Saistiet biroja piekļuvi ar identitāti, nevis ar komutatora portu
Segmentēšana, uzņemšana un pakalpojumu autorizācija ir dažādi darbi. Trīs nosacījumi izšķir, vai identitātē balstīta piekļuve pārspēj VLAN katrā portā.
Uz galda ir divi projekti. Viens tur darbiniekus lomās balstītos VLAN un rediģē komutatora portus, kad cilvēki pārvietojas. Otrs autentificē sesiju un ļauj politikai izlemt, ko tā drīkst sasniegt. Izvēle nav par modernitāti; tā ir par to, vai jūsu ēkā pastāv trīs nosacījumi. Ja kāds no tiem neizdodas, portos balstītais projekts nav muļķīgs, tas ir tas, ko jūs patiešām varat uzturēt.
Trīs nosacījumi ir izpildāmība, identitātes kvalitāte un uzvedība kļūmes gadījumā.
Nosacījums 1: vai piekļuves ierīces var izpildīt atgriezto politiku
802.1X ir attiecības starp pieprasītāju galapunktā, autentifikatoru komutatorā vai piekļuves punktā un autentifikācijas serveri, kas sasniedzams caur RADIUS. Serveris var atgriezt VLAN vai citu politikas rezultātu, un RFC 3580 apraksta šo signalizāciju. Komutatoram tomēr ir jāievieš rezultāts, uz kuru jūs paļaujaties.
Prasiet spēju, nevis protokolu: dinamisku VLAN piešķiršanu, lejupielādējamus ACL vai novirzīšanu uz reģistrācijas portālu.
Nosacījums 2: vai identitātes avots ir autoritatīvs un ātri maināms
Grupas dalība direktorijā palīdz tikai tad, ja tas ir lauks, ko uzņēmums jau rediģē, kad mainās loma. Ja lomu piešķiršana dzīvo izklājlapā, kas katru mēnesi tiek kopēta grupās, identitātē balstīta piekļuve vienkārši automatizē novecojušu ievadi. Pārbaudiet arī latentumu, jo jauns darbinieks, kurš nevar strādāt visu dienu, ir sliktāks rezultāts nekā manuāla porta maiņa. Ierīces autentifikācija, lietotāja autentifikācija un abas kopā ir atsevišķas izvēles, un printeriem vajag skaidru modeli, nevis neizskaidrotu apiešanu.
Pierakstiet kartējumu: kura grupa piešķir kuru politiku un kas to drīkst mainīt.
Nosacījums 3: izlemiet uzvedību kļūmes gadījumā pirms izmēģinājuma
Katrai ieviešanai ir neautentificēts stāvoklis un servera nepieejamības stāvoklis, un abu politika ir drošības lēmums. Klusa atkāpšanās uz uzticamu segmentu iznīcina projektu; stingra kļūme bloķē darbu pārtraukuma laikā. Ierastais vidusceļš ir ierobežots segments ar piekļuvi tikai internetam un skaidrs ceļš uz atbalsta dienestu. Pārbaudiet atkāpšanos īstā komutatorā vai bezvadu platformā, jo ražotāju noklusējumi atšķiras.
Ja neviens nevar vienā teikumā aprakstīt atkāpšanos, projekts nav pabeigts.
Kur iederas VPN
VPN autentificē piekļuvi neuzticamā ceļā, un tā prasīšana arī biroja LAN var būt apzināts uzticēšanās lēmums. Tas neizslēdz vajadzību pēc grupu kartējuma vai paša failu servera autorizācijas. Tas arī pievieno vārtejas jaudu, klienta programmatūru un sesiju pārvaldību operatīvajai slodzei.
VPN, kas nopirkts, lai izvairītos no VLAN rediģēšanas, atrisināja nepareizo problēmu un pievienoja divas jaunas.
Tabula, un vienīgā lieta, ko paturēt
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Saglabājiet segmentus serveriem, viesiem, ierīcēm un operatīvajai tehnoloģijai. Šīs robežas ir par satiksmi, nevis par amatiem, un tās pārdzīvo jebkuru reorganizāciju. Ielieciet darbinieku tiesības identitātes politikā, kur lomas maiņa ir viens labojums, un izmantojiet atbalstīto atvienošanas mehānismu, kad noņemšanai jābūt ātrai.
Projekta pārbaude ir galda pārvietošana: tam jāpārvieto cilvēks un viņa aprīkojums, nevis jāpārbūvē viņa atļaujas ap citu ligzdu.