Ikat akses kantor pada identitas, bukan pada port switch
Segmentasi, penerimaan, dan otorisasi layanan adalah pekerjaan berbeda. Tiga kondisi menentukan apakah akses berbasis identitas mengalahkan VLAN per port.
Ada dua rancangan di atas meja. Satu menjaga karyawan dalam VLAN berbasis peran dan menyunting port switch saat orang berpindah. Yang lain mengautentikasi sesi dan membiarkan kebijakan memutuskan apa yang boleh dijangkau. Pilihannya bukan soal kemodernan; ini soal apakah tiga kondisi berlaku di gedung Anda. Jika salah satunya gagal, rancangan berbasis port bukanlah hal bodoh, itulah yang benar-benar dapat Anda operasikan.
Tiga kondisi itu adalah kemampuan penegakan, kualitas identitas, dan perilaku saat gagal.
Kondisi 1: dapatkah perangkat akses menegakkan kebijakan yang dikembalikan
802.1X adalah hubungan antara supplicant di titik akhir, autentikator di switch atau titik akses, dan server autentikasi yang dicapai lewat RADIUS. Server dapat mengembalikan VLAN atau hasil kebijakan lain, dan RFC 3580 menjelaskan pensinyalan itu. Switch tetap harus menerapkan hasil yang Anda andalkan.
Mintalah kemampuan, bukan protokol: penetapan VLAN dinamis, ACL yang dapat diunduh, atau pengalihan ke portal pendaftaran.
Kondisi 2: apakah sumber identitas berwibawa dan cepat berubah
Keanggotaan grup di direktori hanya membantu jika itulah bidang yang sudah disunting bisnis saat peran berubah. Jika penetapan peran hidup di lembar kerja yang disalin ke grup setiap bulan, akses berbasis identitas hanya mengotomatiskan masukan yang basi. Periksa juga latensinya, karena karyawan baru yang tidak dapat bekerja sehari penuh adalah hasil yang lebih buruk daripada perubahan port manual. Autentikasi perangkat, autentikasi pengguna, dan keduanya bersama adalah pilihan terpisah, dan printer memerlukan model eksplisit alih-alih jalan pintas yang tidak dijelaskan.
Tuliskan pemetaannya: grup mana memberikan kebijakan mana, dan siapa yang boleh mengubahnya.
Kondisi 3: putuskan perilaku saat gagal sebelum uji coba
Setiap penerapan memiliki keadaan tidak terautentikasi dan keadaan server tidak tersedia, dan kebijakan untuk keduanya adalah keputusan keamanan. Kembali diam-diam ke segmen tepercaya mengalahkan rancangan; kegagalan keras memblokir pekerjaan selama gangguan. Jalan tengah yang biasa adalah segmen terbatas dengan akses hanya internet dan rute jelas ke meja bantuan. Uji kembalinya pada switch atau platform nirkabel sungguhan, karena nilai bawaan vendor berbeda.
Jika tidak ada yang dapat menjelaskan kembalinya dalam satu kalimat, rancangannya belum selesai.
Di mana VPN masuk
VPN mengautentikasi akses melalui jalur yang tidak tepercaya, dan mewajibkannya juga di LAN kantor bisa menjadi keputusan kepercayaan yang disengaja. Ini tidak menghapus kebutuhan pemetaan grup atau otorisasi server berkas itu sendiri. Ini juga menambah kapasitas gerbang, perangkat lunak klien, dan manajemen sesi ke beban operasional.
VPN yang dibeli untuk menghindari penyuntingan VLAN telah menyelesaikan masalah yang salah dan menambah dua masalah baru.
Tabelnya, dan satu hal yang harus dipertahankan
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Pertahankan segmen untuk server, tamu, perangkat, dan teknologi operasional. Batas-batas itu soal lalu lintas, bukan jabatan, dan bertahan terhadap reorganisasi apa pun. Letakkan hak karyawan dalam kebijakan identitas, tempat perubahan peran adalah satu suntingan, dan gunakan mekanisme pemutusan yang didukung saat pencabutan harus cepat.
Uji rancangannya adalah pemindahan meja: rancangan itu harus memindahkan orang dan peralatannya, bukan membangun ulang izinnya di sekitar colokan lain.