Поврзете го пристапот до канцеларијата со идентитетот, а не со портата на прекинувачот
Сегментацијата, приемот и авторизацијата на услуги се различни работи. Три услови одлучуваат дали пристапот воден од идентитет го надминува VLAN по порта.
На масата има два проекта. Едниот ги држи вработените во VLAN засновани на улоги и ги менува портите на прекинувачот кога луѓето се преместуваат. Другиот ја автентицира сесијата и му дозволува на правилата да одлучат до што може да стигне. Изборот не е за модерноста; тој е за тоа дали три услови важат во вашата зграда. Ако некој од нив не успее, проектот заснован на порти не е глуп, тој е оној што навистина можете да го управувате.
Трите услови се спроведливост, квалитет на идентитетот и однесување при дефект.
Услов 1: можат ли уредите за пристап да спроведат вратено правило
802.1X е врска помеѓу барателот на крајната точка, автентикаторот во прекинувачот или пристапната точка и серверот за автентикација достапен преку RADIUS. Серверот може да врати VLAN или друг резултат од правилата, и RFC 3580 го опишува тоа сигнализирање. Прекинувачот сепак мора да го спроведе резултатот на кој се потпирате.
Барајте можност, а не протокол: динамично доделување VLAN, ACL што можат да се преземат или пренасочување на портал за регистрација.
Услов 2: дали изворот на идентитет е авторитативен и брз за промена
Членството во група во директориумот помага само ако тоа е полето што бизнисот веќе го уредува кога се менува улогата. Ако доделувањето улоги живее во табела што месечно се копира во групи, пристапот воден од идентитет само автоматизира застарени податоци. Проверете го и задоцнувањето, бидејќи нов вработен што не може да работи цел ден е полош резултат од рачна промена на порта. Автентикацијата на уред, автентикацијата на корисник и двете заедно се одделни избори, а печатачите бараат јасен модел наместо необјаснето заобиколување.
Запишете го мапирањето: која група дава кое правило и кој смее да го промени.
Услов 3: одлучете го однесувањето при дефект пред пилотот
Секое воведување има неавтентицирано состојба и состојба на недостапен сервер, а правилата за двете е безбедносна одлука. Тихото враќање во доверлив сегмент го уништува проектот; тврд дефект го блокира работењето за време на прекин. Вообичаената средина е ограничен сегмент само со интернет пристап и јасен пат до службата за поддршка. Тестирајте го враќањето на вистинскиот прекинувач или безжична платформа, бидејќи стандардните вредности на добавувачите се разликуваат.
Ако никој не може да го опише враќањето во една реченица, проектот не е завршен.
Каде се вклопува VPN
VPN автентицира пристап преку недоверлив пат, а неговото барање и во канцелариската LAN може да биде намерна одлука за доверба. Тој не ја отстранува потребата од мапирање на групи или од сопствената авторизација на датотечниот сервер. Исто така додава капацитет на порта, клиентски софтвер и управување со сесии на оперативното оптоварување.
VPN купен за да се избегне уредување на VLAN го реши погрешниот проблем и додаде два нови.
Табелата, и единственото нешто што треба да се задржи
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Задржете сегменти за сервери, гости, уреди и оперативна технологија. Тие граници се за сообраќај, а не за работни позиции, и преживуваат секоја реорганизација. Ставете ги правата на вработените во правилото за идентитет, каде промената на улога е едно уредување, и користете го поддржаниот механизам за исклучување кога отстранувањето мора да биде брзо.
Тестот на проектот е преместување на работна маса: треба да премести личност и нејзината опрема, а не да ги преизгради нејзините дозволи околу друг приклучок.