オフィスアクセスはスイッチポートではなくアイデンティティに結びつける

テーブルには二つの設計があります。一つは従業員をロールベースの VLAN に置き、人が移動するとスイッチポートを編集します。もう一つはセッションを認証し、何に到達できるかをポリシーに決めさせます。選択は現代性の問題ではなく、三つの条件があなたの建物で成り立つかどうかの問題です。どれか一つでも成り立たなければ、ポートベースの設計は愚かではなく、実際に運用できるのはそちらです。

三つの条件とは、強制可能性、アイデンティティの品質、障害時の挙動です。

条件 1：アクセス機器は返されたポリシーを強制できるか

802.1X は、エンドポイント上のサプリカント、スイッチまたはアクセスポイント内のオーセンティケータ、そして RADIUS 経由で到達する認証サーバーの間の関係です。サーバーは VLAN や別のポリシー結果を返すことができ、RFC 3580 がそのシグナリングを記述しています。それでもスイッチが、あなたが頼る結果を実装していなければなりません。

プロトコルではなく能力を求めてください。動的 VLAN 割り当て、ダウンロード可能な ACL、あるいは登録ポータルへのリダイレクトです。

条件 2：アイデンティティの源は権威があり、素早く変更できるか

ディレクトリのグループ所属が役立つのは、役割が変わったときに業務側がすでに編集している項目である場合だけです。役割の割り当てが毎月グループにコピーされる表計算にあるなら、アイデンティティ主導のアクセスは古い入力を自動化しているにすぎません。遅延も確認してください。丸一日働けない新入社員は、手作業のポート変更より悪い結果です。デバイス認証、ユーザー認証、その両方は別々の選択であり、プリンターには説明のない迂回ではなく明示的なモデルが必要です。

マッピングを書き留めてください。どのグループがどのポリシーを与え、誰がそれを変更できるのか。

条件 3：パイロットの前に障害時の挙動を決める

どの導入にも未認証の状態とサーバー利用不能の状態があり、両方のポリシーはセキュリティ上の決定です。信頼されたセグメントへの静かなフォールバックは設計を無効にします。厳格な失敗は障害中に業務を止めます。通常の中間解は、インターネットのみのアクセスを持つ制限付きセグメントと、ヘルプデスクへの明確な経路です。フォールバックは実際のスイッチや無線プラットフォームで試してください。ベンダーの既定値は異なります。

フォールバックを一文で説明できる人がいなければ、設計は未完成です。

VPN の位置づけ

VPN は信頼できない経路でのアクセスを認証しますが、オフィスの LAN でもそれを要求することは意図的な信頼の判断になり得ます。グループのマッピングやファイルサーバー自身の認可が不要になるわけではありません。さらにゲートウェイの容量、クライアントソフトウェア、セッション管理が運用負荷に加わります。

VLAN の編集を避けるために買った VPN は、間違った問題を解き、新たな問題を二つ増やしました。

表と、残すべき一つのこと

サーバー、ゲスト、デバイス、運用技術のためにセグメントは残してください。その境界は役職ではなくトラフィックの話であり、どんな再編にも耐えます。従業員の権限はアイデンティティポリシーに置いてください。そこでは役割の変更は一度の編集です。速やかな除去が必要なときは、サポートされている切断の仕組みを使ってください。

設計の試験は机の移動です。人とその機器を動かすべきで、別のジャックを中心に権限を作り直すことではありません。