ऑफ़िस के Wi-Fi पर हैं और फिर भी VPN माँगा जा रहा है? यह है वजह

लैपटॉप कॉर्पोरेट SSID पर है, सर्टिफ़िकेट का संकेत स्वीकार किया गया, और एक वेब ऐप अब भी VPN माँग रहा है। यह दोहरा काम लगता है, और कभी-कभी होता भी है। दोनों लॉगिन आम तौर पर अलग-अलग फ़ैसले लागू करते हैं, और यह जानने का एकमात्र तरीका कि दूसरा अपनी जगह के लायक है या नहीं, यह पूछना है कि वह क्या बदलता है।

नेटवर्क से जुड़ना एक प्रवेश-निर्णय है

802.1X परिनियोजन एक सवाल का जवाब देता है: क्या यह डिवाइस या उपयोगकर्ता इस नेटवर्क से जुड़ सकता है? एक्सेस पॉइंट क्रेडेंशियल RADIUS सर्वर को भेजता है, और जवाब में ऐसी विशेषताएँ हो सकती हैं जो सत्र को किसी विशेष VLAN में रखें या फ़िल्टर लागू करें। यह प्रवेश और विभाजन है, किसी विशेष एप्लिकेशन के लिए प्राधिकरण नहीं।

सत्र स्वीकार होने के बाद, क्लाइंट और एक्सेस पॉइंट के बीच वायरलेस लिंक एन्क्रिप्ट हो जाता है। सुरक्षा वहीं, वायर्ड नेटवर्क के किनारे पर समाप्त हो जाती है।

उस बिंदु के आगे सब कुछ इमारत के भीतर साधारण रूटिंग है, उस आंतरिक पहुँच के साथ जो सेगमेंट अनुमत करता है।

EAP-TTLS वास्तव में क्या सुरक्षित करता है

EAP-TTLS प्रमाणीकरण के दौरान एक TLS सुरंग बनाता है और उसके भीतर एक आंतरिक विधि चलाता है। आंतरिक विधि अक्सर PAP होती है, और किसी डिज़ाइन में उसका होना यह नहीं बताता कि पासवर्ड हवा में स्पष्ट पाठ के रूप में जाता है, क्योंकि उसे TLS सुरंग ही ले जाती है। क्लाइंट को अब भी सर्वर की पहचान सत्यापित करनी होती है और सही CA पर भरोसा करना होता है, और जाना-पहचाना SSID वह सत्यापन नहीं है। आंतरिक विधि के चयन को क्रेडेंशियल के प्रारूप के रूप में पढ़ें, बाहरी एन्क्रिप्शन के बारे में कथन के रूप में नहीं।

यह प्रमाणीकरण का आदान-प्रदान है, लैपटॉप के बाद के ट्रैफ़िक के लिए डेटा सुरंग नहीं।

प्रमाणीकरण खत्म होने पर TLS सुरंग चली जाती है और क्लाइंट के पैकेट स्वीकृत सेगमेंट पर यात्रा करते हैं। इन दोनों को गड्ड-मड्ड करना उस विश्वास की जड़ है कि Wi-Fi एन्क्रिप्शन पहले से ही VPN का काम करता है।

VPN दूसरा, अधिक संकीर्ण निर्णय है

VPN एक अलग सवाल का जवाब देता है: यह पहचान किन निजी संसाधनों तक पहुँच सकती है, और किन शर्तों पर? यह अपनी नीति, अपनी पहचान-जाँच और अक्सर डिवाइस की स्थिति के अपने नियमों वाले गेटवे पर समाप्त होता है। सुरंग उठने के बाद पहुँचने योग्य समुच्चय आम तौर पर इमारत के आंतरिक नेटवर्क से छोटा और भूमिका-विशिष्ट होता है।

इसीलिए रखरखाव की भूमिका को सबकी तरह Wi-Fi पर प्रवेश मिल सकता है और फिर भी प्रबंधन सबनेट तक पहुँचने के लिए सुरंग की ज़रूरत होती है। Wi-Fi का निर्णय एक्सेस पॉइंट पर लिया गया; यह निर्णय गेटवे पर लिया जाता है।

दोनों चरण एन्क्रिप्टेड हो सकते हैं और फिर भी असंबंधित नीतियाँ लागू कर सकते हैं।

स्थान-आधारित भरोसा कहाँ टूटता है

ऑफ़िस नेटवर्क को अंतर्निहित रूप से भरोसेमंद मानना एक सरल कारण से विफल होता है: नेटवर्क स्थान कनेक्शन का गुण है, व्यक्ति का नहीं। NIST का ज़ीरो-ट्रस्ट मार्गदर्शन यह सीधे कहता है, और इसीलिए संसाधनों तक पहुँच हर अनुरोध पर तय होती है, हर इमारत पर नहीं। जो भी उसी SSID से जुड़ता है, वह वही स्थान विरासत में पाता है। इसीलिए स्टाफ़ नेटवर्क पर समझौता किया गया लैपटॉप गेस्ट नेटवर्क वाले जितनी ही संदेह के योग्य है।

व्यावहारिक परिणाम यह है कि एप्लिकेशन प्राधिकरण अब भी होना चाहिए। पूरा सबनेट देने वाला VPN, साथ में उस सबनेट से आने वाले हर अनुरोध पर भरोसा करने वाला एप्लिकेशन, एक क्रेडेंशियल की दूरी पर बुरे दिन से है।

दोनों में से कोई भी परत दूसरी की जगह नहीं लेती, क्योंकि वे अलग-अलग दायरों में सवालों का जवाब देती हैं।

दूसरा लॉगिन अपनी जगह के लायक है या नहीं, यह कैसे पता करें

नेटवर्क के मालिक से दो बातें पूछें: VPN जुड़ने के बाद क्या पहुँचने योग्य हो जाता है, और अनुमति देने के लिए किन पहचान या डिवाइस शर्तों की जाँच होती है? फिर जवाबों को यह परखकर सत्यापित करें कि वास्तव में क्या जवाब देता है। अगर सुरंग न पहुँच बदलती है न भरोसा, तो यह नियंत्रण से ज़्यादा परिचालन की आदत हो सकती है, और यह मालिक का फ़ैसला है, ऐसी चीज़ नहीं जिसे उपयोगकर्ता बचकर निकले।

अनजाने सीधे रास्तों को भी देखें, क्योंकि सुरंग के बिना पहुँचने योग्य संसाधन सुरंग को सजावटी बना देता है।

हर सीमा और उसका उद्देश्य दर्ज करें, और अगले व्यक्ति को अंदाज़ा नहीं लगाना पड़ेगा कि दो लॉगिन क्यों हैं।