사무실 Wi-Fi에 연결되어 있는데도 VPN을 요구한다고요? 이유는 이렇습니다

노트북은 기업 SSID에 연결되어 있고 인증서 확인도 수락했는데, 웹 앱은 여전히 VPN을 요구합니다. 이중 작업처럼 보이고, 때로는 실제로 그렇습니다. 두 번의 로그인은 보통 서로 다른 결정을 강제하며, 두 번째 로그인이 그 자리에 값어치가 있는지 아는 유일한 방법은 그것이 무엇을 바꾸는지 묻는 것입니다.

네트워크에 참여하는 것은 입장 결정이다

802.1X 구축은 이 기기나 사용자가 이 네트워크에 접속해도 되는가라는 한 가지 질문에 답합니다. 액세스 포인트는 자격 증명을 RADIUS 서버로 전달하고, 그 응답은 세션을 특정 VLAN에 배치하거나 필터를 적용하는 속성을 담을 수 있습니다. 그것은 입장과 분할이며, 특정 애플리케이션에 대한 권한 부여가 아닙니다.

세션이 입장되면 클라이언트와 액세스 포인트 사이의 무선 링크가 암호화됩니다. 보호는 거기서, 유선 네트워크의 경계에서 끝납니다.

그 지점 너머는 건물 내부의 평범한 라우팅이며, 세그먼트가 허용하는 내부 도달 범위에 따릅니다.

EAP-TTLS가 실제로 보호하는 것

EAP-TTLS는 인증 중에 TLS 터널을 만들고 그 안에서 내부 방식을 실행합니다. 내부 방식은 흔히 PAP인데, 그것을 운반하는 것은 TLS 터널이므로 설계에 그것이 등장한다고 해서 비밀번호가 평문으로 공중을 지나간다는 뜻은 아닙니다. 클라이언트는 여전히 서버의 신원을 검증하고 올바른 CA를 신뢰해야 하며, 익숙한 SSID는 그 검증이 아닙니다. 내부 방식의 선택은 자격 증명의 형식으로 읽어야 하며, 외부 암호화에 대한 진술로 읽어서는 안 됩니다.

이것은 인증 교환이며, 노트북의 이후 트래픽을 위한 데이터 터널이 아닙니다.

인증이 끝나면 TLS 터널은 사라지고 클라이언트의 패킷은 입장이 허용된 세그먼트를 지나갑니다. 이 둘을 혼동하는 것이 Wi-Fi 암호화가 이미 VPN의 일을 한다는 믿음의 뿌리입니다.

VPN은 두 번째의 더 좁은 결정이다

VPN은 이 신원이 어떤 사설 자원에 접근할 수 있고 어떤 조건에서 허용되는지라는 다른 질문에 답합니다. VPN은 자체 정책, 자체 신원 확인, 흔히 자체 기기 상태 요구 사항을 가진 게이트웨이에서 종료됩니다. 터널이 올라온 뒤 도달 가능한 집합은 보통 건물 내부 네트워크보다 작고 역할에 특화되어 있습니다.

그래서 유지보수 역할은 다른 사람들과 마찬가지로 Wi-Fi에 입장할 수 있으면서도 관리 서브넷에 도달하려면 터널이 필요합니다. Wi-Fi 결정은 액세스 포인트에서 내려졌고, 이 결정은 게이트웨이에서 내려집니다.

두 단계 모두 암호화될 수 있으면서도 서로 무관한 정책을 적용할 수 있습니다.

위치 기반 신뢰가 무너지는 곳

사무실 네트워크를 암묵적으로 신뢰하는 것은 네트워크상의 위치가 연결의 속성이며 사람의 속성이 아니라는 간단한 이유로 실패합니다. NIST의 제로 트러스트 지침은 이를 직접 말하며, 자원 접근이 건물 단위가 아니라 요청 단위로 결정되는 이유도 여기에 있습니다. 같은 SSID에 접속하는 사람은 누구나 같은 위치를 물려받습니다. 직원 네트워크의 침해된 노트북이 게스트 네트워크의 노트북과 같은 의심을 받아야 하는 것도 같은 이유입니다.

실질적인 결과는 애플리케이션 권한 부여가 여전히 존재해야 한다는 것입니다. 서브넷 전체를 허용하는 VPN에 그 서브넷의 모든 요청을 신뢰하는 애플리케이션이 더해지면, 나쁜 날에서 자격 증명 하나만큼 떨어져 있습니다.

어느 계층도 서로 다른 범위의 질문에 답하기 때문에 다른 계층을 대체하지 않습니다.

두 번째 로그인이 그 자리에 값어치가 있는지 판단하는 방법

네트워크 소유자에게 VPN이 연결된 뒤 무엇이 도달 가능해지는지, 그리고 그것을 허용하기 위해 어떤 신원 또는 기기 조건이 확인되는지를 물으십시오. 그다음 실제로 무엇이 응답하는지 시험해 답을 검증하십시오. 터널이 도달 범위도 보증도 바꾸지 않는다면 그것은 통제가 아니라 운영 습관일 수 있으며, 그것은 사용자가 우회할 일이 아니라 소유자의 결정입니다.

터널 없이 도달 가능한 자원은 터널을 장식으로 만들어 버리므로, 의도하지 않은 직접 경로도 찾아보십시오.

모든 경계와 그 목적을 기록하면, 다음 사람은 왜 로그인이 두 개인지 추측하지 않아도 됩니다.