Кеңсеге кирүүнү портко эмес, инсанга байланыштырыңыз
Сегменттөө, киргизүү жана кызматты авторизациялоо — ар башка иштер. Үч шарт инсанга негизделген кирүү порт боюнча VLAN-дардан артыкпы же жокпу аныктайт.
Үстөлдө эки долбоор бар. Бири кызматкерлерди роль негизиндеги VLAN-дарда кармайт жана адамдар көчкөндө коммутатор портторун оңдойт. Экинчиси сессияны аутентификациялайт жана саясатка эмнеге жетүүгө болорун чечүүгө жол берет. Тандоо заманбаптык жөнүндө эмес; ал үч шарттын имаратыңызда аткарылышы жөнүндө. Эгер алардын бири ишке ашпаса, портко негизделген долбоор акылсыз эмес, ал — чындап башкара алган долбооруңуз.
Үч шарт — аткарылуу мүмкүнчүлүгү, инсандын сапаты жана бузулуу учурундагы жүрүм-турум.
Шарт 1: кирүү түзүлүштөрү кайтарылган саясатты аткара алабы
802.1X — бул акыркы чекиттеги суроочу, коммутатордогу же кирүү чекитиндеги аутентификатор жана RADIUS аркылуу жеткиликтүү аутентификация серверинин ортосундагы мамиле. Сервер VLAN же башка саясат натыйжасын кайтара алады, жана RFC 3580 ошол сигналдоону сүрөттөйт. Коммутатор сиз таянган натыйжаны дагы эле ишке ашырышы керек.
Жөндөмдүүлүк сураңыз, протокол эмес: динамикалык VLAN дайындоо, жүктөлүүчү ACL-дер же каттоо порталына багыттоо.
Шарт 2: инсандын булагы бийик жана тез өзгөрөбү
Каталогдогу топ мүчөлүгү бизнес роль өзгөргөндө оңдоп жаткан талаа болсо гана жардам берет. Эгер роль дайындоо ай сайын топторго көчүрүлүүчү таблицада жашаса, инсанга негизделген кирүү эскирген киргизүүнү гана автоматташтырат. Кечигүүнү да текшериңиз, анткени бир күн иштей албаган жаңы кызматкер портту кол менен алмаштыруудан да жаман натыйжа. Түзмөктү аутентификациялоо, колдонуучуну аутентификациялоо жана экөө тең — өзүнчө тандоолор, ал эми принтерлерге түшүндүрүлбөгөн айланып өтүүнүн ордуна так модель керек.
Шайкештикти жазыңыз: кайсы топ кайсы саясатты берет жана ким аны өзгөртө алат.
Шарт 3: пилоттон мурун бузулуу учурундагы жүрүм-турумду чечиңиз
Ар бир киргизүүнүн аутентификацияланбаган абалы жана сервер жеткиликсиз абалы бар, жана экөөнө тең саясат коопсуздук чечими. Ишенимдүү сегментке үнсүз кайтуу долбоорду жокко чыгарат; катуу бузулуу тыныгуу учурунда ишти бөгөттөйт. Адаттагы орто жол — интернетке гана кирүү мүмкүнчүлүгү бар чектелген сегмент жана колдоо кызматына так жол. Кайтууну чыныгы коммутатордо же зымсыз платформада текшериңиз, анткени өндүрүүчүлөрдүн демейки маанилери ар башка.
Эгер эч ким кайтууну бир сүйлөм менен сүрөттөй албаса, долбоор бүтө элек.
VPN кайда турат
VPN ишенимсиз жол аркылуу кирүүнү аутентификациялайт, жана аны кеңсе LAN-ында да талап кылуу атайын кабыл алынган ишеним чечими болушу мүмкүн. Ал топторду шайкеш келтирүү же файлдык сервердин өз авторизациясы муктаждыгын жойбойт. Ал ошондой эле операциялык жүктөмгө шлюз сыйымдуулугун, кардар программасын жана сессияларды башкарууну кошот.
VLAN-дарды оңдоодон качуу үчүн сатып алынган VPN туура эмес маселени чечип, эки жаңы маселе кошту.
Таблица жана сактоого тийиш бир нерсе
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Серверлер, коноктор, түзмөктөр жана операциялык технология үчүн сегменттерди сактаңыз. Бул чектер кызмат орундары жөнүндө эмес, трафик жөнүндө, жана кандайдыр бир кайра уюштурууга туруштук берет. Кызматкерлердин укуктарын инсан саясатына салыңыз, анда ролдун өзгөрүшү — бир оңдоо, жана алып салуу тез болушу керек болгондо колдоого алынган ажыратуу механизмин колдонуңуз.
Долбоордун сынагы — үстөлдү көчүрүү: ал адамды жана анын жабдуусун көчүрүшү керек, башка розетканын айланасында анын укуктарын кайра куруу эмес.