Á skrifstofu-Wi-Fi og samt beðið um VPN? Hér er ástæðan

Fartölvan er á fyrirtækis-SSID, vottorðsbeiðnin var samþykkt, og vefforrit biður enn um VPN. Þetta virðist tvöföld vinna, og stundum er það það. Innskráningarnar tvær framfylgja venjulega mismunandi ákvörðunum, og eina leiðin til að vita hvort sú seinni á skilið sinn sess er að spyrja hvað hún breytir.

Að ganga í net er inntökuákvörðun

Uppsetning 802.1X svarar einni spurningu: má þetta tæki eða notandi tengjast þessu neti? Aðgangspunkturinn sendir skilríkin á RADIUS-þjón, og svarið getur borið eigindir sem setja setuna í tiltekið VLAN eða beita síu. Það er inntaka og sundurliðun, ekki heimild fyrir neinu tilteknu forriti.

Þegar setan hefur verið tekin inn er þráðlausa tengingin dulkóðuð milli biðlarans og aðgangspunktsins. Verndin endar þar, á jaðri kapalnetsins.

Allt handan þess punkts er venjuleg leiðsögn inni í byggingunni, með þeim innri aðgengileika sem hlutinn leyfir.

Hvað EAP-TTLS verndar í raun

EAP-TTLS byggir TLS-göng í auðkenningunni og keyrir innri aðferð inni í því. Innri aðferðin er oft PAP, og að hún komi fyrir í hönnun þýðir ekki að lykilorðið fari um loftið sem ódulkóðaður texti, því TLS-göngin bera það. Biðlarinn verður samt að sannreyna auðkenni þjónsins og treysta réttu CA, og þekkt SSID er ekki sú sannreyning. Lestu valið á innri aðferð sem snið skilríkja, ekki sem yfirlýsingu um ytri dulkóðun.

Þetta er auðkenningarskipti, ekki gagnagöng fyrir síðari umferð fartölvunnar.

Þegar auðkenningu lýkur er TLS-göngunum ekki lengur til og pakkar biðlarans ferðast um hlutann sem var tekinn inn. Að rugla þessu tvennu er rót þeirrar trúar að Wi-Fi-dulkóðun sé þegar að vinna verk VPN.

VPN er önnur, þrengri ákvörðun

VPN svarar annarri spurningu: hvaða einkareknu auðlindir má þetta auðkenni ná í, og við hvaða skilyrði? Það endar á gátt með eigin stefnu, eigin auðkennisathugunum og oft eigin kröfum um ástand tækisins. Það mengi sem er aðgengilegt eftir að göngin rísa er venjulega minna en innra net byggingarinnar og sérstakt fyrir hlutverkið.

Þess vegna má taka viðhaldshlutverk inn í Wi-Fi eins og alla aðra og þarf samt göng til að ná í stjórnunarundirnet. Wi-Fi-ákvörðunin var tekin við aðgangspunktinn; þessi er tekin við gáttina.

Bæði stigin geta verið dulkóðuð og samt framfylgt ótengdum stefnum.

Hvar traust sem byggist á staðsetningu brestur

Að líta á skrifstofunetið sem sjálfgefið traust mistekst af einfaldri ástæðu: staðsetning í neti er eiginleiki tengingarinnar, ekki manneskjunnar. Leiðbeiningar NIST um núlltraust segja það beint, og þess vegna er aðgangur að auðlindum ákvarðaður fyrir hverja beiðni og ekki fyrir hverja byggingu. Hver sem gengur í sama SSID erfir sömu staðsetningu. Þess vegna á sökuð fartölva á starfsmannanetinu sama efasemdir og ein á gestanetinu.

Hagnýt afleiðing er að heimild forrita verður samt að vera til. VPN sem veitir heilt undirnet, auk forrits sem treystir hverri beiðni frá því undirneti, er einu skilríki frá vondum degi.

Hvort laganna kemur í stað hins, því þau svara spurningum á mismunandi skala.

Hvernig á að vita hvort seinni innskráningin á skilið sinn sess

Spyrðu neteigandann tveggja hluta: hvað verður aðgengilegt þegar VPN tengist, og hvaða auðkennis- eða tækjaskilyrði eru athuguð til að leyfa það? Sannreyndu síðan svörin með því að prófa hvað svarar í raun. Ef göngin breyta hvorki aðgengi né tryggingu gæti það verið rekstrarvenja frekar en stýring, og það er ákvörðun eigandans, ekki eitthvað sem notandi ætti að fara fram hjá.

Leitaðu líka að óviljandi beinum slóðum, því auðlind sem er aðgengileg án ganganna gerir göngin skrautleg.

Skjalfestu hver mörk og tilgang þeirra, og næsta manneskja þarf ekki að giska á hvers vegna tvær innskráningar eru til.