Am Büro-WLAN an trotzdem gëtt eng VPN gefrot? Dat ass de Grond

Den Laptop ass op der Firmen-SSID, de Zertifikatsufruff gouf akzeptéiert, an eng Webapp freet nach ëmmer d’VPN. Et gesäit no duebeler Aarbecht aus, an heiansdo ass et dat. Déi zwou Umellungen erzwingen normalerweis verschidden Entscheedungen, an déi eenzeg Manéier ze wëssen, ob déi zweet hire Platz verdéngt, ass ze froen, wat si ännert.

An en Netz erakommen ass eng Erlaabsentscheedung

Eng 802.1X-Asetzung beäntwert eng Fro: däerf dësen Apparat oder dëse Benotzer sech mat dësem Netz verbannen? Den Access Point gëtt d’Umeldungsdaten un e RADIUS-Server weider, an d’Äntwert kann Attributer droen, déi d’Sitzung an e bestëmmt VLAN setzen oder e Filter uwenden. Dat ass Erlaabnis a Segmentéierung, net Autorisatioun fir eng bestëmmt Applikatioun.

Nodeems d’Sitzung erlaabt ass, gëtt d’drahtlos Verbindung tëscht dem Client an dem Access Point verschlësselt. De Schutz hält do op, um Rand vum verkaabelte Netz.

Alles wat iwwer dee Punkt erausgeet, ass gewéinlech Routing an dem Gebai, mat där interner Erreechbarkeet, déi de Segment zouloosst.

Wat EAP-TTLS tatsächlech schützt

EAP-TTLS baut während der Authentifizéierung en TLS-Tunnel a leeft dran eng intern Method. Déi intern Method ass dacks PAP, an hire Virkommen an engem Design heescht net, datt d’Passwuert als Klortext duerch d’Loft geet, well et ass den TLS-Tunnel, deen et dréit. De Client muss nach ëmmer d’Identitéit vum Server verifizéieren an der richteger CA vertrauen, an eng bekannte SSID ass déi Verifikatioun net. Liest d’Wiel vun der interner Method als Format vun den Umeldungsdaten, net als Ausso iwwer déi baussenzeg Verschlësselung.

Dëst ass en Authentifizéierungsaustausch, keen Datentunnel fir de spéideren Trafik vum Laptop.

Wann d’Authentifizéierung fäerdeg ass, ass den TLS-Tunnel fort an d’Pakete vum Client reesen iwwer dee erlaabten Segment. Dës zwee ze verwiesselen ass d’Wuerzel vun der Iwwerzeegung, datt WLAN-Verschlësselung schonn d’Aarbecht vun der VPN mécht.

D’VPN ass eng zweet, méi schmuel Entscheedung

Eng VPN beäntwert eng aner Fro: op wéi eng privat Ressourcen däerf dës Identitéit zougräifen, a ënner wéi enge Konditiounen? Si endet op engem Gateway mat senger eegener Politik, sengen eegene Identitéitskontrollen an dacks sengen eegene Fuerderungen zum Zoustand vum Apparat. Déi erreechbar Grupp nodeems den Tunnel op ass, ass meeschtens méi kleng wéi den internen Netz vum Gebai a spezifesch fir d’Roll.

Dofir kann eng Ënnerhaltsroll wéi all aner op d’WLAN erakommen an nach ëmmer en Tunnel brauchen, fir en Administratiounssubnetz z’erreechen. D’WLAN-Entscheedung gouf um Access Point geholl; dës gëtt um Gateway geholl.

Déi zwou Etappe kënnen verschlësselt sinn an nach ëmmer onofhängeg Politiken duerchsetzen.

Wou Vertrauen op Basis vum Standuert brécht

D’Büronetz als implizit vertrauenswierdeg ze behandelen schléit aus engem einfache Grond feel: de Standuert am Netz ass eng Eegeschaft vun der Verbindung, net vun der Persoun. Dem NIST seng Zero-Trust-Richtlinne soen dat direkt, an dofir gëtt den Zougrëff op Ressourcen pro Ufro decidéiert an net pro Gebai. Wien déiselwecht SSID bäitriede geet, ierft deeselwechte Standuert. Dofir verdéngt en kompromittéierte Laptop am Personalnetz déiselwecht Skepsis wéi een am Gaaschtnetz.

D’praktesch Konsequenz ass, datt d’Autorisatioun vun Applikatiounen nach ëmmer muss existéieren. Eng VPN, déi en ganze Subnetz gëtt, plus eng Applikatioun, déi all Ufro aus deem Subnetz vertraut, ass eng Umeldungsdat vun engem schlechten Dag ewech.

Keng vun den zwou Schichte ersetzt déi aner, well si Froe op verschiddene Skalen beäntweren.

Wéi ee weess, ob déi zweet Umellung hire Platz verdéngt

Frot den Netzeegentümer zwou Saachen: wat gëtt erreechbar, nodeems d’VPN verbënnt, a wéi eng Identitéits- oder Apparatskonditioune ginn gepréift, fir dat z’erlaben? Verifizéiert duerno d’Äntwerten, andeems Dir test, wat tatsächlech äntwert. Wann den Tunnel weder d’Erreechbarkeet nach d’Garantie ännert, ass et vläicht eng operationell Gewunnecht an net eng Kontroll, an dat ass eng Entscheedung vum Eegentümer, net eppes, wat e Benotzer ëmgoe sollt.

Kuckt och no ongewollten direkte Weeër, well eng Ressource, déi ouni den Tunnel erreechbar ass, mécht den Tunnel dekorativ.

Dokumentéiert all Grenz an hiren Zweck, an déi nächst Persoun muss net roden, firwat et zwou Umellungen gëtt.