Vincule o acceso á oficina coa identidade, non co porto do conmutador
A segmentación, a admisión e a autorización de servizos son tarefas distintas. Tres condicións deciden se o acceso baseado na identidade supera as VLAN por porto.
Hai dous deseños sobre a mesa. Un mantén os empregados en VLAN baseadas en roles e edita os portos do conmutador cando a xente se move. O outro autentica a sesión e deixa que a política decida a que pode chegar. A elección non vai de modernidade; vai de se se cumpren tres condicións no seu edificio. Se falla algunha, o deseño baseado en portos non é parvo, é o que realmente pode operar.
As tres condicións son a aplicabilidade, a calidade da identidade e o comportamento ante fallos.
Condición 1: poden os dispositivos de acceso aplicar unha política devolta
802.1X é unha relación entre un suplicante no extremo, un autenticador no conmutador ou no punto de acceso e un servidor de autenticación alcanzado por RADIUS. O servidor pode devolver unha VLAN ou outro resultado de política, e RFC 3580 describe esa sinalización. O conmutador aínda debe implementar o resultado no que confía.
Pida unha capacidade, non un protocolo: asignación dinámica de VLAN, ACL descargables ou unha redirección a un portal de rexistro.
Condición 2: é a fonte de identidade autoritativa e rápida de cambiar
A pertenza a un grupo no directorio só axuda se é o campo que o negocio xa edita cando cambia un rol. Se a asignación de roles vive nunha folla de cálculo copiada aos grupos cada mes, o acceso baseado na identidade simplemente automatiza unha entrada obsoleta. Comprobe tamén a latencia, porque un recentemente incorporado que non pode traballar un día enteiro é un resultado peor que un cambio manual de porto. A autenticación de dispositivo, a de usuario e ambas xuntas son opcións separadas, e as impresoras necesitan un modelo explícito en lugar dunha omisión sen explicar.
Escriba a correspondencia: que grupo outorga que política e quen pode cambiala.
Condición 3: decida o comportamento ante fallos antes do piloto
Cada despregamento ten un estado non autenticado e un estado de servidor non dispoñible, e a política para ambos é unha decisión de seguridade. Unha caída silenciosa a un segmento de confianza derrota o deseño; un fallo duro bloquea o traballo durante unha interrupción. O punto medio habitual é un segmento restrinxido con acceso só a internet e unha ruta clara ao servizo de asistencia. Probe a caída no conmutador ou na plataforma sen fíos reais, porque os valores por defecto dos provedores difiren.
Se ninguén pode describir a caída nunha frase, o deseño non está rematado.
Onde encaixa a VPN
Unha VPN autentica o acceso por unha ruta non fiable, e esixila tamén na LAN da oficina pode ser unha decisión de confianza deliberada. Non elimina a necesidade de mapear grupos nin da autorización propia do servidor de ficheiros. Tamén engade capacidade de pasarela, software de cliente e xestión de sesións á carga operativa.
Unha VPN comprada para evitar editar VLAN resolveu o problema equivocado e engadiu dous novos.
A táboa, e o único que hai que conservar
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Conserve segmentos para servidores, convidados, dispositivos e tecnoloxía operativa. Esas fronteiras van de tráfico, non de postos de traballo, e sobreviven a calquera reorganización. Poña os dereitos dos empregados na política de identidade, onde un cambio de rol é unha soa edición, e use o mecanismo de desconexión admitido cando a retirada deba ser rápida.
A proba do deseño é unha mudanza de escritorio: debe mover a unha persoa e o seu equipo, non reconstruír os seus permisos arredor doutra toma.