Az irodai hozzáférést az identitáshoz kösse, ne a kapcsoló porthoz
A szegmentálás, a beléptetés és a szolgáltatás-engedélyezés különböző feladatok. Három feltétel dönti el, hogy az identitásvezérelt hozzáférés legyőzi-e a portonkénti VLAN-okat.
Két terv van az asztalon. Az egyik szerepkör-alapú VLAN-okban tartja az alkalmazottakat, és szerkeszti a kapcsoló portjait, amikor az emberek mozognak. A másik hitelesíti a munkamenetet, és hagyja, hogy a házirend döntse el, mit érhet el. A választás nem a modernségről szól; arról szól, hogy teljesül-e három feltétel az épületében. Ha bármelyik megbukik, a port alapú terv nem ostoba, hanem az, amelyet valóban üzemeltetni tud.
A három feltétel a kikényszeríthetőség, az identitás minősége és a hiba viselkedése.
1. feltétel: képesek-e a hozzáférési eszközök egy visszaadott házirendet kikényszeríteni
A 802.1X kapcsolat a végponton lévő kérelmező, a kapcsolóban vagy hozzáférési pontban lévő hitelesítő és a RADIUS-on keresztül elérhető hitelesítési kiszolgáló között. A kiszolgáló visszaadhat egy VLAN-t vagy más házirend-eredményt, és az RFC 3580 ezt a jelzést írja le. A kapcsolónak mégis meg kell valósítania azt az eredményt, amelyre támaszkodik.
Képességet kérjen, ne protokollt: dinamikus VLAN-hozzárendelést, letölthető ACL-eket vagy átirányítást egy regisztrációs portálra.
2. feltétel: mérvadó-e az identitásforrás, és gyorsan változtatható-e
A címtárban lévő csoporttagság csak akkor segít, ha az az a mező, amelyet a vállalat már szerkeszt, amikor egy szerepkör változik. Ha a szerepkör-hozzárendelés egy olyan táblázatban él, amelyet havonta másolnak a csoportokba, az identitásvezérelt hozzáférés csupán automatizál egy elavult bemenetet. Ellenőrizze a késleltetést is, mert egy új belépő, aki egy napig nem tud dolgozni, rosszabb eredmény, mint egy kézi portcsere. Az eszközhitelesítés, a felhasználóhitelesítés és a kettő együtt külön döntések, és a nyomtatóknak kifejezett modellre van szükségük a megmagyarázatlan megkerülés helyett.
Írja le a leképezést: melyik csoport melyik házirendet adja, és ki módosíthatja.
3. feltétel: döntse el a hiba viselkedését a pilot előtt
Minden bevezetésnek van egy nem hitelesített állapota és egy kiszolgáló-elérhetetlenségi állapota, és mindkettő házirendje biztonsági döntés. A csendes visszaesés egy megbízható szegmensbe aláássa a tervet; a kemény hiba blokkolja a munkát egy kiesés alatt. A szokásos középút egy korlátozott szegmens csak internetes hozzáféréssel és világos útvonallal az ügyfélszolgálathoz. Tesztelje a visszaesést a valódi kapcsolón vagy vezeték nélküli platformon, mert a gyártói alapértékek eltérnek.
Ha senki nem tudja egy mondatban leírni a visszaesést, a terv nincs kész.
Hová illik a VPN
A VPN nem megbízható útvonalon keresztül hitelesíti a hozzáférést, és előírása az irodai LAN-on is lehet szándékos bizalmi döntés. Nem szünteti meg a csoportleképezés vagy a fájlkiszolgáló saját engedélyezésének szükségességét. Emellett átjárókapacitást, kliensszoftvert és munkamenet-kezelést ad az üzemeltetési terheléshez.
A VLAN-ok szerkesztésének elkerülésére vásárolt VPN a rossz problémát oldotta meg, és kettő újat adott hozzá.
A táblázat, és az az egy dolog, amit meg kell tartani
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Tartson szegmenseket a kiszolgálóknak, vendégeknek, eszközöknek és üzemeltetési technológiának. Ezek a határok a forgalomról szólnak, nem a munkakörökről, és túlélnek minden átszervezést. Tegye az alkalmazottak jogosultságait az identitásházirendbe, ahol a szerepkörváltás egyetlen szerkesztés, és használja a támogatott leválasztási mechanizmust, amikor az eltávolításnak gyorsnak kell lennie.
A terv próbája egy íróasztal-áthelyezés: egy embert és a felszerelését kell áthelyeznie, nem pedig újraépítenie a jogosultságait egy másik aljzat körül.