קשרו את הגישה למשרד לזהות, לא לפורט של המתג
פילוח, קבלה והרשאה לשירות הם משימות שונות. שלושה תנאים קובעים אם גישה מבוססת זהות עדיפה על VLAN לפי פורט.
שני עיצובים על השולחן. האחד מחזיק עובדים ב-VLAN מבוססי תפקידים ומשנה פורטים במתג כשאנשים עוברים. האחר מאמת את הסשן, ואז נותן למדיניות להחליט למה מותר להגיע. הבחירה אינה בעניין מודרניות; היא בעניין האם שלושה תנאים מתקיימים בבניין שלכם. אם אחד מהם נכשל, העיצוב מבוסס הפורטים אינו טיפש, הוא זה שאתם באמת יכולים לתפעל.
שלושת התנאים הם יכולת אכיפה, איכות הזהות והתנהגות בעת כשל.
תנאי 1: האם התקני הגישה יכולים לאכוף מדיניות מוחזרת
802.1X הוא יחס בין מבקש בנקודת הקצה, מאמת במתג או בנקודת הגישה ושרת אימות שנגיש דרך RADIUS. השרת יכול להחזיר VLAN או תוצאת מדיניות אחרת, ו-RFC 3580 מתאר את האיתות הזה. המתג עדיין צריך ליישם את התוצאה שאתם סומכים עליה.
בקשו יכולת, לא פרוטוקול: הקצאת VLAN דינמית, רשימות ACL להורדה או הפניה לפורטל רישום.
תנאי 2: האם מקור הזהות סמכותי ומהיר לשינוי
חברות בקבוצה בספרייה עוזרת רק אם זה השדה שהעסק כבר עורך כשתפקיד משתנה. אם הקצאת התפקידים חיה בגיליון אלקטרוני שמועתק לקבוצות מדי חודש, גישה מבוססת זהות רק מאוטומטת קלט מיושן. בדקו גם את השהיה, כי עובד חדש שאינו יכול לעבוד יום שלם הוא תוצאה גרועה משינוי פורט ידני. אימות התקן, אימות משתמש ושניהם יחד הם בחירות נפרדות, ומדפסות זקוקות למודל מפורש ולא לעקיפה בלתי מוסברת.
רשמו את המיפוי: איזו קבוצה מעניקה איזו מדיניות, ומי רשאי לשנות אותה.
תנאי 3: החליטו על התנהגות הכשל לפני הפיילוט
לכל פריסה יש מצב לא מאומת ומצב שבו השרת אינו זמין, והמדיניות לשניהם היא החלטת אבטחה. נפילה שקטה למקטע מהימן מכשילה את העיצוב; כשל קשיח חוסם עבודה בזמן הפסקה. שביל הזהב הרגיל הוא מקטע מוגבל עם גישה לאינטרנט בלבד ונתיב ברור לשירות התמיכה. בדקו את הנפילה במתג או בפלטפורמה האלחוטית האמיתיים, כי ברירות המחדל של הספקים שונות.
אם אף אחד לא יכול לתאר את הנפילה במשפט אחד, העיצוב לא הושלם.
היכן ה-VPN נכנס
VPN מאמת גישה דרך נתיב לא מהימן, ודרישה שלו גם ברשת המקומית של המשרד יכולה להיות החלטת אמון מכוונת. הוא אינו מבטל את הצורך במיפוי קבוצות או בהרשאה של שרת הקבצים עצמו. הוא גם מוסיף קיבולת שער, תוכנת לקוח וניהול הפעלות לעומס התפעולי.
VPN שנקנה כדי להימנע מעריכת VLAN פתר את הבעיה הלא נכונה והוסיף שתיים חדשות.
הטבלה, והדבר האחד שכדאי לשמור
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
שמרו מקטעים לשרתים, לאורחים, להתקנים ולטכנולוגיה תפעולית. הגבולות האלה עוסקים בתעבורה ולא בתארים מקצועיים, והם שורדים כל ארגון מחדש. שימו את הזכויות של העובדים במדיניות זהות, שבה שינוי תפקיד הוא עריכה אחת, והשתמשו במנגנון הניתוק הנתמך כשההסרה חייבת להיות מהירה.
המבחן של העיצוב הוא העברת שולחן: הוא צריך להעביר אדם ואת ציודו, לא לבנות מחדש את הרשאותיו סביב שקע אחר.