Кеңсе Wi-Fi желісіндесіз, бірақ әлі де VPN сұрайды ма? Себебі мынада

Ноутбук корпоративтік SSID-де, сертификат сұранысы қабылданды, ал веб-қолданба әлі де VPN сұрайды. Бұл қос жұмыс сияқты көрінеді, кейде солай да болады. Екі кіру әдетте түрлі шешімдерді орындатады, ал екіншісі өз орнына лайық па екенін білудің жалғыз жолы — оның нені өзгертетінін сұрау.

Желіге қосылу — қабылдау шешімі

802.1X орналастыруы бір сұраққа жауап береді: бұл құрылғы немесе пайдаланушы бұл желіге қосыла ала ма? Кіру нүктесі тіркелгі деректерін RADIUS серверіне жібереді, ал жауап сессияны белгілі бір VLAN-ға орналастыратын немесе сүзгі қолданатын атрибуттарды алып жүруі мүмкін. Бұл қабылдау және сегменттеу, ешбір нақты қолданбаға рұқсат емес.

Сессия қабылданған соң, клиент пен кіру нүктесі арасындағы сымсыз байланыс шифрланады. Қорғаныс сонда, сымды желінің шетінде аяқталады.

Осы нүктеден әрі қарайғының бәрі ғимарат ішіндегі қарапайым маршруттау, сегмент рұқсат еткен ішкі қолжетімділікпен.

EAP-TTLS нақты нені қорғайды

EAP-TTLS аутентификация кезінде TLS туннелін құрады және оның ішінде ішкі әдісті іске қосады. Ішкі әдіс көбіне PAP болады, және оның жобада көрінуі құпиясөздің ашық мәтінмен ауа арқылы өтетінін білдірмейді, өйткені оны TLS туннелі тасымалдайды. Клиент әлі де сервердің жеке басын тексеріп, дұрыс CA-ға сенуі керек, ал таныс SSID ол тексеру емес. Ішкі әдісті таңдауды тіркелгі деректерінің пішімі ретінде оқыңыз, сыртқы шифрлау туралы мәлімдеме ретінде емес.

Бұл аутентификация алмасуы, ноутбуктің кейінгі трафигіне арналған деректер туннелі емес.

Аутентификация біткенде TLS туннелі жоғалады және клиент пакеттері қабылданған сегмент арқылы жүреді. Осы екеуін шатастыру — Wi-Fi шифрлауы VPN жұмысын атқарып қойды деген сенімнің тамыры.

VPN — екінші, тар шешім

VPN басқа сұраққа жауап береді: бұл жеке бас қай жеке ресурстарға қол жеткізе алады және қандай шарттарда? Ол өз саясаты, өз жеке бас тексерулері және көбіне өз құрылғы күйіне қойылатын талаптары бар шлюзде аяқталады. Туннель көтерілгеннен кейін қолжетімді жиын әдетте ғимараттың ішкі желісінен кіші және рөлге тән.

Сондықтан техникалық қызмет көрсету рөлін барлығы сияқты Wi-Fi-ға қабылдауға болады, бірақ ол басқару ішкі желісіне жету үшін туннель қажет етеді. Wi-Fi шешімі кіру нүктесінде қабылданды; бұл шешім шлюзде қабылданады.

Екі кезең де шифрлануы мүмкін және соған қарамастан өзара байланыссыз саясаттарды орындауы мүмкін.

Орналасуға негізделген сенім қайда сынды

Кеңсе желісін әдепкі бойынша сенімді деп санау қарапайым себеппен сәтсіздікке ұшырайды: желідегі орын — байланыстың қасиеті, адамның емес. NIST-тің нөлдік сенім жөніндегі нұсқаулығы мұны тікелей айтады, сондықтан ресурстарға қол жеткізу ғимарат бойынша емес, әр сұраныс бойынша шешіледі. Сол SSID-ге қосылған кез келген адам сол орынды мұраға алады. Сондықтан қызметкерлер желісіндегі бұзылған ноутбук қонақ желісіндегідей күмәнге лайық.

Практикалық салдар — қолданбаларды авторизациялау әлі де болуы керек. Толық ішкі желіні беретін VPN, оған қоса сол ішкі желіден келген кез келген сұранысқа сенетін қолданба — жаман күннен бір тіркелгі дерегі қашықтықта.

Екі қабаттың ешқайсысы екіншісін алмастырмайды, өйткені олар әртүрлі ауқымдағы сұрақтарға жауап береді.

Екінші кірудің өз орнына лайық екенін қалай білуге болады

Желі иесінен екі нәрсені сұраңыз: VPN қосылғаннан кейін не қолжетімді болады және оған рұқсат беру үшін қандай жеке бас немесе құрылғы шарттары тексеріледі? Содан кейін жауаптарды нақты ненің жауап беретінін сынап тексеріңіз. Егер туннель не қолжетімділікті, не кепілдікті өзгертпесе, бұл бақылау емес, операциялық әдет болуы мүмкін, және бұл — иесінің шешімі, пайдаланушы айналып өтуі тиіс нәрсе емес.

Кездейсоқ тікелей жолдарды да қараңыз, өйткені туннельсіз қолжетімді ресурс туннельді әшекейге айналдырады.

Әр шекараны және оның мақсатын құжаттаңыз, сонда келесі адам неге екі кіру бар екенін болжауға мәжбүр болмайды.