사무실 접속은 스위치 포트가 아니라 신원에 묶어야 합니다

책상 위에 두 가지 설계가 있습니다. 하나는 직원을 역할 기반 VLAN에 두고 사람이 이동할 때 스위치 포트를 편집합니다. 다른 하나는 세션을 인증하고정책이 무엇에 도달할 수 있는지 결정하게 합니다. 선택은 현대성의 문제가 아니라 세 가지 조건이 당신의 건물에서 성립하는지의 문제입니다. 그중 하나라도 실패하면 포트 기반 설계는 어리석은 것이 아니라 실제로 운영할 수 있는 설계입니다.

세 가지 조건은 강제 가능성, 신원 품질, 장애 시 동작입니다.

조건 1: 접속 장비가 반환된 정책을 강제할 수 있는가

802.1X는 엔드포인트의 서플리컨트, 스위치나 액세스 포인트의 인증자, RADIUS로 도달하는 인증 서버 사이의 관계입니다. 서버는 VLAN이나 다른 정책 결과를 반환할 수 있고, RFC 3580이 그 신호 전달을 설명합니다. 그래도 스위치는 당신이 의존하는 결과를 구현해야 합니다.

프로토콜이 아니라 역량을 요구하십시오. 동적 VLAN 할당, 내려받을 수 있는 ACL, 또는 등록 포털로의 리디렉션입니다.

조건 2: 신원 원본이 권위 있고 빠르게 바뀔 수 있는가

디렉터리의 그룹 구성원 자격은 역할이 바뀔 때 비즈니스가 이미 편집하는 필드일 때만 도움이 됩니다. 역할 할당이 매달 그룹으로 복사되는 스프레드시트에 있다면 신원 기반 접속은 낡은 입력을 자동화할 뿐입니다. 지연도 확인하십시오. 하루 종일 일할 수 없는 신입 사원은 수동 포트 변경보다 나쁜 결과입니다. 장치 인증, 사용자 인증, 둘 다 함께는 별개의 선택이며 프린터에는 설명 없는 우회가 아니라 명시적인 모델이 필요합니다.

매핑을 적으십시오. 어느 그룹이 어느 정책을 부여하고 누가 그것을 바꿀 수 있는지.

조건 3: 파일럿 전에 장애 시 동작을 정하십시오

모든 배포에는 인증되지 않은 상태와 서버를 사용할 수 없는 상태가 있고, 둘 모두의 정책은 보안 결정입니다. 신뢰 세그먼트로 조용히 되돌아가면 설계가 무력해집니다. 단호한 실패는 장애 중에 업무를 막습니다. 보통의 중간 지점은 인터넷만 접속할 수 있는 제한 세그먼트와 헬프데스크로의 명확한 경로입니다. 실제 스위치나 무선 플랫폼에서 되돌아감을 시험하십시오. 공급업체 기본값이 다릅니다.

아무도 되돌아감을 한 문장으로 설명할 수 없다면 설계는 끝나지 않았습니다.

VPN이 들어갈 자리

VPN은 신뢰할 수 없는 경로에서 접속을 인증하며, 사무실 LAN에서도 이를 요구하는 것은 의도적인 신뢰 결정일 수 있습니다. 그것이 그룹 매핑이나 파일 서버 자체의 권한 부여 필요를 없애지는 않습니다. 또한 게이트웨이 용량, 클라이언트 소프트웨어, 세션 관리가 운영 부담에 더해집니다.

VLAN 편집을 피하려고 산 VPN은 잘못된 문제를 풀고 두 가지를 새로 더했습니다.

표, 그리고 지켜야 할 단 한 가지

서버, 게스트, 장치, 운영 기술을 위해 세그먼트를 유지하십시오. 그 경계는 직함이 아니라 트래픽에 관한 것이며 어떤 재편에도 견딥니다. 직원 권한은 신원 정책에 두십시오. 거기서는 역할 변경이 한 번의 편집입니다. 제거가 신속해야 할 때는 지원되는 연결 해제 방식을 사용하십시오.

설계의 시험은 책상 이동입니다. 사람과 그 장비를 옮겨야 하며, 다른 잭을 중심으로 권한을 다시 짓는 것이 아닙니다.