ഓഫീസ് Wi-Fi-ൽ ആണെന്നിരിക്കെ ഇപ്പോഴും VPN ആവശ്യപ്പെടുന്നുണ്ടോ? കാരണം ഇതാണ്

ലാപ്‌ടോപ്പ് കോർപ്പറേറ്റ് SSID-ൽ ആണ്, സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന സ്വീകരിച്ചു, എന്നിട്ടും ഒരു വെബ് ആപ്പ് VPN ആവശ്യപ്പെടുന്നു. ഇത് ഇരട്ട ജോലിയായി തോന്നുന്നു, ചിലപ്പോൾ അങ്ങനെയാണും. രണ്ട് ലോഗിനുകളും സാധാരണയായി വ്യത്യസ്ത തീരുമാനങ്ങൾ നടപ്പാക്കുന്നു, രണ്ടാമത്തേത് അതിന്റെ സ്ഥാനം അർഹിക്കുന്നുണ്ടോ എന്നറിയാനുള്ള ഏക വഴി അത് എന്ത് മാറ്റുന്നു എന്ന് ചോദിക്കുകയാണ്.

നെറ്റ്‌വർക്കിൽ ചേരുന്നത് ഒരു പ്രവേശന തീരുമാനമാണ്

802.1X വിന്യാസം ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഈ ഉപകരണത്തിനോ ഉപയോക്താവിനോ ഈ നെറ്റ്‌വർക്കിൽ ബന്ധിപ്പിക്കാമോ? ആക്സസ് പോയിന്റ് ക്രെഡൻഷ്യലുകൾ RADIUS സെർവറിലേക്ക് കൈമാറുന്നു, ഉത്തരത്തിൽ സെഷൻ ഒരു പ്രത്യേക VLAN-ൽ ഇടുന്നതോ ഫിൽട്ടർ പ്രയോഗിക്കുന്നതോ ആയ ഗുണവിശേഷങ്ങൾ ഉണ്ടായേക്കാം. അത് പ്രവേശനവും വിഭജനവുമാണ്, ഏതെങ്കിലും പ്രത്യേക ആപ്പിനുള്ള അധികാരമല്ല.

സെഷൻ സ്വീകരിച്ചുകഴിഞ്ഞാൽ, ക്ലയന്റും ആക്സസ് പോയിന്റും തമ്മിലുള്ള വയർലെസ് ലിങ്ക് എൻക്രിപ്റ്റ് ചെയ്യുന്നു. സംരക്ഷണം അവിടെ, വയർഡ് നെറ്റ്‌വർക്കിന്റെ അതിർത്തിയിൽ അവസാനിക്കുന്നു.

ആ പോയിന്റിന് അപ്പുറമുള്ളതെല്ലാം കെട്ടിടത്തിനുള്ളിലെ സാധാരണ റൂട്ടിംഗാണ്, സെഗ്മെന്റ് അനുവദിക്കുന്ന ആന്തരിക എത്തിച്ചേരലോടെ.

EAP-TTLS യഥാർത്ഥത്തിൽ എന്താണ് സംരക്ഷിക്കുന്നത്

EAP-TTLS പ്രാമാണീകരണ വേളയിൽ ഒരു TLS ടണൽ നിർമ്മിച്ച് അതിനുള്ളിൽ ആന്തരിക രീതി പ്രവർത്തിപ്പിക്കുന്നു. ആന്തരിക രീതി പലപ്പോഴും PAP ആണ്, അത് ഒരു രൂപകൽപ്പനയിൽ കാണുന്നത് പാസ്‌വേഡ് തുറന്ന വാചകമായി വായുവിലൂടെ കടന്നുപോകുന്നു എന്ന് അർത്ഥമാക്കുന്നില്ല, കാരണം അത് വഹിക്കുന്നത് TLS ടണലാണ്. ക്ലയന്റ് ഇപ്പോഴും സെർവറിന്റെ ഐഡന്റിറ്റി പരിശോധിക്കുകയും ശരിയായ CA-യിൽ വിശ്വസിക്കുകയും വേണം, പരിചിതമായ SSID ആ പരിശോധനയല്ല. ആന്തരിക രീതിയുടെ തിരഞ്ഞെടുപ്പ് ക്രെഡൻഷ്യലുകളുടെ ഫോർമാറ്റായി വായിക്കുക, പുറം എൻക്രിപ്ഷനെക്കുറിച്ചുള്ള പ്രസ്താവനയായി അല്ല.

ഇത് പ്രാമാണീകരണ കൈമാറ്റമാണ്, ലാപ്‌ടോപ്പിന്റെ പിന്നീടുള്ള ട്രാഫിക്കിനുള്ള ഡാറ്റ ടണലല്ല.

പ്രാമാണീകരണം അവസാനിക്കുമ്പോൾ TLS ടണൽ പോകുന്നു, ക്ലയന്റിന്റെ പാക്കറ്റുകൾ സ്വീകരിച്ച സെഗ്മെന്റിലൂടെ സഞ്ചരിക്കുന്നു. ഇവ രണ്ടും കൂട്ടിക്കലർത്തുന്നതാണ് Wi-Fi എൻക്രിപ്ഷൻ ഇതിനകം VPN-ന്റെ ജോലി ചെയ്യുന്നു എന്ന വിശ്വാസത്തിന്റെ വേര്.

VPN രണ്ടാമത്തെ, കൂടുതൽ ഇടുങ്ങിയ തീരുമാനമാണ്

VPN മറ്റൊരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഈ ഐഡന്റിറ്റിക്ക് ഏത് സ്വകാര്യ വിഭവങ്ങളിലേക്ക് എത്താം, ഏത് വ്യവസ്ഥകളിൽ? അതിന്റേതായ നയം, സ്വന്തം ഐഡന്റിറ്റി പരിശോധനകൾ, പലപ്പോഴും ഉപകരണ അവസ്ഥയ്ക്കുള്ള സ്വന്തം ആവശ്യകതകൾ എന്നിവയുള്ള ഒരു ഗേറ്റ്‌വേയിൽ അത് അവസാനിക്കുന്നു. ടണൽ ഉയർന്നതിന് ശേഷം എത്താവുന്ന കൂട്ടം സാധാരണയായി കെട്ടിടത്തിന്റെ ആന്തരിക നെറ്റ്‌വർക്കിനേക്കാൾ ചെറുതും റോളിന് പ്രത്യേകവുമാണ്.

അതുകൊണ്ടാണ് ഒരു അറ്റകുറ്റപ്പണി റോളിനെ മറ്റുള്ളവരെപ്പോലെ Wi-Fi-ലേക്ക് സ്വീകരിക്കാമെങ്കിലും മാനേജ്മെന്റ് സബ്‌നെറ്റിലേക്ക് എത്താൻ ടണൽ ആവശ്യമാകുന്നത്. Wi-Fi തീരുമാനം ആക്സസ് പോയിന്റിൽ എടുത്തു; ഈ തീരുമാനം ഗേറ്റ്‌വേയിൽ എടുക്കുന്നു.

രണ്ട് ഘട്ടങ്ങളും എൻക്രിപ്റ്റ് ചെയ്തതായിരിക്കാം, എന്നിട്ടും പരസ്പരബന്ധമില്ലാത്ത നയങ്ങൾ നടപ്പാക്കാം.

സ്ഥാനാധാരിത വിശ്വാസം എവിടെ തകരുന്നു

ഓഫീസ് നെറ്റ്‌വർക്കിനെ സ്വാഭാവികമായി വിശ്വസനീയമായി കാണുന്നത് ഒരു ലളിതമായ കാരണത്താൽ പരാജയപ്പെടുന്നു: നെറ്റ്‌വർക്കിലെ സ്ഥാനം ബന്ധത്തിന്റെ സ്വഭാവമാണ്, വ്യക്തിയുടേതല്ല. NIST-ന്റെ സീറോ-ട്രസ്റ്റ് മാർഗ്ഗനിർദ്ദേശം ഇത് നേരിട്ട് പറയുന്നു, അതുകൊണ്ടാണ് വിഭവങ്ങളിലേക്കുള്ള പ്രവേശനം കെട്ടിടത്തിനനുസരിച്ചല്ല, ഓരോ അഭ്യർത്ഥനയ്ക്കും തീരുമാനിക്കുന്നത്. ഒരേ SSID-ൽ ചേരുന്ന ആർക്കും അതേ സ്ഥാനം പാരമ്പര്യമായി ലഭിക്കുന്നു. അതുകൊണ്ടാണ് സ്റ്റാഫ് നെറ്റ്‌വർക്കിലെ ചതിക്കപ്പെട്ട ലാപ്‌ടോപ്പും ഗസ്റ്റ് നെറ്റ്‌വർക്കിലേതിന് തുല്യമായ സംശയത്തിന് അർഹതയുള്ളത്.

പ്രായോഗിക ഫലം, ആപ്പ് അധികാരപ്പെടുത്തൽ ഇപ്പോഴും നിലനിൽക്കണം എന്നതാണ്. മുഴുവൻ സബ്‌നെറ്റും നൽകുന്ന VPN, അതിനൊപ്പം ആ സബ്‌നെറ്റിൽ നിന്നുള്ള എല്ലാ അഭ്യർത്ഥനയും വിശ്വസിക്കുന്ന ആപ്പ്, ഒരു മോശം ദിവസത്തിൽ നിന്ന് ഒരു ക്രെഡൻഷ്യൽ അകലെയാണ്.

രണ്ട് പാളികളിൽ ഒന്നും മറ്റൊന്നിനെ മാറ്റിസ്ഥാപിക്കുന്നില്ല, കാരണം അവ വ്യത്യസ്ത പരിധികളിൽ ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു.

രണ്ടാമത്തെ ലോഗിൻ അതിന്റെ സ്ഥാനം അർഹിക്കുന്നുണ്ടോ എന്ന് എങ്ങനെ അറിയാം

നെറ്റ്‌വർക്ക് ഉടമയോട് രണ്ട് കാര്യങ്ങൾ ചോദിക്കുക: VPN ബന്ധിപ്പിച്ചതിന് ശേഷം എന്ത് എത്താവുന്നതാകും, അത് അനുവദിക്കാൻ ഏത് ഐഡന്റിറ്റി അല്ലെങ്കിൽ ഉപകരണ വ്യവസ്ഥകളാണ് പരിശോധിക്കുന്നത്? തുടർന്ന് യഥാർത്ഥത്തിൽ എന്ത് പ്രതികരിക്കുന്നു എന്ന് പരീക്ഷിച്ച് ഉത്തരങ്ങൾ പരിശോധിക്കുക. ടണൽ എത്തിച്ചേരലോ ഉറപ്പോ മാറ്റുന്നില്ലെങ്കിൽ, അത് നിയന്ത്രണത്തേക്കാൾ പ്രവർത്തന ശീലമായിരിക്കാം, അത് ഉടമയുടെ തീരുമാനമാണ്, ഉപയോക്താവ് ഒഴിവാക്കേണ്ട കാര്യമല്ല.

അനുദ്ദേശിക്കാത്ത നേരിട്ടുള്ള വഴികളും നോക്കുക, കാരണം ടണലില്ലാതെ എത്താവുന്ന ഒരു വിഭവം ടണലിനെ അലങ്കാരമാക്കുന്നു.

ഓരോ അതിർത്തിയും അതിന്റെ ഉദ്ദേശ്യവും രേഖപ്പെടുത്തുക, അപ്പോൾ അടുത്ത വ്യക്തിക്ക് എന്തുകൊണ്ട് രണ്ട് ലോഗിനുകൾ ഉണ്ടെന്ന് ഊഹിക്കേണ്ടിവരില്ല.