Գրասենյակի Wi-Fi-ում եք, բայց դեռ VPN են պահանջում? Ահա թե ինչու

Նոթբուքը կորպորատիվ SSID-ի վրա է, սերտիֆիկատի հարցումը ընդունվել է, և վեբ հավելվածը դեռ պահանջում է VPN։ Սա կրկնակի աշխատանք է թվում, և երբեմն իսկապես այդպես է։ Երկու մուտքերը սովորաբար տարբեր որոշումներ են կիրառում, և միակ միջոցը իմանալու՝ արդյոք երկրորդն արժանի է իր տեղին, հարցնելն է, թե ինչ է այն փոխում։

Ցանցին միանալը ընդունելության որոշում է

802.1X տեղակայումը պատասխանում է մեկ հարցի՝ կարո՞ղ է այս սարքը կամ օգտատերը միանալ այս ցանցին։ Մուտքի կետը հավատարմագրերը փոխանցում է RADIUS սերվերին, և պատասխանը կարող է կրել ատրիբուտներ, որոնք սեսիան տեղադրում են որոշակի VLAN-ում կամ կիրառում են զտիչ։ Սա ընդունելություն և հատվածավորում է, ոչ թե լիազորում որևէ կոնկրետ հավելվածի համար։

Սեսիան ընդունվելուց հետո անլար կապը գաղտնագրվում է հաճախորդի և մուտքի կետի միջև։ Պաշտպանությունը ավարտվում է այնտեղ՝ լարային ցանցի եզրին։

Այդ կետից այն կողմ ամեն ինչ սովորական երթուղում է շենքի ներսում՝ հատվածի թույլատրած ներքին հասանելիությամբ։

Ինչից է իրականում պաշտպանում EAP-TTLS-ը

EAP-TTLS-ը նույնականացման ընթացքում կառուցում է TLS թունել և դրա ներսում գործարկում ներքին մեթոդ։ Ներքին մեթոդը հաճախ PAP-ն է, և դիզայնում դրա հայտնվելը չի նշանակում, որ գաղտնաբառը օդով անցնում է բաց տեքստով, քանի որ հենց TLS թունելն է այն տեղափոխում։ Հաճախորդը դեռ պետք է ստուգի սերվերի ինքնությունը և վստահի ճիշտ CA-ին, և ծանոթ SSID-ը այդ ստուգումը չէ։ Ներքին մեթոդի ընտրությունը կարդացեք որպես հավատարմագրերի ձևաչափ, ոչ թե որպես հայտարարություն արտաքին գաղտնագրման մասին։

Սա նույնականացման փոխանակում է, ոչ թե տվյալների թունել նոթբուքի հետագա երթևեկության համար։

Երբ նույնականացումն ավարտվում է, TLS թունելը անհետանում է, և հաճախորդի փաթեթները շարժվում են ընդունված հատվածով։ Այս երկուսն իրար հետ շփոթելը այն համոզմունքի արմատն է, թե Wi-Fi գաղտնագրումն արդեն կատարում է VPN-ի աշխատանքը։

VPN-ը երկրորդ՝ ավելի նեղ որոշում է

VPN-ը պատասխանում է այլ հարցի՝ ո՞ր մասնավոր ռեսուրսներին կարող է հասնել այս ինքնությունը, և ի՞նչ պայմաններում։ Այն ավարտվում է դարպասում, որն ունի իր քաղաքականությունը, իր ինքնության ստուգումները և հաճախ իր պահանջները սարքի վիճակի նկատմամբ։ Թունելը բարձրանալուց հետո հասանելի բազմությունը սովորաբար ավելի փոքր է, քան շենքի ներքին ցանցը, և հատուկ է դերին։

Այդ պատճառով սպասարկման դերը կարող է Wi-Fi-ում ընդունվել ինչպես բոլորը, և այնուամենայնիվ թունել պահանջել՝ կառավարման ենթացանցին հասնելու համար։ Wi-Fi-ի որոշումը կայացվել է մուտքի կետում՝ այս մեկը կայացվում է դարպասում։

Երկու փուլերն էլ կարող են գաղտնագրված լինել և միևնույն ժամանակ կիրառել իրարից անկախ քաղաքականություններ։

Որտեղ է կոտրվում տեղորոշման վրա հիմնված վստահությունը

Գրասենյակի ցանցը որպես լռելյայն վստահելի դիտարկելը ձախողվում է պարզ պատճառով՝ ցանցային դիրքը կապի հատկությունն է, ոչ թե մարդունը։ NIST-ի զրոյական վստահության ուղեցույցը դա ասում է ուղղակիորեն, և դրա համար է, որ ռեսուրսների հասանելիությունը որոշվում է յուրաքանչյուր հարցման, այլ ոչ թե շենքի համար։ Ով միանում է նույն SSID-ին, ժառանգում է նույն դիրքը։ Դրա համար էլ աշխատակիցների ցանցում վարակված նոթբուքը նույն կասկածանքին է արժանի, ինչ հյուրերի ցանցում գտնվողը։

Գործնական հետևանքն այն է, որ հավելվածների լիազորումը դեռ պետք է գոյություն ունենա։ VPN-ը, որը տալիս է ամբողջ ենթացանց, գումարած հավելված, որը վստահում է այդ ենթացանցից եկող ցանկացած հարցման, մեկ հավատարմագրի հեռավորության վրա է վատ օրից։

Շերտերից ոչ մեկը չի փոխարինում մյուսին, որովհետև նրանք պատասխանում են տարբեր ծավալի հարցերի։

Ինչպես պարզել՝ արդյոք երկրորդ մուտքն արժանի է իր տեղին

Հարցրեք ցանցի տիրոջը երկու բան՝ ինչ է հասանելի դառնում VPN-ի միանալուց հետո, և ինչ ինքնության կամ սարքի պայմաններ են ստուգվում դա թույլատրելու համար։ Ապա ստուգեք պատասխանները՝ փորձարկելով, թե ինչն է իրականում արձագանքում։ Եթե թունելը չի փոխում ոչ հասանելիությունը, ոչ էլ երաշխիքը, դա կարող է գործառնական սովորություն լինել, ոչ թե վերահսկողություն, և դա տիրոջ որոշումն է, ոչ թե մի բան, որից օգտատերը պետք է շրջանցի։

Փնտրեք նաև չնախատեսված ուղիղ ուղիներ, որովհետև թունելից դուրս հասանելի ռեսուրսը թունելը դարձնում է դեկորատիվ։

Փաստաթղթավորեք յուրաքանչյուր սահման և դրա նպատակը, և հաջորդ մարդը ստիպված չի լինի գուշակել, թե ինչու կա երկու մուտք։