Susiekite biuro prieigą su tapatybe, o ne su komutatoriaus prievadu
Segmentavimas, priėmimas ir paslaugų autorizacija yra skirtingi darbai. Trys sąlygos nusprendžia, ar tapatybe pagrįsta prieiga nugali VLAN pagal prievadą.
Ant stalo yra du projektai. Vienas laiko darbuotojus vaidmenimis pagrįstuose VLAN ir redaguoja komutatoriaus prievadus, kai žmonės persikelia. Kitas autentifikuoja sesiją ir leidžia politikai nuspręsti, ką ji gali pasiekti. Pasirinkimas ne apie modernumą; jis apie tai, ar trys sąlygos galioja jūsų pastate. Jei kuri nors nepavyksta, prievadais pagrįstas projektas nėra kvailas, tai tas, kurį iš tikrųjų galite eksploatuoti.
Trys sąlygos yra vykdymo galimybė, tapatybės kokybė ir elgsena gedimo metu.
1 sąlyga: ar prieigos įrenginiai gali įgyvendinti grąžintą politiką
802.1X yra ryšys tarp prašytojo galiniame taške, autentifikatoriaus komutatoriuje arba prieigos taške ir autentifikavimo serverio, pasiekiamo per RADIUS. Serveris gali grąžinti VLAN ar kitą politikos rezultatą, ir RFC 3580 aprašo tą signalizaciją. Komutatorius vis tiek turi įgyvendinti rezultatą, kuriuo pasikliaujate.
Prašykite galimybės, o ne protokolo: dinaminio VLAN priskyrimo, atsisiunčiamų ACL arba peradresavimo į registracijos portalą.
2 sąlyga: ar tapatybės šaltinis yra autoritetingas ir greitai keičiamas
Narystė grupėje kataloge padeda tik jei tai laukas, kurį verslas jau redaguoja, kai keičiasi vaidmuo. Jei vaidmenų priskyrimas gyvena skaičiuoklėje, kuri kas mėnesį kopijuojama į grupes, tapatybe pagrįsta prieiga tiesiog automatizuoja pasenusį įvestį. Patikrinkite ir delsą, nes naujas darbuotojas, kuris negali dirbti visą dieną, yra blogesnis rezultatas nei rankinis prievado keitimas. Įrenginio autentifikavimas, naudotojo autentifikavimas ir abu kartu yra atskiri pasirinkimai, o spausdintuvams reikia aiškaus modelio, o ne nepaaiškinto apėjimo.
Užrašykite susiejimą: kuri grupė suteikia kurią politiką ir kas gali ją pakeisti.
3 sąlyga: nuspręskite elgseną gedimo metu prieš bandomąjį projektą
Kiekvienas diegimas turi neautentifikuotą būseną ir serverio nepasiekiamumo būseną, o abiejų politika yra saugumo sprendimas. Tylus grįžimas į patikimą segmentą sugriauna projektą; kietas gedimas blokuoja darbą per sutrikimą. Įprasta vidurio išeitis yra ribotas segmentas su prieiga tik prie interneto ir aiškus kelias į pagalbos tarnybą. Išbandykite grįžimą tikrame komutatoriuje ar belaidėje platformoje, nes gamintojų numatytosios reikšmės skiriasi.
Jei niekas negali vienu sakiniu apibūdinti grįžimo, projektas nebaigtas.
Kur telpa VPN
VPN autentifikuoja prieigą nepatikimu keliu, o reikalavimas jo ir biuro LAN gali būti sąmoningas pasitikėjimo sprendimas. Jis nepanaikina grupės susiejimo ar pačio failų serverio autorizacijos poreikio. Jis taip pat prideda tinklų sietuvės talpą, kliento programinę įrangą ir sesijų valdymą prie operacinės apkrovos.
VPN, nupirktas norint išvengti VLAN redagavimo, išsprendė ne tą problemą ir pridėjo dvi naujas.
Lentelė ir vienas dalykas, kurį verta išsaugoti
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Išsaugokite segmentus serveriams, svečiams, įrenginiams ir operacinei technologijai. Tos ribos yra apie srautą, o ne apie pareigas, ir jos išgyvena bet kokią reorganizaciją. Įdėkite darbuotojų teises į tapatybės politiką, kur vaidmens pakeitimas yra vienas redagavimas, ir naudokite palaikomą atjungimo mechanizmą, kai pašalinimas turi būti greitas.
Projekto išbandymas yra stalo perkėlimas: jis turi perkelti žmogų ir jo įrangą, o ne perstatyti jo leidimus aplink kitą lizdą.