На канцелариски Wi-Fi, а сепак ви бараат VPN? Еве зошто

Лаптопот е на корпоративниот SSID, барањето за сертификат е прифатено, а веб-апликацијата сѐ уште бара VPN. Ова изгледа како двојна работа, и понекогаш е така. Двете најави обично спроведуваат различни одлуки, и единствениот начин да се знае дали втората го заслужува своето место е да се праша што менува таа.

Приклучувањето на мрежа е одлука за прием

Распоредувањето на 802.1X одговара на едно прашање: смее ли овој уред или корисник да се поврзе со оваа мрежа? Пристапната точка ги предава ингеренциите на RADIUS сервер, а одговорот може да носи атрибути што ја ставаат сесијата во одреден VLAN или применуваат филтер. Тоа е прием и сегментација, не авторизација за одредена апликација.

Откако сесијата е примена, безжичната врска е шифрирана помеѓу клиентот и пристапната точка. Заштитата завршува таму, на работ од жичената мрежа.

Сѐ што е подалеку од таа точка е обично рутирање внатре во зградата, со онаа внатрешна достапност што ја дозволува сегментот.

Што всушност штити EAP-TTLS

EAP-TTLS гради TLS тунел за време на автентикацијата и внатре во него извршува внатрешен метод. Внатрешниот метод често е PAP, и неговата појава во дизајнот не значи дека лозинката поминува низ воздухот како чист текст, бидејќи токму TLS тунелот ја носи. Клиентот сепак мора да го провери идентитетот на серверот и да ѝ верува на правилната CA, а познат SSID не е таа проверка. Изборот на внатрешен метод читајте го како формат на ингеренции, а не како изјава за надворешното шифрирање.

Ова е размена за автентикација, не тунел за податоци за подоцнежниот сообраќај на лаптопот.

Кога автентикацијата завршува, TLS тунелот исчезнува и пакетите на клиентот патуваат по примениот сегмент. Мешањето на двете е коренот на верувањето дека Wi-Fi шифрирањето веќе ја работи работата на VPN.

VPN е втора, потесна одлука

VPN одговара на друго прашање: на кои приватни ресурси смее да пристапи овој идентитет, и под кои услови? Завршува на порта со сопствена политика, сопствени проверки на идентитетот и често сопствени барања за состојбата на уредот. Достапното множество по кревањето на тунелот обично е помало од внатрешната мрежа на зградата и специфично за улогата.

Затоа улога за одржување може да биде примена на Wi-Fi како и сите други, а сепак да ѝ треба тунел за да стигне до административна подмрежа. Одлуката за Wi-Fi е донесена на пристапната точка; оваа се донесува на портата.

Двете фази можат да бидат шифрирани и сепак да спроведуваат неповрзани политики.

Каде се крши довербата заснована на локација

Третирањето на канцелариската мрежа како подразбирливо доверлива пропаѓа од едноставна причина: локацијата во мрежата е својство на врската, не на лицето. Упатството на NIST за нулта доверба го кажува тоа директно, и затоа пристапот до ресурсите се одлучува по барање, а не по зграда. Секој што се приклучува на истиот SSID ја наследува истата локација. Затоа и компромитиран лаптоп на мрежата на вработените заслужува исто сомнеж како оној на гостинската мрежа.

Практичната последица е дека авторизацијата на апликациите сепак мора да постои. VPN што доделува цела подмрежа, плус апликација што верува на секое барање од таа подмрежа, е една ингеренција далеку од лош ден.

Ниту еден од двата слоја не го заменува другиот, бидејќи тие одговараат на прашања во различни опфати.

Како да се знае дали втората најава го заслужува своето место

Прашајте го сопственикот на мрежата две работи: што станува достапно откако VPN ќе се поврзе, и кои услови за идентитет или уред се проверуваат за да се дозволи тоа? Потоа проверете ги одговорите со тестирање што всушност одговара. Ако тунелот не менува ниту достапност ниту гаранција, можеби е оперативна навика, а не контрола, и тоа е одлука на сопственикот, а не нешто што корисникот треба да го заобиколи.

Барајте и ненамерни директни патишта, бидејќи ресурс достапен без тунелот го прави тунелот декоративен.

Документирајте ја секоја граница и нејзината цел, и следното лице нема да мора да погодува зошто има две најави.