Povežite pristup u uredu s identitetom, a ne s portom preklopnika
Segmentacija, prihvat i autorizacija usluga različiti su poslovi. Tri uvjeta odlučuju pobjeđuje li pristup vođen identitetom VLAN-ove po portu.
Na stolu su dva rješenja. Jedno drži zaposlenike u VLAN-ovima zasnovanim na ulogama i mijenja portove preklopnika kad se ljudi premjeste. Drugo provjerava autentičnost sesije i pušta politiku da odluči do čega smije doći. Izbor nije stvar modernosti; radi se o tome vrijede li tri uvjeta u vašoj zgradi. Ako bilo koji od njih padne, rješenje zasnovano na portovima nije glupo, to je ono koje zaista možete održavati.
Tri su uvjeta provedivost, kvalitet identiteta i ponašanje pri kvaru.
Uvjet 1: mogu li pristupni uređaji provesti vraćenu politiku
802.1X je odnos između podnositelja na krajnjoj točki, autentikatora u preklopniku ili pristupnoj točki i poslužitelja za provjeru autentičnosti dohvaćenog preko RADIUS-a. Poslužitelj može vratiti VLAN ili drugi rezultat politike, a RFC 3580 opisuje taj signal. Preklopnik ipak mora primijeniti rezultat na koji se oslanjate.
Tražite mogućnost, ne protokol: dinamičku dodjelu VLAN-a, ACL-ove koji se mogu preuzeti ili preusmjeravanje na registracijski portal.
Uvjet 2: je li izvor identiteta mjerodavan i brz na promjenu
Članstvo u grupi u imeniku pomaže samo ako je to polje koje poslovanje već uređuje kad se uloga promijeni. Ako dodjela uloga živi u tablici koja se mjesečno kopira u grupe, pristup vođen identitetom samo automatizira zastarjeli unos. Provjerite i kašnjenje, jer novi zaposlenik koji ne može raditi cijeli dan gori je ishod od ručne promjene porta. Provjera uređaja, provjera korisnika i oboje zajedno odvojeni su izbori, a pisači trebaju izričit model umjesto neobjašnjenog zaobilaženja.
Zapišite mapiranje: koja grupa daje koju politiku i ko je smije mijenjati.
Uvjet 3: odlučite ponašanje pri kvaru prije pilota
Svaka implementacija ima neprovjereno stanje i stanje nedostupnog poslužitelja, a politika za oba je sigurnosna odluka. Tihi povratak u pouzdan segment uništava rješenje; tvrdi kvar blokira rad tijekom prekida. Uobičajena je sredina ograničen segment samo s internetskim pristupom i jasan put do službe za podršku. Testirajte povratak na stvarnom preklopniku ili bežičnoj platformi, jer se zadane postavke proizvođača razlikuju.
Ako nitko ne može opisati povratak u jednoj rečenici, rješenje nije dovršeno.
Gdje se uklapa VPN
VPN provjerava pristup preko nepouzdane staze, a zahtijevati ga i na uredskom LAN-u može biti namjerna odluka o povjerenju. Ne uklanja potrebu za mapiranjem grupa ni za vlastitom autorizacijom datotečnog poslužitelja. Dodaje i kapacitet pristupnika, klijentski softver i upravljanje sesijama operativnom teretu.
VPN kupljen da se izbjegne uređivanje VLAN-ova riješio je pogrešan problem i dodao dva nova.
Tablica i jedna stvar koju treba zadržati
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Zadržite segmente za poslužitelje, goste, uređaje i operativnu tehnologiju. Te granice tiču se prometa, a ne radnih mjesta, i preživljavaju svaku reorganizaciju. Stavite prava zaposlenika u politiku identiteta, gdje je promjena uloge jedno uređivanje, i koristite podržani mehanizam odspajanja kad uklanjanje mora biti brzo.
Test rješenja je premještanje radnog stola: treba premjestiti osobu i njezinu opremu, a ne obnoviti njezina dopuštenja oko druge utičnice.