Tengdu aðgang að skrifstofunni við auðkenni, ekki við rofaport
Skipting, innganga og þjónustuheimild eru ólík verk. Þrjú skilyrði ráða því hvort auðkennisdrifinn aðgangur vinnur á VLAN á hverri höfn.
Tvær hönnur liggja á borðinu. Önnur heldur starfsfólki í hlutverkatengdum VLAN og breytir rofaportum þegar fólk flytur sig. Hin sannreynir lotuna og lætur stefnuna ráða hvað hún má ná. Valið snýst ekki um nútímahugsun; það snýst um hvort þrjú skilyrði gildi í byggingunni þinni. Ef eitthvað þeirra bregst er portbundin hönnunin ekki heimsk, hún er sú sem þú getur raunverulega rekið.
Skilyrðin þrjú eru framfylgjanleiki, gæði auðkennis og hegðun við bilun.
Skilyrði 1: geta aðgangstækin framfylgt stefnu sem er skilað
802.1X er samband milli beiðanda á endapunktinum, sannreynanda í rofanum eða aðgangspunktinum og auðkennaþjóns sem náð er í gegnum RADIUS. Þjónninn getur skilað VLAN eða annarri stefnu niðurstöðu, og RFC 3580 lýsir þeirri merkjasendingu. Rofinn verður samt að innleiða niðurstöðuna sem þú treystir á.
Biddu um getu, ekki samskiptareglu: kraftvirka VLAN-úthlutun, niðurhalshæfar ACL eða áframsendingu á skráningargátt.
Skilyrði 2: er auðkennisuppsprettan valdleg og fljót að breyta
Hópmeðlimur í skránni hjálpar aðeins ef það er reiturinn sem fyrirtækið breytir þegar hlutverki er breytt. Ef hlutverkautdeiling býr í töflureikni sem er afritaður í hópa mánaðarlega, þá sjálfvirknivæðir auðkennisdrifinn aðgang bara úrelt inntak. Athugaðu líka biðtímann, því nýliði sem getur ekki unnið heilan dag er verri niðurstaða en handvirk portbreyting. Tækjasannreynsla, notendasannreynsla og bæði saman eru aðskildar ákvarðanir, og prentarar þurfa skýra fyrirmynd frekar en óútskýrða undanfærslu.
Skrifaðu varpinu niður: hvaða hópur veitir hvaða stefnu, og hver má breyta henni.
Skilyrði 3: ákveddu hegðun við bilun fyrir prufuna
Sérhver innleiðing hefur ósannreynt ástand og ástand þar sem þjónn er ófáanlegur, og stefnan fyrir bæði er öryggisákvörðun. Þögult hrun í treystan hluta eyðileggur hönnunina; hörð bilun stöðvar vinnu meðan á truflun stendur. Venjuleg millileið er takmarkaður hluti með aðeins internet aðgangi og skýrri leið á þjónustuborð. Prófaðu hrunið á raunverulega rofanum eða þráðlausa vettvangnum, því sjálfgefin gildi framleiðenda eru mismunandi.
Ef enginn getur lýst hruninu í einni setningu er hönnunin ekki fullunnin.
Hvar VPN passar inn
VPN sannreynir aðgang yfir ótraustan slóð, og að krefjast þess líka á skrifstofu-LANinu getur verið vísvitandi traustsákvörðun. Það fjarlægir ekki þörfina fyrir hópavarp eða fyrir eigin heimild skráaþjónsins. Það bætir líka gáttargetu, biðlaraforriti og lotustjórnun við rekstrarálagið.
VPN sem keypt var til að komast hjá VLAN-breytingum leysti rangt vandamál og bætti tveimur nýjum við.
Taflan, og það eina sem á að halda
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Haltu hlutum fyrir þjóna, gesti, tæki og rekstrartækni. Þau mörk snúast um umferð frekar en starfsheiti, og þau lifa af hverja endurskipulagningu. Setja réttindi starfsfólks í auðkennisstefnuna, þar sem hlutverkabreyting er ein breyting, og notaðu studdu aftengingaraðferðina þegar fjarlæging þarf að vera skjót.
Próf hönnunarinnar er skrifborðsflutningur: hún á að flytja manneskju og búnað hennar, ekki endurbyggja heimildir hennar í kringum aðra innstungu.