Ikat akses pejabat pada identiti, bukan pada port suis
Segmentasi, kemasukan dan kebenaran perkhidmatan ialah kerja berbeza. Tiga syarat menentukan sama ada akses berpandukan identiti mengalahkan VLAN setiap port.
Ada dua reka bentuk di atas meja. Satu mengekalkan pekerja dalam VLAN berasaskan peranan dan menyunting port suis apabila orang berpindah. Yang lain mengesahkan sesi dan membiarkan dasar menentukan apa yang boleh dicapai. Pilihan itu bukan tentang kemodenan; ia tentang sama ada tiga syarat berlaku di bangunan anda. Jika mana-mana satu gagal, reka bentuk berasaskan port bukanlah bodoh, itulah yang benar-benar boleh anda kendalikan.
Tiga syarat itu ialah keupayaan penguatkuasaan, kualiti identiti dan tingkah laku semasa kegagalan.
Syarat 1: bolehkah peranti akses menguatkuasakan dasar yang dikembalikan
802.1X ialah hubungan antara pemohon di titik akhir, pengesah dalam suis atau titik akses dan pelayan pengesahan yang dicapai melalui RADIUS. Pelayan boleh mengembalikan VLAN atau hasil dasar lain, dan RFC 3580 menerangkan isyarat itu. Suis masih perlu melaksanakan hasil yang anda bergantung padanya.
Minta keupayaan, bukan protokol: peruntukan VLAN dinamik, ACL yang boleh dimuat turun atau ubah hala ke portal pendaftaran.
Syarat 2: adakah sumber identiti berwibawa dan cepat berubah
Keahlian kumpulan dalam direktori hanya membantu jika itulah medan yang sudah disunting perniagaan apabila peranan berubah. Jika peruntukan peranan tinggal dalam hamparan yang disalin ke kumpulan setiap bulan, akses berpandukan identiti hanya mengautomasikan input yang lapuk. Periksa juga kependaman, kerana pekerja baharu yang tidak dapat bekerja sehari penuh ialah hasil yang lebih buruk daripada perubahan port manual. Pengesahan peranti, pengesahan pengguna dan kedua-duanya sekali ialah pilihan berasingan, dan pencetak memerlukan model yang jelas dan bukan lencongan yang tidak dijelaskan.
Tulis pemetaan itu: kumpulan mana memberikan dasar mana, dan siapa boleh mengubahnya.
Syarat 3: tentukan tingkah laku semasa kegagalan sebelum perintis
Setiap penggunaan mempunyai keadaan tidak disahkan dan keadaan pelayan tidak tersedia, dan dasar bagi kedua-duanya ialah keputusan keselamatan. Kembali senyap ke segmen dipercayai mengalahkan reka bentuk; kegagalan keras menyekat kerja semasa gangguan. Jalan tengah biasa ialah segmen terhad dengan akses internet sahaja dan laluan jelas ke meja bantuan. Uji kembalinya pada suis atau platform wayarles sebenar, kerana nilai lalai vendor berbeza.
Jika tiada siapa dapat menerangkan kembalinya dalam satu ayat, reka bentuk belum selesai.
Di mana VPN masuk
VPN mengesahkan akses melalui laluan yang tidak dipercayai, dan mewajibkannya juga di LAN pejabat boleh menjadi keputusan kepercayaan yang disengajakan. Ia tidak menghapuskan keperluan pemetaan kumpulan atau kebenaran pelayan fail itu sendiri. Ia juga menambah kapasiti get laluan, perisian klien dan pengurusan sesi kepada beban operasi.
VPN yang dibeli untuk mengelak penyuntingan VLAN telah menyelesaikan masalah yang salah dan menambah dua yang baharu.
Jadual itu, dan satu perkara yang perlu dikekalkan
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Kekalkan segmen untuk pelayan, tetamu, peranti dan teknologi operasi. Sempadan itu tentang trafik dan bukan jawatan, dan ia bertahan dalam apa jua penyusunan semula. Letakkan hak pekerja dalam dasar identiti, di mana perubahan peranan ialah satu suntingan, dan gunakan mekanisme pemutusan yang disokong apabila penyingkiran mesti pantas.
Ujian reka bentuk ialah pemindahan meja: ia harus memindahkan seseorang dan peralatannya, bukan membina semula kebenarannya di sekeliling soket lain.