საოფისე Wi-Fi-ზე ხართ და მაინც VPN-ს გთხოვენ? აი რატომ

ლეპტოპი კორპორატიულ SSID-ზეა, სერტიფიკატის მოთხოვნა მიღებულია, და ვებ აპლიკაცია კვლავ VPN-ს ითხოვს. ეს ორმაგ სამუშაოდ გამოიყურება, და ზოგჯერ ასეცაა. ორი შესვლა ჩვეულებრივ სხვადასხვა გადაწყვეტილებას ახორციელებს, და ერთადერთი გზა გაიგოთ, იმსახურებს თუ არა მეორე თავის ადგილს, არის ჰკითხოთ, რას ცვლის ის.

ქსელში გაწევრიანება მიღების გადაწყვეტილებაა

802.1X-ის განლაგება ერთ კითხვას პასუხობს: შეიძლება ამ მოწყობილობამ ან მომხმარებელმა ამ ქსელში შეერთება? წვდომის წერტილი რწმუნებულებს RADIUS სერვერზე გადასცემს, და პასუხს შეიძლება ჰქონდეს ატრიბუტები, რომლებიც სესიას კონკრეტულ VLAN-ში ათავსებს ან ფილტრს აყენებს. ეს მიღება და სეგმენტაციაა, არა ავტორიზაცია რომელიმე კონკრეტული აპლიკაციისთვის.

სესიის მიღების შემდეგ უსადენო კავშირი კლიენტსა და წვდომის წერტილს შორის დაშიფრებულია. დაცვა იქ მთავრდება, სადენიანი ქსელის კიდეზე.

ყველაფერი იმ წერტილის მიღმა შენობის შიგნით ჩვეულებრივი მარშრუტიზაციაა, იმ შიდა წვდომადობით, რასაც სეგმენტი უშვებს.

რას იცავს EAP-TTLS სინამდვილეში

EAP-TTLS ავთენტიფიკაციის დროს TLS გვირაბს აშენებს და მის შიგნით შიდა მეთოდს აწარმოებს. შიდა მეთოდი ხშირად PAP-ია, და მისი გამოჩენა დიზაინში არ ნიშნავს, რომ პაროლი ჰაერში ღია ტექსტად გადის, რადგან სწორედ TLS გვირაბი ატარებს მას. კლიენტმა მაინც უნდა გადაამოწმოს სერვერის იდენტობა და ენდოს სწორ CA-ს, და ნაცნობი SSID ეს შემოწმება არ არის. შიდა მეთოდის არჩევანი წაიკითხეთ რწმუნებულების ფორმატად, და არა განცხადებად გარე დაშიფვრაზე.

ეს ავთენტიფიკაციის გაცვლაა, და არა მონაცემთა გვირაბი ლეპტოპის შემდგომი ტრაფიკისთვის.

როცა ავთენტიფიკაცია მთავრდება, TLS გვირაბი ქრება და კლიენტის პაკეტები მიღებულ სეგმენტზე გადადის. ამ ორის არევა იმ რწმენის ფესვია, თითქოს Wi-Fi დაშიფვრა უკვე ასრულებს VPN-ის საქმეს.

VPN მეორე, უფრო ვიწრო გადაწყვეტილებაა

VPN სხვა კითხვას პასუხობს: რომელ კერძო რესურსებზე შეიძლება ამ იდენტობამ მიაღწიოს, და რა პირობებში? ის მთავრდება კარიბჭეზე, რომელსაც თავისი პოლიტიკა, თავისი იდენტობის შემოწმებები და ხშირად თავისი მოთხოვნები აქვს მოწყობილობის მდგომარეობაზე. გვირაბის აწევის შემდეგ ხელმისაწვდომი ნაკრები ჩვეულებრივ უფრო მცირეა, ვიდრე შენობის შიდა ქსელი, და როლზე სპეციფიკური.

ამიტომ ტექნიკური მომსახურების როლი შეიძლება Wi-Fi-ზე ყველას მსგავსად მიიღონ, და მაინც დასჭირდეს გვირაბი მართვის ქვექსელზე მისაღწევად. Wi-Fi-ის გადაწყვეტილება წვდომის წერტილში მიიღეს; ეს გადაწყვეტილება კარიბჭეში მიიღება.

ორივე ეტაპი შეიძლება დაშიფრული იყოს და მაინც განახორციელოს ერთმანეთთან დაუკავშირებელი პოლიტიკები.

სად ირღვევა ადგილმდებარეობაზე დაფუძნებული ნდობა

საოფისე ქსელის ნაგულისხმევად სანდოდ მიჩნევა მარტივი მიზეზით მარცხდება: ქსელში მდებარეობა კავშირის თვისებაა, არა ადამიანის. NIST-ის ნულოვანი ნდობის სახელმძღვანელო ამას პირდაპირ ამბობს, და ამიტომ რესურსებზე წვდომა თითოეულ მოთხოვნაზე წყდება და არა თითოეულ შენობაზე. ვინც იმავე SSID-ზე შედის, იმავე მდებარეობას მემკვიდრეობით იღებს. ამიტომაც პერსონალის ქსელში კომპრომეტირებული ლეპტოპი იმავე ეჭვის ღირსია, როგორც სტუმრების ქსელში მყოფი.

პრაქტიკული შედეგი ისაა, რომ აპლიკაციების ავტორიზაცია მაინც უნდა არსებობდეს. VPN, რომელიც მთელ ქვექსელს აძლევს, პლუს აპლიკაცია, რომელიც ამ ქვექსელიდან ნებისმიერ მოთხოვნას ენდობა, ცუდი დღიდან ერთი რწმუნებულის მანძილზეა.

არც ერთი ფენა არ ცვლის მეორეს, რადგან ისინი სხვადასხვა მასშტაბის კითხვებს პასუხობენ.

როგორ გავიგოთ, იმსახურებს თუ არა მეორე შესვლა თავის ადგილს

ჰკითხეთ ქსელის მფლობელს ორი რამ: რა ხდება ხელმისაწვდომი VPN-ის შეერთების შემდეგ, და რომელი იდენტობის ან მოწყობილობის პირობები მოწმდება ამის დასაშვებად? შემდეგ გადაამოწმეთ პასუხები იმის გამოცდით, თუ რა პასუხობს სინამდვილეში. თუ გვირაბი არ ცვლის არც წვდომადობას და არც გარანტიას, ეს შეიძლება საოპერაციო ჩვევა იყოს და არა კონტროლი, და ეს მფლობელის გადაწყვეტილებაა, და არა რამე, რაც მომხმარებელმა უნდა აუაროს.

ასევე მოძებნეთ განზრახ არაპირდაპირი გზები, რადგან გვირაბის გარეშე ხელმისაწვდომი რესურსი გვირაბს დეკორატიულს ხდის.

დაადგინეთ თითოეული საზღვარი და მისი მიზანი, და შემდეგ ადამიანს არ მოუწევს გამოიცნოს, რატომ არის ორი შესვლა.