ऑफिस पहुँच को पहचान से जोड़ें, स्विच पोर्ट से नहीं

मेज़ पर दो डिज़ाइन हैं। एक कर्मचारियों को भूमिका-आधारित VLAN में रखता है और लोगों के जगह बदलने पर स्विच पोर्ट संपादित करता है। दूसरा सत्र को प्रमाणित करता है और नीति को तय करने देता है कि वह कहाँ तक पहुँच सकता है। यह चुनाव आधुनिकता का नहीं है; यह इस बात का है कि आपकी इमारत में तीन शर्तें लागू होती हैं या नहीं। इनमें से कोई भी विफल हो तो पोर्ट-आधारित डिज़ाइन बेवकूफ़ नहीं है, यही वह है जिसे आप वास्तव में चला सकते हैं।

तीन शर्तें हैं प्रवर्तनीयता, पहचान की गुणवत्ता और विफलता पर व्यवहार।

शर्त 1: क्या पहुँच उपकरण लौटाई गई नीति को लागू कर सकते हैं

802.1X एंडपॉइंट पर सप्लिकेंट, स्विच या एक्सेस पॉइंट में ऑथेंटिकेटर और RADIUS से पहुँचे जाने वाले प्रमाणीकरण सर्वर के बीच संबंध है। सर्वर VLAN या कोई अन्य नीति-परिणाम लौटा सकता है, और RFC 3580 उस सिग्नलिंग का वर्णन करता है। स्विच को फिर भी वह परिणाम लागू करना होता है जिस पर आप भरोसा करते हैं।

क्षमता माँगें, प्रोटोकॉल नहीं: गतिशील VLAN आवंटन, डाउनलोड करने योग्य ACL, या पंजीकरण पोर्टल पर रीडायरेक्ट।

शर्त 2: क्या पहचान का स्रोत आधिकारिक और बदलने में तेज़ है

डायरेक्टरी में समूह सदस्यता तभी मदद करती है जब वही वह फ़ील्ड हो जिसे भूमिका बदलने पर व्यवसाय पहले से संपादित करता है। अगर भूमिका आवंटन ऐसी स्प्रेडशीट में रहता है जो हर महीने समूहों में कॉपी होती है, तो पहचान-आधारित पहुँच केवल पुराने इनपुट को स्वचालित करती है। विलंब भी जाँचें, क्योंकि नया कर्मचारी जो पूरे दिन काम नहीं कर सकता, मैन्युअल पोर्ट बदलाव से बुरा परिणाम है। डिवाइस प्रमाणीकरण, उपयोगकर्ता प्रमाणीकरण और दोनों साथ में अलग विकल्प हैं, और प्रिंटर को अस्पष्ट बायपास के बजाय स्पष्ट मॉडल चाहिए।

मैपिंग लिखें: कौन-सा समूह कौन-सी नीति देता है, और कौन उसे बदल सकता है।

शर्त 3: पायलट से पहले विफलता व्यवहार तय करें

हर परिनियोजन में एक अप्रमाणित स्थिति और एक सर्वर-अनुपलब्ध स्थिति होती है, और दोनों के लिए नीति सुरक्षा निर्णय है। विश्वसनीय सेगमेंट में चुपचाप गिरना डिज़ाइन को हरा देता है; कठोर विफलता रुकावट के दौरान काम अवरुद्ध करती है। सामान्य मध्य मार्ग केवल इंटरनेट-पहुँच वाला प्रतिबंधित सेगमेंट और हेल्प डेस्क तक स्पष्ट मार्ग है। वास्तविक स्विच या वायरलेस प्लेटफ़ॉर्म पर गिरावट का परीक्षण करें, क्योंकि विक्रेता के डिफ़ॉल्ट अलग होते हैं।

अगर कोई एक वाक्य में गिरावट का वर्णन नहीं कर सकता, तो डिज़ाइन पूरा नहीं हुआ।

VPN कहाँ फ़िट होता है

VPN अविश्वसनीय मार्ग पर पहुँच प्रमाणित करता है, और ऑफिस LAN पर भी इसकी माँग करना जानबूझकर लिया गया भरोसा निर्णय हो सकता है। यह समूह मैपिंग या फ़ाइल सर्वर के अपने प्राधिकरण की ज़रूरत नहीं हटाता। यह परिचालन भार में गेटवे क्षमता, क्लाइंट सॉफ़्टवेयर और सत्र प्रबंधन भी जोड़ता है।

VLAN संपादन से बचने के लिए खरीदा गया VPN गलत समस्या हल करके दो नई जोड़ दी।

तालिका, और एक चीज़ जो रखनी चाहिए

सर्वर, अतिथि, उपकरण और परिचालन तकनीक के लिए सेगमेंट रखें। वे सीमाएँ नौकरी के पदों की नहीं, ट्रैफ़िक की हैं, और किसी भी पुनर्गठन में टिकती हैं। कर्मचारियों के अधिकार पहचान-नीति में रखें, जहाँ भूमिका परिवर्तन एक ही संपादन है, और जब हटाना तेज़ होना चाहिए तो समर्थित डिस्कनेक्ट तंत्र का उपयोग करें।

डिज़ाइन की परीक्षा डेस्क हटाना है: उसे व्यक्ति और उसका उपकरण हटाना चाहिए, किसी दूसरे जैक के इर्द-गिर्द उसकी अनुमतियाँ फिर से बनाना नहीं।