subrede, máis unha aplicación que confía en calquera petición desa subrede, está a unha credencial dun mal día.

Ningunha das dúas capas substitúe a outra, porque responden preguntas en ámbitos distintos.

Como saber se o segundo inicio de sesión merece o seu sitio

Pregunte ao propietario da rede dúas cousas: que pasa a ser alcanzable cando a VPN se conecta, e que condicións de identidade ou de dispositivo se comproban para permitilo? Despois verifique as respostas probando que responde en realidade. Se o túnel non cambia nin o alcance nin a garantía, pode ser un costume operativo máis que un control, e esa é unha decisión do propietario, non algo que un usuario deba sortear.

Busque tamén rutas directas non previstas, porque un recurso alcanzable sen o túnel fai que o túnel sexa decorativo.

Documente cada fronteira e o seu propósito, e a seguinte persoa non terá que adiviñar por que hai dous inicios de sesión.