Legate l’accesso in ufficio all’identità, non alla porta dello switch
Segmentazione, ammissione e autorizzazione dei servizi sono lavori diversi. Tre condizioni decidono se l’accesso basato sull’identità batte le VLAN per porta.
Ci sono due progetti sul tavolo. Uno tiene i dipendenti in VLAN basate sui ruoli e modifica le porte dello switch quando le persone si spostano. L’altro autentica la sessione e lascia che la politica decida a cosa può arrivare. La scelta non riguarda la modernità; riguarda se tre condizioni valgono nel vostro edificio. Se una di esse fallisce, il progetto basato sulle porte non è stupido, è quello che potete davvero gestire.
Le tre condizioni sono l’applicabilità, la qualità dell’identità e il comportamento in caso di guasto.
Condizione 1: i dispositivi di accesso possono applicare una politica restituita
802.1X è una relazione tra un supplicant sull’endpoint, un autenticatore nello switch o nell’access point e un server di autenticazione raggiunto tramite RADIUS. Il server può restituire una VLAN o un altro risultato di politica, e RFC 3580 descrive quella segnalazione. Lo switch deve comunque implementare il risultato su cui contate.
Chiedete una capacità, non un protocollo: assegnazione dinamica delle VLAN, ACL scaricabili o un reindirizzamento a un portale di registrazione.
Condizione 2: la fonte dell’identità è autorevole e rapida da cambiare
L’appartenenza a un gruppo nella directory aiuta solo se è il campo che l’azienda già modifica quando cambia un ruolo. Se l’assegnazione dei ruoli vive in un foglio di calcolo copiato nei gruppi ogni mese, l’accesso basato sull’identità si limita ad automatizzare un input obsoleto. Controllate anche la latenza, perché un nuovo assunto che non può lavorare per un giorno è un esito peggiore di un cambio di porta manuale. L’autenticazione del dispositivo, quella dell’utente e entrambe insieme sono scelte separate, e le stampanti hanno bisogno di un modello esplicito invece di un aggiramento inspiegato.
Scrivete la mappatura: quale gruppo concede quale politica e chi può modificarla.
Condizione 3: decidete il comportamento in caso di guasto prima del pilota
Ogni distribuzione ha uno stato non autenticato e uno stato di server non disponibile, e la politica per entrambi è una decisione di sicurezza. Un ripiego silenzioso in un segmento fidato vanifica il progetto; un guasto netto blocca il lavoro durante un’interruzione. La via di mezzo abituale è un segmento ristretto con accesso solo a internet e un percorso chiaro verso il servizio di assistenza. Provate il ripiego sullo switch o sulla piattaforma wireless reali, perché i valori predefiniti dei fornitori differiscono.
Se nessuno sa descrivere il ripiego in una frase, il progetto non è finito.
Dove si colloca la VPN
Una VPN autentica l’accesso su un percorso non fidato, e richiederla anche sulla LAN dell’ufficio può essere una decisione di fiducia deliberata. Non elimina la necessità della mappatura dei gruppi né dell’autorizzazione propria del file server. Aggiunge inoltre capacità di gateway, software client e gestione delle sessioni al carico operativo.
Una VPN comprata per evitare di modificare le VLAN ha risolto il problema sbagliato e ne ha aggiunti due nuovi.
La tabella, e l’unica cosa da conservare
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Mantenete segmenti per server, ospiti, dispositivi e tecnologia operativa. Quei confini riguardano il traffico e non i titoli di lavoro, e sopravvivono a qualsiasi riorganizzazione. Mettete i diritti dei dipendenti nella politica dell’identità, dove un cambio di ruolo è una sola modifica, e usate il meccanismo di disconnessione supportato quando la rimozione deve essere rapida.
La prova del progetto è un trasloco di scrivania: deve spostare una persona e la sua attrezzatura, non ricostruire i suoi permessi attorno a un’altra presa.