Büroaccess un d’Identitéit bannen, net un de Switchport
Segmentéierung, Admission an Déngschtautorisatioun sinn ënnerschiddlech Aufgabe. Dräi Konditioune bestëmmen, ob identitéitsgedriwwenen Access d’VLANen pro Port iwwertrëfft.
Et leien zwee Konzepter um Dësch. Dee een hält d’Mataarbechter an rollenbaséierten VLANen a ännert d’Switchporte wann d’Leit ëmzillen. Dee aneren authentifizéiert d’Sessioun an léisst d’Politik entscheeden, wat et erreeche kann. D’Wiel geet net ëm Modernitéit; et geet dorëm, ob dräi Konditiounen an Ärem Gebai gëllen. Wann eng dovun ausfällt, ass de portbaséierten Konzept net domm, et ass dee, deen Dir tatsächlech bedreiwe kënnt.
Déi dräi Konditioune sinn Duerchsetzbarkeet, Qualitéit vun der Identitéit an d’Verhalen beim Fehler.
Konditioun 1: kënnen d’Accessapparater eng zréckginn Politik duerchsetzen
802.1X ass eng Bezéiung tëschent engem Supplikant um Endpunkt, engem Authenticator am Switch oder Access Point an engem Authentifikatiounsserver, deen iwwer RADIUS erreecht gëtt. De Server kann eng VLAN oder en anert Politikresultat zréckginn, an RFC 3580 beschreift dës Signaliséierung. De Switch muss awer ëmmer nach d’Resultat ëmsetzen, op dat Dir Iech verloosst.
Frot no enger Fäegkeet, net no engem Protokoll: dynamesch VLAN-Zouweisung, erofgeluede ACLen oder eng Ëmleedung op en Registréierungsportal.
Konditioun 2: ass d’Identitéitsquell autoritativ a séier z’änneren
Gruppememberschaft am Verzeechnes hëlleft nëmmen, wann et dat Feld ass, dat d’Geschäft schonn ännert wann eng Roll sech ännert. Wann d’Rollenzouweisung an engem Spreadsheet lieft, dee monatlech a Gruppe kopéiert gëtt, automatiséiert identitéitsgedriwwenen Access just en iwwerhuelten Input. Iwwerpréift och d’Latenz, well en Neiulegänger, deen en Dag net schaffe kann, ass e méi schlecht Resultat wéi eng manuell Portännerung. Apparat-Authentifikatioun, Benotzer-Authentifikatioun an allebéid zesumme sinn getrennte Wiel, a Printere brauchen en explizitt Modell amplaz en onerklärte Bypass.
Schreift d’Mapping op: wéi eng Grupp wéi eng Politik gëtt, a wien se ännere kann.
Konditioun 3: entscheet d’Verhalen beim Fehler virum Pilot
All Asaz huet en net-authentifizéierten Zoustand an en Zoustand wou de Server net disponibel ass, an d’Politik fir béid ass eng Sécherheetsentscheedung. En stille Réckfall an en vertraute Segment zerstéiert de Konzept; en haarde Fehler blockéiert d’Aarbecht wärend enger Stéierung. De übleche Mëttelwee ass en ageschränkten Segment just mat Internetaccess an engem kloere Wee zur Hëllefsdesk. Test de Réckfall um richtege Switch oder der drahtloser Plattform, well d’Standardwäerter vun de Fournisseuren ënnerschiddlech sinn.
Wann een de Réckfall net an engem Saz beschreiwe kann, ass de Konzept net fäerdeg.
Wou d’VPN derbäikënnt
Eng VPN authentifizéiert den Access iwwer en net-vertraute Wee, an se och am Büro-LAN ze verlaangen kann eng bewosst Vertrauensentscheedung sinn. Se hëlt net d’Noutwendegkeet vun der Gruppemapping oder vun der eegener Autorisatioun vum Fileserver ewech. Se bäisetzt och Gatewaykapazitéit, Clientssoftware a Sessiounsverwaltung zur operationeller Belaaschtung.
Eng VPN, déi kaaft gouf fir d’Ännere vun VLANen ze vermeiden, huet de falsche Problem geléist an zwee nei bäigefüügt.
D’Tabell, an dat eng eenzeg Saach fir ze behalen
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Behällt Segmenter fir Serveren, Gäscht, Apparater an operationell Technologie. Dës Grenzen ginn ëm Traffic an net ëm Beruffsbezeechnungen, an se iwwerliewe all Reorganisatioun. Setzt d’Rechter vun de Mataarbechter an d’Identitéitspolitik, wou eng Rollenännerung eng eenzeg Ännerung ass, a benotzt den ënnerstëtzten Trennmechanismus wann d’Ewechhuele séier muss sinn.
Den Test vum Konzept ass en Dëschëmzuch: en soll eng Persoun an hir Ausrüstung ëmzilléien, net hir Permissiounen ëm eng aner Buchs nei opbauen.