Оффисын нэвтрэлтийг порт биш, таних тэмдэгт холбоно уу
Сегментчлэл, элсүүлэлт, үйлчилгээний зөвшөөрөл нь өөр өөр ажил юм. Гурван нөхцөл нь таних тэмдэгт суурилсан нэвтрэлт портын VLAN-аас илүү эсэхийг шийднэ.
Ширээн дээр хоёр загвар байна. Нэг нь ажилчдыг үүрэгт суурилсан VLAN-д байлгаж, хүмүүс нүүх үед свитчийн портыг засварладаг. Нөгөө нь сессийг баталгаажуулж, юунд хүрч болохыг бодлогоор шийдүүлдэг. Сонголт нь орчин үеийн байдлын тухай биш; гурван нөхцөл таны барилгад биелэх эсэхийн тухай юм. Аль нэг нь биелэхгүй бол портод суурилсан загвар тэнэг биш, харин таны бодитоор ажиллуулж чадах загвар нь тэр.
Гурван нөхцөл нь хэрэгжүүлэх боломж, таних тэмдгийн чанар, алдааны үеийн зан төлөв юм.
Нөхцөл 1: нэвтрэлтийн төхөөрөмжүүд буцаасан бодлогыг хэрэгжүүлж чадах уу
802.1X нь төгсгөлийн цэг дээрх хүсэлт гаргагч, свитч эсвэл хандалтын цэг дэх баталгаажуулагч, RADIUS-аар хүрэх баталгаажуулалтын сервер хоорондын харилцаа юм. Сервер VLAN эсвэл өөр бодлогын үр дүнг буцааж болох бөгөөд RFC 3580 тэр дохиоллыг тодорхойлдог. Свитч таны найдаж буй үр дүнг хэрэгжүүлэх ёстой хэвээр.
Протокол биш, чадвар шаардаарай: динамик VLAN хуваарилалт, татаж авах боломжтой ACL, эсвэл бүртгэлийн портал руу чиглүүлэх.
Нөхцөл 2: таних тэмдгийн эх сурвалж эрх мэдэлтэй, хурдан өөрчлөгдөх боломжтой юу
Хаягийн сан дахь бүлгийн гишүүнчлэл нь үүрэг өөрчлөгдөхөд бизнес аль хэдийн засварладаг талбар байвал л тусална. Хэрэв үүргийн хуваарилалт сар бүр бүлгүүд рүү хуулагддаг хүснэгтэд амьдардаг бол таних тэмдэгт суурилсан нэвтрэлт хуучирсан оролтыг л автоматжуулна. Хоцролтыг ч шалгаарай, учир нь бүтэн өдөр ажиллаж чадахгүй шинэ ажилтан гараар порт солихоос ч дор үр дүн юм. Төхөөрөмжийн баталгаажуулалт, хэрэглэгчийн баталгаажуулалт, хоёулаа хамт нь тусдаа сонголт бөгөөд принтерүүд тайлбарлаагүй тойрч гарахын оронд тодорхой загвар хэрэгтэй.
Буулгах бичээрэй: аль бүлэг аль бодлогыг өгч, хэн түүнийг өөрчилж болох вэ.
Нөхцөл 3: туршилтын өмнө алдааны үеийн зан төлөвийг шийдээрэй
Хэрэгжүүлэлт бүр баталгаажаагүй төлөв, сервер хүрэхгүй төлөвтэй байдаг бөгөөд хоёуланд нь бодлого нь аюулгүй байдлын шийдвэр юм. Итгэмжлэгдсэн сегмент рүү чимээгүй буцах нь загварыг сүйтгэдэг; хатуу алдаа нь тасалдлын үед ажлыг хаадаг. Ердийн дунд зам нь зөвхөн интернэт хандалттай хязгаарлагдмал сегмент, тусламжийн төв рүү тодорхой зам юм. Буцалтыг бодит свитч эсвэл утасгүй платформ дээр туршаарай, учир нь нийлүүлэгчдийн өгөгдмөл утга өөр өөр байдаг.
Хэрэв хэн ч буцалтыг нэг өгүүлбэрээр тайлбарлаж чадахгүй бол загвар дуусаагүй байна.
VPN хаана багтах вэ
VPN нь итгэмжлэгдээгүй замаар нэвтрэлтийг баталгаажуулдаг бөгөөд үүнийг оффисын LAN дээр ч шаардах нь санаатай итгэлцлийн шийдвэр байж болно. Энэ нь бүлгийн буулгалт эсвэл файлын серверийн өөрийн зөвшөөрлийн хэрэгцээг арилгахгүй. Мөн гарцын багтаамж, клиент програм хангамж, сессийн удирдлагыг ашиглалтын ачаалалд нэмдэг.
VLAN засварлахаас зайлсхийхээр худалдаж авсан VPN буруу асуудлыг шийдэж, хоёр шинийг нэмсэн.
Хүснэгт, болон үлдээх ёстой ганц зүйл
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Сервер, зочин, төхөөрөмж, ашиглалтын технологид зориулж сегментүүдийг үлдээгээрэй. Тэдгээр хил нь албан тушаалын тухай биш, урсгалын тухай бөгөөд ямар ч өөрчлөн зохион байгуулалтыг даван туулдаг. Ажилчдын эрхийг таних тэмдгийн бодлогод байрлуулаарай, тэнд үүргийн өөрчлөлт нь нэг засвар юм, мөн хасалт хурдан байх ёстой үед дэмжигдсэн салгах механизмыг ашиглаарай.
Загварын шалгалт бол ширээ зөөх явдал: энэ нь хүн, түүний тоног төхөөрөмжийг зөөх ёстой, өөр залгуурын эргэн тойронд эрхийг нь дахин барих биш.