Кеңсеге кіруді портқа емес, жеке басын куәландыруға байланыстырыңыз
Сегменттеу, рұқсат беру және қызметті авторизациялау — әртүрлі жұмыстар. Үш шарт жеке бас негізіндегі кіру порт бойынша VLAN-дардан артық па екенін шешеді.
Үстелде екі жоба бар. Біреуі қызметкерлерді рөлге негізделген VLAN-дарда ұстайды және адамдар көшкенде коммутатор порттарын өңдейді. Екіншісі сессияны аутентификациялайды және саясатқа қайда жетуге болатынын шешуге мүмкіндік береді. Таңдау заманауилық туралы емес; ол үш шарттың ғимаратыңызда орындалатыны туралы. Егер олардың біреуі сәтсіз болса, портқа негізделген жоба ақымақ емес, ол — шын мәнінде басқара алатын жобаңыз.
Үш шарт — орындалу мүмкіндігі, жеке бас сапасы және ақау кезіндегі мінез-құлық.
Шарт 1: кіру құрылғылары қайтарылған саясатты орындай ала ма
802.1X — бұл соңғы нүктедегі сұраушы, коммутатордағы немесе кіру нүктесіндегі аутентификатор және RADIUS арқылы қол жеткізілетін аутентификация сервері арасындағы қатынас. Сервер VLAN немесе басқа саясат нәтижесін қайтара алады, және RFC 3580 сол сигналдауды сипаттайды. Коммутатор сіз сүйенетін нәтижені әлі де іске асыруы керек.
Қабілеттілік сұраңыз, протокол емес: динамикалық VLAN тағайындау, жүктелетін ACL-дер немесе тіркеу порталына қайта бағыттау.
Шарт 2: жеке бас көзі беделді және тез өзгере ме
Каталогтағы топ мүшелігі тек бизнес рөл өзгергенде өңдейтін өріс болса ғана көмектеседі. Егер рөл тағайындау ай сайын топтарға көшірілетін кестеде өмір сүрсе, жеке бас негізіндегі кіру ескірген кірісті ғана автоматтандырады. Кідірісті де тексеріңіз, өйткені бір күн жұмыс істей алмайтын жаңа қызметкер портты қолмен ауыстырудан да нашар нәтиже. Құрылғыны аутентификациялау, пайдаланушыны аутентификациялау және екеуі бірге — жеке таңдаулар, ал принтерлерге түсіндірілмеген айналып өтудің орнына нақты модель қажет.
Сәйкестікті жазыңыз: қай топ қай саясатты береді және кім оны өзгерте алады.
Шарт 3: пилоттан бұрын ақау кезіндегі мінез-құлықты шешіңіз
Әр енгізудің аутентификацияланбаған күйі және сервер қолжетімсіз күйі бар, және екеуіне де саясат қауіпсіздік шешімі. Сенімді сегментке үнсіз қайта оралу жобаны жояды; қатты ақау үзіліс кезінде жұмысты бөгейді. Әдеттегі орта жол — тек интернетке қолжетімділігі бар шектелген сегмент және қолдау қызметіне айқын жол. Қайта оралуды нақты коммутаторда немесе сымсыз платформада тексеріңіз, өйткені өндірушілердің әдепкі мәндері әртүрлі.
Егер ешкім қайта оралуды бір сөйлеммен сипаттай алмаса, жоба аяқталмаған.
VPN қайда орналасады
VPN сенімсіз жол арқылы кіруді аутентификациялайды, және оны кеңсе LAN-ында да талап ету әдейі қабылданған сенім шешімі болуы мүмкін. Ол топтарды сәйкестендіру немесе файлдық сервердің өз авторизациясы қажеттігін жоймайды. Ол сондай-ақ операциялық жүктемеге шлюз сыйымдылығын, клиенттік бағдарламалық жасақтаманы және сессияларды басқаруды қосады.
VLAN-дарды өңдеуден құтылу үшін сатып алынған VPN қате мәселені шешіп, екі жаңа мәселе қосты.
Кесте және сақтауға тиіс бір нәрсе
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Серверлер, қонақтар, құрылғылар және операциялық технология үшін сегменттерді сақтаңыз. Бұл шекаралар лауазымдар туралы емес, трафик туралы, және кез келген қайта құруға төзеді. Қызметкерлердің құқықтарын жеке бас саясатына қойыңыз, онда рөлдің өзгеруі — бір өңдеу, және жою жылдам болуы керек болғанда қолдау көрсетілетін ажырату механизмін пайдаланыңыз.
Жобаның сынағы — үстелді көшіру: ол адамды және оның жабдығын көшіруі керек, басқа розетканың айналасында оның рұқсаттарын қайта салмауы керек.