Uz biroja Wi-Fi un tomēr tiek prasīts VPN? Lūk, kāpēc

Klēpjdators ir uzņēmuma SSID, sertifikāta pieprasījums ir pieņemts, un tīmekļa lietotne joprojām pieprasa VPN. Tas izskatās pēc dubulta darba, un dažreiz tā arī ir. Abas pieteikšanās parasti īsteno dažādus lēmumus, un vienīgais veids, kā uzzināt, vai otrā ir sava vieta pelnījusi, ir pajautāt, ko tā maina.

Pievienošanās tīklam ir uzņemšanas lēmums

802.1X ieviešana atbild uz vienu jautājumu: vai šī ierīce vai lietotājs drīkst pieslēgties šim tīklam? Piekļuves punkts nodod akreditācijas datus RADIUS serverim, un atbilde var saturēt atribūtus, kas sesiju ievieto konkrētā VLAN vai piemēro filtru. Tā ir uzņemšana un segmentēšana, nevis autorizācija kādai konkrētai lietotnei.

Kad sesija ir uzņemta, bezvadu saite starp klientu un piekļuves punktu tiek šifrēta. Aizsardzība beidzas tur, vadu tīkla malā.

Viss aiz šī punkta ir parasta maršrutēšana ēkas iekšienē, ar to iekšējo sasniedzamību, ko segmentam atļauj.

Ko EAP-TTLS patiešām aizsargā

EAP-TTLS autentifikācijas laikā veido TLS tuneli un tajā izpilda iekšēju metodi. Iekšējā metode bieži ir PAP, un tās parādīšanās projektā nenozīmē, ka parole pa gaisu iet atklātā tekstā, jo to pārvadā tieši TLS tunelis. Klientam joprojām jāpārbauda servera identitāte un jāuzticas pareizajai CA, un pazīstams SSID nav šī pārbaude. Iekšējās metodes izvēli lasiet kā akreditācijas datu formātu, nevis kā apgalvojumu par ārējo šifrēšanu.

Šī ir autentifikācijas apmaiņa, nevis datu tunelis klēpjdatora vēlākajai plūsmai.

Kad autentifikācija beidzas, TLS tunelis pazūd, un klienta paketes pārvietojas pa uzņemto segmentu. Šo divu sajaukšana ir sakne uzskatam, ka Wi-Fi šifrēšana jau dara VPN darbu.

VPN ir otrs, šaurāks lēmums

VPN atbild uz citu jautājumu: kuriem privātajiem resursiem šī identitāte drīkst piekļūt un ar kādiem nosacījumiem? Tas beidzas vārtejā, kurai ir sava politika, savas identitātes pārbaudes un bieži savas prasības ierīces stāvoklim. Sasniedzamā kopa pēc tuneļa pacelšanas parasti ir mazāka nekā ēkas iekšējais tīkls un raksturīga konkrētai lomai.

Tāpēc apkopes loma var tikt uzņemta Wi-Fi kā visi citi, un tomēr tai vajag tuneli, lai sasniegtu pārvaldības apakštīklu. Wi-Fi lēmums tika pieņemts piekļuves punktā; šis lēmums tiek pieņemts vārtejā.

Abi posmi var būt šifrēti un tomēr īstenot nesaistītas politikas.

Kur lūzt uz atrašanās vietu balstīta uzticība

Biroja tīkla uzskatīšana par netieši uzticamu neizdodas vienkārša iemesla dēļ: atrašanās vieta tīklā ir savienojuma īpašība, nevis cilvēka. NIST nulles uzticības vadlīnijas to saka tieši, un tāpēc piekļuve resursiem tiek izlemta katram pieprasījumam, nevis katrai ēkai. Ikviens, kas pievienojas tam pašam SSID, manto to pašu atrašanās vietu. Tāpēc arī kompromitēts klēpjdators darbinieku tīklā ir tāda paša skepse vērts kā viesu tīklā esošais.

Praktiskā sekas ir tāda, ka lietotņu autorizācijai joprojām jāpastāv. VPN, kas piešķir visu apakštīklu, kopā ar lietotni, kas uzticas ikvienam pieprasījumam no šī apakštīkla, ir vienas akreditācijas datu vienības attālumā no sliktas dienas.

Neviens no slāņiem neaizstāj otru, jo tie atbild uz jautājumiem dažādos apmēros.

Kā noskaidrot, vai otrā pieteikšanās ir savas vietas vērta

Pajautājiet tīkla īpašniekam divas lietas: kas kļūst sasniedzams pēc tam, kad VPN pievienojas, un kādi identitātes vai ierīces nosacījumi tiek pārbaudīti, lai to atļautu? Pēc tam pārbaudiet atbildes, testējot, kas patiešām atbild. Ja tunelis nemaina ne sasniedzamību, ne garantiju, tas var būt darbības ieradums, nevis kontrole, un tas ir īpašnieka lēmums, nevis kaut kas, ko lietotājam vajadzētu apiet.

Meklējiet arī netīšus tiešus ceļus, jo bez tuneļa sasniedzams resurs padara tuneli dekoratīvu.

Dokumentējiet katru robežu un tās mērķi, un nākamajam cilvēkam nebūs jāmin, kāpēc ir divas pieteikšanās.