Orbot l-aċċess tal-uffiċċju mal-identità, mhux mal-port tas-switch
Is-segmentazzjoni, id-dħul u l-awtorizzazzjoni tas-servizz huma xogħlijiet differenti. Tliet kundizzjonijiet jiddeċiedu jekk l-aċċess ibbażat fuq l-identità jegħlebx il-VLAN għal kull port.
Hemm żewġ disinji fuq il-mejda. Wieħed iżomm lill-impjegati fi VLAN ibbażati fuq ir-rwoli u jeditja l-ports tas-switch meta n-nies jiċċaqalqu. L-ieħor jawtentika s-sessjoni u jħalli l-politika tiddeċiedi x'jista' jilħaq. L-għażla mhix dwar il-modernità; hija dwar jekk tliet kundizzjonijiet jistgħux iseħħu fil-bini tiegħek. Jekk waħda minnhom tfalli, id-disinn ibbażat fuq il-ports mhuwiex iblah, huwa dak li tista' tħaddem tassew.
It-tliet kundizzjonijiet huma l-infurzabbiltà, il-kwalità tal-identità u l-imġiba meta jkun hemm falliment.
Kundizzjoni 1: jistgħu l-apparati tal-aċċess jinfurzaw politika mibgħuta lura
802.1X hija relazzjoni bejn supplikant fuq il-punt aħħari, awtentikatur fis-switch jew fil-punt tal-aċċess u server tal-awtentikazzjoni li jintlaħaq permezz ta' RADIUS. Is-server jista' jibgħat lura VLAN jew riżultat ieħor tal-politika, u RFC 3580 jiddeskrivi dik is-sinjallazzjoni. Is-switch xorta jrid jimplimenta r-riżultat li qed tiddependi fuqu.
Itlob kapaċità, mhux protokoll: assenjazzjoni dinamika tal-VLAN, ACL li jistgħu jitniżżlu jew ridirezzjoni lejn portal tar-reġistrazzjoni.
Kundizzjoni 2: is-sors tal-identità huwa awtorevoli u malajr jinbidel
Is-sħubija fi grupp fid-direttorju tgħin biss jekk hija l-qasam li n-negozju diġà jeditja meta jinbidel ir-rwol. Jekk l-assenjazzjoni tar-rwoli tgħix fi spreadsheet li tiġi kkupjata fil-gruppi kull xahar, l-aċċess ibbażat fuq l-identità sempliċement jawtomatizza input skadut. Iċċekkja wkoll il-latenza, għax impjegat ġdid li ma jistax jaħdem ġurnata sħiħa huwa riżultat agħar minn bidla manwali tal-port. L-awtentikazzjoni tal-apparat, dik tal-utent u t-tnejn flimkien huma għażliet separati, u l-printers jeħtieġu mudell espliċitu minflok bypass mhux spjegat.
Ikteb il-mapping: liema grupp jagħti liema politika, u min jista' jibdelha.
Kundizzjoni 3: iddeċiedi l-imġiba meta jkun hemm falliment qabel il-pilota
Kull implimentazzjoni għandha stat mhux awtentikat u stat fejn is-server mhuwiex disponibbli, u l-politika għaż-żewġ hija deċiżjoni tas-sigurtà. Waqgħa siekta f'segment affidabbli tegħleb id-disinn; falliment iebes jimblokka x-xogħol waqt interruzzjoni. Il-mogħdija tan-nofs tas-soltu hija segment ristrett b'aċċess għall-internet biss u rotta ċara lejn il-help desk. Ipprova l-waqgħa fuq is-switch jew il-pjattaforma bla wajer reali, għax il-valuri default tal-fornituri jvarjaw.
Jekk ħadd ma jista' jiddeskrivi l-waqgħa f'sentenza waħda, id-disinn mhuwiex lest.
Fejn tidħol il-VPN
VPN tawtentika l-aċċess fuq mogħdija mhux affidabbli, u li titlobha wkoll fuq il-LAN tal-uffiċċju tista' tkun deċiżjoni ta' fiduċja deliberata. Ma tneħħix il-ħtieġa tal-mapping tal-gruppi jew tal-awtorizzazzjoni tal-file server innifsu. Żżid ukoll kapaċità tal-gateway, software tal-klijent u ġestjoni tas-sessjonijiet mat-tagħbija operattiva.
VPN mixtrija biex tevita l-editjar tal-VLAN solviet il-problema żbaljata u żiedet tnejn ġodda.
It-tabella, u l-unika ħaġa li għandha tinżamm
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Żomm segmenti għas-servers, il-mistednin, l-apparati u t-teknoloġija operattiva. Dawk il-fruntieri huma dwar it-traffiku u mhux il-karigi, u jgħixu kwalunkwe riorganizzazzjoni. Qiegħed id-drittijiet tal-impjegati fil-politika tal-identità, fejn bidla fir-rwol hija editjar wieħed, u uża l-mekkaniżmu tad-diskonnessjoni appoġġjat meta t-tneħħija trid tkun malajr.
It-test tad-disinn huwa ċaqliq ta' skrivanija: għandu jċaqlaq persuna u t-tagħmir tagħha, mhux jerġa' jibni l-permessi tagħha madwar socket ieħor.