Գրասենյակի մուտքը կապեք ինքնությանը, ոչ թե անջատիչի պորտին
Սեգմենտավորումը, ընդունումը և ծառայության լիազորումը տարբեր աշխատանքներ են։ Երեք պայման որոշում է՝ ինքնության վրա հիմնված մուտքը գերազանցո՞ւմ է պորտային VLAN-ներին։
Սեղանին երկու նախագիծ կա։ Մեկը աշխատակիցներին պահում է դերային VLAN-ներում և փոխում անջատիչի պորտերը, երբ մարդիկ տեղափոխվում են։ Մյուսը վավերացնում է նստաշրջանը և թույլ է տալիս քաղաքականությանը որոշել, թե ինչի կարող է հասնել։ Ընտրությունը ժամանակակից լինելու մասին չէ, այլ այն մասին, թե արդյոք ձեր շենքում երեք պայման է գործում։ Եթե դրանցից որևէ մեկը ձախողվի, պորտային նախագիծը հիմար չէ, դա այն է, ինչ դուք իսկապես կարող եք շահագործել։
Երեք պայմաններն են՝ պարտադրելիությունը, ինքնության որակը և ձախողման վարքագիծը։
Պայման 1: կարո՞ղ են մուտքի սարքերը պարտադրել վերադարձված քաղաքականություն
802.1X-ը հարաբերություն է վերջնակետի հարցնողի, անջատիչում կամ մուտքի կետում գտնվող վավերացնողի և RADIUS-ով հասանելի վավերացման սերվերի միջև։ Սերվերը կարող է վերադարձնել VLAN կամ այլ քաղաքականության արդյունք, և RFC 3580-ը նկարագրում է այդ ազդանշանը։ Անջատիչը դեռ պետք է իրականացնի այն արդյունքը, որի վրա դուք հենվում եք։
Պահանջեք հնարավորություն, ոչ թե արձանագրություն՝ դինամիկ VLAN նշանակում, ներբեռնվող ACL-ներ կամ վերահղում գրանցման պորտալ։
Պայման 2: ինքնության աղբյուրը հեղինակա՞յին է և արագ փոփոխվող
Գրացուցակում խմբի անդամակցությունը օգնում է միայն այն դեպքում, եթե դա այն դաշտն է, որը բիզնեսն արդեն խմբագրում է, երբ դերը փոխվում է։ Եթե դերերի նշանակումն ապրում է աղյուսակում, որը ամիսը մեկ պատճենվում է խմբերում, ինքնության վրա հիմնված մուտքը պարզապես ավտոմատացնում է հնացած մուտքագրումը։ Ստուգեք նաև ուշացումը, քանի որ նոր աշխատակիցը, որը չի կարող աշխատել մի ամբողջ օր, ավելի վատ արդյունք է, քան պորտի ձեռքով փոփոխությունը։ Սարքի վավերացումը, օգտվողի վավերացումը և երկուսը միասին առանձին ընտրություններ են, իսկ տպիչներին պետք է հստակ մոդել՝ անբացատրելի շրջանցման փոխարեն։
Գրեք քարտեզագրումը՝ ո՞ր խումբն է տալիս ո՞ր քաղաքականությունը, և ո՞վ կարող է փոխել այն։
Պայման 3: որոշեք ձախողման վարքագիծը փորձարկումից առաջ
Յուրաքանչյուր ներդրում ունի չվավերացված վիճակ և սերվերի անհասանելիության վիճակ, և երկուսի քաղաքականությունը անվտանգության որոշում է։ Եթե համակարգը լուռ հետ է ընկնում վստահելի սեգմենտ, նախագիծը քանդվում է։ Կոշտ ձախողումը արգելափակում է աշխատանքը ընդհատման ընթացքում։ Սովորական միջին ուղին սահմանափակ սեգմենտն է՝ միայն ինտերնետ հասանելիությամբ և աջակցության ծառայության հստակ ուղիով։ Փորձարկեք հետ ընկնելը իրական անջատիչի կամ անլար հարթակի վրա, քանի որ մատակարարների լռելյայն արժեքները տարբերվում են։
Եթե ոչ ոք չի կարող մեկ նախադասությամբ նկարագրել հետընկնելը, նախագիծը ավարտված չէ։
Որտեղ է տեղավորվում VPN-ը
VPN-ը վավերացնում է մուտքը անվստահելի ուղով, և դրա պահանջը նաև գրասենյակի LAN-ում կարող է լինել գիտակցված վստահության որոշում։ Այն չի վերացնում խմբերի քարտեզագրման կամ ֆայլային սերվերի սեփական լիազորման կարիքը։ Այն նաև ավելացնում է դարպասի հզորություն, հաճախորդի ծրագրաշար և նստաշրջանների կառավարում գործառնական բեռին։
VLAN-ների խմբագրումից խուսափելու համար գնված VPN-ը լուծեց սխալ խնդիրը և ավելացրեց երկու նորը։
Աղյուսակը, և այն մի բանը, որ պետք է պահել
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Պահեք սեգմենտներ սերվերների, հյուրերի, սարքերի և գործառնական տեխնոլոգիայի համար։ Այդ սահմանները տրաֆիկի մասին են, ոչ պաշտոնների, և դիմանում են ցանկացած վերակազմակերպման։ Տեղադրեք աշխատակիցների իրավունքները ինքնության քաղաքականության մեջ, որտեղ դերի փոփոխությունը մեկ խմբագրում է, և օգտագործեք աջակցվող անջատման մեխանիզմը, երբ հեռացումը պետք է արագ լինի։
Նախագծի փորձությունը գրասեղանի տեղափոխումն է՝ այն պետք է տեղափոխի մարդուն և նրա սարքավորումը, ոչ թե վերակառուցի նրա թույլտվությունները մեկ այլ վարդակի շուրջ։