ऑफिसच्या Wi-Fi वर आहात आणि तरीही VPN मागत आहेत? हे आहे कारण

लॅपटॉप कॉर्पोरेट SSID वर आहे, सर्टिफिकेटची विनंती स्वीकारली गेली आहे, आणि वेब अ‍ॅप अजूनही VPN मागत आहे। हे दुहेरी काम वाटते, आणि कधीकधी ते असतेच। दोन्ही लॉगिन सामान्यतः वेगवेगळे निर्णय लागू करतात, आणि दुसरे आपले स्थान पात्र आहे की नाही हे जाणून घेण्याचा एकमेव मार्ग म्हणजे ते काय बदलते हे विचारणे।

नेटवर्कमध्ये सामील होणे हा प्रवेशाचा निर्णय आहे

802.1X तैनाती एका प्रश्नाचे उत्तर देते: हे उपकरण किंवा वापरकर्ता या नेटवर्कशी जोडले जाऊ शकते का? प्रवेश बिंदू ओळखपत्रे RADIUS सर्व्हरकडे पाठवतो, आणि उत्तरामध्ये अशी वैशिष्ट्ये असू शकतात जी सत्राला विशिष्ट VLAN मध्ये ठेवतात किंवा फिल्टर लागू करतात। हे प्रवेश आणि विभाजन आहे, कोणत्याही विशिष्ट अ‍ॅप्लिकेशनसाठी अधिकृतता नाही।

सत्र स्वीकारल्यानंतर, क्लायंट आणि प्रवेश बिंदू यांच्यातील वायरलेस दुवा एन्क्रिप्ट केला जातो। संरक्षण तिथेच, वायर्ड नेटवर्कच्या काठावर संपते।

त्या बिंदूपुढील सर्व काही इमारतीतले सामान्य राउटिंग आहे, विभाग जी अंतर्गत पोहोच परवानगी देतो त्या मर्यादेत।

EAP-TTLS प्रत्यक्षात कशाचे संरक्षण करते

EAP-TTLS प्रमाणीकरणादरम्यान TLS बोगदा तयार करते आणि त्यात अंतर्गत पद्धत चालवते। अंतर्गत पद्धत बहुतेकदा PAP असते, आणि डिझाइनमध्ये ती दिसणे म्हणजे पासवर्ड स्पष्ट मजकुरात हवेतून जातो असा अर्थ नाही, कारण तो TLS बोगदा वाहतो। क्लायंटला अजूनही सर्व्हरची ओळख पडताळावी लागते आणि योग्य CA वर विश्वास ठेवावा लागतो, आणि परिचित SSID ही ती पडताळणी नाही। अंतर्गत पद्धतीची निवड ओळखपत्रांचा स्वरूप म्हणून वाचा, बाह्य एन्क्रिप्शनबद्दलचे विधान म्हणून नाही।

हे प्रमाणीकरणाची देवाणघेवाण आहे, लॅपटॉपच्या पुढील रहदारीसाठी डेटा बोगदा नाही।

प्रमाणीकरण संपल्यावर TLS बोगदा नाहीसा होतो आणि क्लायंटचे पॅकेट स्वीकारलेल्या विभागातून प्रवास करतात। या दोन्हींचा गोंधळ हे Wi-Fi एन्क्रिप्शन आधीच VPN चे काम करते या श्रद्धेचे मूळ आहे।

VPN हा दुसरा, अधिक अरुंद निर्णय आहे

VPN वेगळ्या प्रश्नाचे उत्तर देते: ही ओळख कोणत्या खाजगी संसाधनांपर्यंत पोहोचू शकते, आणि कोणत्या अटींवर? ते स्वतःचे धोरण, स्वतःच्या ओळख तपासण्या आणि बऱ्याचदा उपकरणाच्या स्थितीबद्दल स्वतःच्या आवश्यकता असलेल्या गेटवेवर संपते। बोगदा उभा राहिल्यानंतर पोहोचण्यायोग्य संच सामान्यतः इमारतीच्या अंतर्गत नेटवर्कपेक्षा लहान आणि भूमिकेसाठी विशिष्ट असतो।

म्हणूनच देखभालीची भूमिका इतरांसारखी Wi-Fi वर प्रवेश मिळवू शकते आणि तरीही व्यवस्थापन सबनेटपर्यंत पोहोचण्यासाठी बोगदा लागतो। Wi-Fi चा निर्णय प्रवेश बिंदूवर घेतला गेला; हा निर्णय गेटवेवर घेतला जातो।

दोन्ही टप्पे एन्क्रिप्ट केलेले असू शकतात आणि तरीही असंबंधित धोरणे लागू करू शकतात।

स्थान-आधारित विश्वास कुठे तुटतो

ऑफिस नेटवर्कला गर्भितपणे विश्वासार्ह मानणे साध्या कारणासाठी अयशस्वी होते: नेटवर्कमधील स्थान हे जोडणीचे गुण आहे, व्यक्तीचे नाही। NIST चे शून्य-विश्वास मार्गदर्शन हे थेट सांगते, आणि म्हणूनच संसाधनांमधील प्रवेश प्रत्येक विनंतीवर ठरवला जातो, प्रत्येक इमारतीवर नाही। जो कोणी त्याच SSID मध्ये सामील होतो त्याला तेच स्थान वारसा मिळते। म्हणूनच कर्मचारी नेटवर्कवरील तडजोड झालेला लॅपटॉप गेस्ट नेटवर्कवरील इतकाच संशयास पात्र आहे।

व्यावहारिक परिणाम असा की अ‍ॅप्लिकेशन अधिकृतता अजूनही असली पाहिजे। संपूर्ण सबनेट देणारे VPN, शिवाय त्या सबनेटमधील प्रत्येक विनंतीवर विश्वास ठेवणारे अ‍ॅप्लिकेशन, वाईट दिवसापासून एका ओळखपत्राच्या अंतरावर आहे।

दोन्हीपैकी कोणताही स्तर दुसऱ्याची जागा घेत नाही, कारण ते वेगवेगळ्या व्याप्तीत प्रश्नांची उत्तरे देतात।

दुसरे लॉगिन आपल्या स्थानास पात्र आहे की नाही हे कसे ओळखावे

नेटवर्कच्या मालकाला दोन गोष्टी विचारा: VPN जोडल्यानंतर काय पोहोचण्यायोग्य होते, आणि ते अनुमत करण्यासाठी कोणत्या ओळखीच्या किंवा उपकरणाच्या अटी तपासल्या जातात? नंतर प्रत्यक्षात काय प्रतिसाद देते याची चाचणी करून उत्तरे पडताळा। बोगदा पोहोच किंवा हमी यापैकी काहीही बदलत नसल्यास, ते नियंत्रणापेक्षा कार्यपद्धतीची सवय असू शकते, आणि तो मालकाचा निर्णय आहे, वापरकर्त्याने टाळावे असे काही नाही।

अनपेक्षित थेट मार्गही पाहा, कारण बोगद्याशिवाय पोहोचण्यायोग्य संसाधन बोगद्याला सजावट करते।

प्रत्येक सीमा आणि तिचा उद्देश नोंदवा, आणि पुढच्या व्यक्तीला दोन लॉगिन का आहेत याचा अंदाज लावावा लागणार नाही।