დაუკავშირეთ ოფისში წვდომა იდენტობას და არა კომუტატორის პორტს
სეგმენტაცია, დაშვება და სერვისის ავტორიზაცია სხვადასხვა სამუშაოა. სამი პირობა წყვეტს, აღემატება თუ არა იდენტობაზე დაფუძნებული წვდომა პორტების მიხედვით VLAN-ებს.
მაგიდაზე ორი პროექტია. ერთი თანამშრომლებს როლებზე დაფუძნებულ VLAN-ებში ამყოფებს და კომუტატორის პორტებს ცვლის, როცა ხალხი გადადის. მეორე სესიას ამოწმებს და პოლიტიკას აძლევს საშუალებას გადაწყვიტოს, რას შეიძლება მიაღწიოს. არჩევანი თანამედროვეობაზე არ არის; ის იმაზეა, მოქმედებს თუ არა სამი პირობა თქვენს შენობაში. თუ რომელიმე მათგანი ვერ სრულდება, პორტებზე დაფუძნებული პროექტი სულელური არ არის, სწორედ ის არის, რისი მართვაც ნამდვილად შეგიძლიათ.
სამი პირობაა აღსრულებადობა, იდენტობის ხარისხი და ქცევა უკმარისობისას.
პირობა 1: შეუძლიათ თუ არა წვდომის მოწყობილობებს დაბრუნებული პოლიტიკის აღსრულება
802.1X არის ურთიერთობა საბოლოო წერტილის მომთხოვნს, კომუტატორში ან წვდომის წერტილში მყოფ ავთენტიფიკატორსა და RADIUS-ით მიღწევად ავთენტიფიკაციის სერვერს შორის. სერვერს შეუძლია დააბრუნოს VLAN ან სხვა პოლიტიკის შედეგი, და RFC 3580 აღწერს ამ სიგნალიზაციას. კომუტატორმა მაინც უნდა განახორციელოს ის შედეგი, რომელსაც ეყრდნობით.
მოითხოვეთ შესაძლებლობა და არა პროტოკოლი: დინამიკური VLAN-ის მინიჭება, ჩამოსატვირთი ACL-ები ან გადამისამართება რეგისტრაციის პორტალზე.
პირობა 2: არის თუ არა იდენტობის წყარო ავტორიტეტული და სწრაფად შესაცვლელი
კატალოგში ჯგუფის წევრობა ეხმარება მხოლოდ მაშინ, თუ ეს არის ის ველი, რომელსაც ბიზნესი უკვე არედაქტირებს, როცა როლი იცვლება. თუ როლების მინიჭება ცხოვრობს ცხრილში, რომელიც ყოველთვიურად ჯგუფებში კოპირდება, იდენტობაზე დაფუძნებული წვდომა უბრალოდ ძველ შეყვანას ავტომატიზებს. შეამოწმეთ დაყოვნებაც, რადგან ახალი თანამშრომელი, რომელსაც მთელი დღე ვერ იმუშავებს, უარესი შედეგია, ვიდრე პორტის ხელით შეცვლა. მოწყობილობის ავთენტიფიკაცია, მომხმარებლის ავთენტიფიკაცია და ორივე ერთად ცალკეული არჩევანია, და პრინტერებს სჭირდებათ ცხადი მოდელი და არა აუხსნელი გვერდის ავლა.
ჩაწერეთ დაკავშირება: რომელი ჯგუფი რომელ პოლიტიკას აძლევს და ვის შეუძლია მისი შეცვლა.
პირობა 3: გადაწყვიტეთ უკმარისობისას ქცევა პილოტამდე
ყოველ განლაგებას აქვს აუთენტიფიცირებელი მდგომარეობა და სერვერის მიუწვდომლობის მდგომარეობა, და ორივეს პოლიტიკა უსაფრთხოების გადაწყვეტილებაა. სანდო სეგმენტში ჩუმად დაბრუნება პროექტს აუქმებს; მკაცრი უკმარისობა მუშაობას ბლოკავს შეფერხების დროს. ჩვეულებრივი შუალედი არის შეზღუდული სეგმენტი მხოლოდ ინტერნეტის წვდომით და მკაფიო გზა დახმარების სამსახურამდე. გამოსცადეთ დაბრუნება რეალურ კომუტატორზე ან უსადენო პლატფორმაზე, რადგან მომწოდებლების ნაგულისხმევი მნიშვნელობები განსხვავდება.
თუ ვერავინ შეძლებს დაბრუნების ერთი წინადადებით აღწერას, პროექტი დასრულებული არ არის.
სად ეწყობა VPN
VPN ამოწმებს წვდომას არასანდო გზაზე, და მისი მოთხოვნა ოფისის LAN-შიც შეიძლება იყოს განზრახ ნდობის გადაწყვეტილება. ის არ აუქმებს ჯგუფების დაკავშირების ან თავად ფაილური სერვერის ავტორიზაციის საჭიროებას. ის ასევე ამატებს კარიბჭის სიმძლავრეს, კლიენტის პროგრამულ უზრუნველყოფას და სესიების მართვას ოპერაციულ დატვირთვას.
VLAN-ების რედაქტირების თავიდან ასაცილებლად ნაყიდმა VPN-მა არასწორი პრობლემა გადაჭრა და ორი ახალი დაამატა.
ცხრილი, და ერთი რამ, რაც უნდა შეინარჩუნოთ
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
შეინარჩუნეთ სეგმენტები სერვერებისთვის, სტუმრებისთვის, მოწყობილობებისთვის და ოპერაციული ტექნოლოგიისთვის. ეს საზღვრები ტრაფიკზეა და არა თანამდებობებზე, და ისინი ნებისმიერ რეორგანიზაციას უძლებენ. მოათავსეთ თანამშრომლების უფლებები იდენტობის პოლიტიკაში, სადაც როლის ცვლილება ერთი რედაქტირებაა, და გამოიყენეთ მხარდაჭერილი გათიშვის მექანიზმი, როცა მოცილება სწრაფი უნდა იყოს.
პროექტის გამოცდა სამუშაო მაგიდის გადატანაა: მან უნდა გადაიტანოს ადამიანი და მისი აღჭურვილობა, და არა გადააშენოს მისი ნებართვები სხვა ბუდის გარშემო.