Koppel kantoortoegang aan identiteit, niet aan de switchpoort
Segmentering, toelating en serviceautorisatie zijn verschillende taken. Drie voorwaarden bepalen of identiteitsgestuurde toegang VLAN's per poort verslaat.
Er liggen twee ontwerpen op tafel. Het ene houdt medewerkers in rolgebaseerde VLAN's en past switchpoorten aan wanneer mensen verhuizen. Het andere authenticeert de sessie en laat het beleid beslissen wat het mag bereiken. De keuze gaat niet over moderniteit; ze gaat over of drie voorwaarden in uw gebouw gelden. Als een ervan faalt, is het poortgebaseerde ontwerp niet dom, het is degene die u daadwerkelijk kunt beheren.
De drie voorwaarden zijn handhaafbaarheid, identiteitskwaliteit en gedrag bij storing.
Voorwaarde 1: kunnen de toegangsapparaten een teruggegeven beleid handhaven
802.1X is een relatie tussen een supplicant op het eindpunt, een authenticator in de switch of het accesspoint en een authenticatieserver die via RADIUS wordt bereikt. De server kan een VLAN of een ander beleidsresultaat teruggeven, en RFC 3580 beschrijft die signalering. De switch moet het resultaat waarop u vertrouwt nog steeds implementeren.
Vraag om een vermogen, niet om een protocol: dynamische VLAN-toewijzing, downloadbare ACL's of een doorverwijzing naar een registratieportaal.
Voorwaarde 2: is de identiteitsbron gezaghebbend en snel te wijzigen
Groepslidmaatschap in de directory helpt alleen als het het veld is dat het bedrijf al bewerkt wanneer een rol verandert. Als roltoewijzing in een spreadsheet leeft die maandelijks naar groepen wordt gekopieerd, automatiseert identiteitsgestuurde toegang alleen een verouderde invoer. Controleer ook de latentie, want een nieuwe medewerker die een dag niet kan werken is een slechter resultaat dan een handmatige poortwijziging. Apparaatauthenticatie, gebruikersauthenticatie en beide samen zijn aparte keuzes, en printers hebben een expliciet model nodig in plaats van een onverklaarde omweg.
Schrijf de toewijzing op: welke groep welke beleidsregel geeft en wie die mag wijzigen.
Voorwaarde 3: bepaal het gedrag bij storing vóór de pilot
Elke uitrol heeft een niet-geauthenticeerde toestand en een toestand waarin de server niet beschikbaar is, en het beleid voor beide is een beveiligingsbeslissing. Een stille terugval naar een vertrouwd segment ondermijnt het ontwerp; een harde fout blokkeert werk tijdens een storing. De gebruikelijke middenweg is een beperkt segment met alleen internettoegang en een duidelijke route naar de helpdesk. Test de terugval op de echte switch of het draadloze platform, want de standaardwaarden van leveranciers verschillen.
Als niemand de terugval in één zin kan beschrijven, is het ontwerp niet af.
Waar de VPN past
Een VPN authenticeert toegang over een niet-vertrouwd pad, en die ook op het kantoor-LAN eisen kan een bewuste vertrouwensbeslissing zijn. Het neemt de behoefte aan groepstoewijzing of aan de eigen autorisatie van de fileserver niet weg. Het voegt ook gatewaycapaciteit, clientsoftware en sessiebeheer toe aan de operationele last.
Een VPN die is gekocht om VLAN-bewerking te vermijden, heeft het verkeerde probleem opgelost en twee nieuwe toegevoegd.
De tabel, en het enige dat je moet behouden
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Behoud segmenten voor servers, gasten, apparaten en operationele technologie. Die grenzen gaan over verkeer en niet over functietitels, en ze overleven elke reorganisatie. Zet de rechten van medewerkers in het identiteitsbeleid, waar een rolwijziging één bewerking is, en gebruik het ondersteunde ontkoppelingsmechanisme wanneer verwijdering snel moet zijn.
De test van het ontwerp is een bureauverhuizing: die moet een persoon en zijn apparatuur verplaatsen, niet zijn rechten rond een andere aansluiting herbouwen.