Кеңсе Wi-Fi’индесиз, бирок дагы эле VPN талап кылынабы? Себеби мында

Ноутбук корпоративдик SSID’де, сертификат суроосу кабыл алынды, ал эми веб-колдонмо дагы эле VPN талап кылат. Бул кош жумуш сыяктуу көрүнөт, кээде ошондой болот. Эки кирүү адатта ар башка чечимдерди аткарат, ал эми экинчиси өз ордуна татыктуубу же жокпу билүүнүн жалгыз жолу — анын эмнени өзгөртөрүн суроо.

Тармакка кошулуу — кабыл алуу чечими

802.1X орнотуу бир суроого жооп берет: бул түзмөк же колдонуучу бул тармакка кошула алабы? Кирүү чекити эсептик маалыматтарды RADIUS серверине өткөрөт, ал эми жооп сессияны белгилүү бир VLAN’га жайгаштырган же чыпка колдонгон атрибуттарды алып жүрүшү мүмкүн. Бул кабыл алуу жана сегменттөө, эч кандай конкреттүү колдонмого уруксат эмес.

Сессия кабыл алынгандан кийин, клиент менен кирүү чекитинин ортосундагы зымсыз байланыш шифрленет. Коргоо ошол жерде, зымдуу тармактын четинде бүтөт.

Ошол чекиттен ары бардыгы имараттын ичиндеги кадимки маршруттоо, сегмент уруксат берген ички жеткиликтүүлүк менен.

EAP-TTLS чындыгында эмнени коргойт

EAP-TTLS аутентификация учурунда TLS тоннелин курат жана анын ичинде ички ыкманы иштетет. Ички ыкма көбүнчө PAP болот, жана анын долбоордо көрүнүшү сырсөздүн ачык текст катары аба аркылуу өтүшүн билдирбейт, анткени аны TLS тоннели ташыйт. Клиент дагы эле сервердин инсандыгын текшерип, туура CA’га ишениши керек, жана тааныш SSID ошол текшерүү эмес. Ички ыкманын тандоосун эсептик маалыматтардын форматы катары окуңуз, тышкы шифрлөө тууралуу билдирүү катары эмес.

Бул аутентификация алмашуусу, ноутбуктун кийинки трафиги үчүн маалымат тоннели эмес.

Аутентификация бүткөндө TLS тоннели жок болот жана клиенттин пакеттери кабыл алынган сегмент аркылуу өтөт. Ушул экөөнү алмаштыруу — Wi-Fi шифрлөөсү VPN’дин ишин аткарып койду деген ишенимдин тамыры.

VPN — экинчи, тарыраак чечим

VPN башка суроого жооп берет: бул инсан кайсы жеке ресурстарга жете алат жана кандай шарттарда? Ал өз саясаты, өз инсандык текшерүүлөрү жана көбүнчө өз түзмөк абалына талаптары бар шлюзде бүтөт. Тоннель көтөрүлгөндөн кийин жеткиликтүү топтом адатта имараттын ички тармагынан кичине жана ролго мүнөздүү.

Ошондуктан тейлөө ролун башкалар сыяктуу эле Wi-Fi’ге кабыл алууга болот, бирок ал башкаруу ички тармагына жетүү үчүн тоннель талап кылат. Wi-Fi чечими кирүү чекитинде кабыл алынды; бул чечим шлюзде кабыл алынат.

Эки баскыч тең шифрленген болушу мүмкүн жана ошого карабастан өз ара байланышпаган саясаттарды аткара алат.

Жайгашууга негизделген ишеним кайда бузулат

Кеңсе тармагын демейдегидей ишенимдүү деп эсептөө жөнөкөй себептен ийгиликсиз болот: тармактагы орун — байланыштын касиети, адамдыкы эмес. NIST’тин нөлдүк ишеним боюнча көрсөтмөсү муну түз айтат, ошондуктан ресурстарга кирүү имарат боюнча эмес, ар бир суроо боюнча чечилет. Ошол эле SSID’ге кошулган ар ким ошол эле орунду мураска алат. Ошондуктан кызматкерлер тармагындагы бузулган ноутбук конок тармагындагыдай эле шекке татыктуу.

Практикалык натыйжа — колдонмолорду авторизациялоо дагы эле болушу керек. Толук ички тармакты берген VPN, ага кошумча ошол ички тармактан келген ар бир суроого ишенген колдонмо — жаман күндөн бир эсептик маалымат алыстыкта.

Эки катмардын эч бири экинчисин алмаштырбайт, анткени алар ар башка масштабдагы суроолорго жооп берет.

Экинчи кирүү өз ордуна татыктуубу же жокпу кантип билсе болот

Тармактын ээсинен эки нерсени сураңыз: VPN туташкандан кийин эмне жеткиликтүү болот, жана ага уруксат берүү үчүн кайсы инсандык же түзмөк шарттары текшерилет? Андан кийин жоопторду чындыгында эмне жооп берерин сынап текшериңиз. Эгер тоннель жеткиликтүүлүктү да, кепилдикти да өзгөртпөсө, бул көзөмөл эмес, операциялык адат болушу мүмкүн, жана бул — ээсинин чечими, колдонуучу айланып өтүүгө тийиш болгон нерсе эмес.

Кокус түз жолдорду да караңыз, анткени тоннелсиз жеткиликтүү ресурс тоннелди жасалгага айландырат.

Ар бир чекти жана анын максатын документтештириңиз, ошондо кийинки адам эмне үчүн эки кирүү бар экенин болжолдоого аргасыз болбойт.