På kontorets Wi-Fi og likevel beden om VPN? Her er grunnen

Den berbare datamaskinen er på bedrifta sitt SSID, sertifikatførespurnaden vart godteken, og ein nettapp ber framleis om VPN-en. Det ser ut som dobbeltarbeid, og nokre gonger er det det. Dei to innloggingane handhevar vanlegvis ulike avgjerder, og den einaste måten å vite om den andre fortener plassen sin er å spørje kva han endrar.

Å bli med i eit nettverk er ei opptaksavgjerd

Ei 802.1X-utrulling svarar på eitt spørsmål: får denne eininga eller brukaren kople seg til dette nettverket? Aksesspunktet sender legitimasjonen vidare til ein RADIUS-tenar, og svaret kan bere attributtar som plasserer økta i eit bestemt VLAN eller brukar eit filter. Det er opptak og segmentering, ikkje autorisasjon for ein bestemt applikasjon.

Når økta er teken opp, blir den trådlause sambandet mellom klienten og aksesspunktet kryptert. Vernet sluttar der, ved kanten av det kabelbundne nettverket.

Alt utanfor det punktet er vanleg rutting inne i bygget, med den interne rekkjevidda segmentet tillèt.

Kva EAP-TTLS faktisk vernar

EAP-TTLS byggjer ein TLS-tunnel under autentiseringa og køyrer ein indre metode inne i han. Den indre metoden er ofte PAP, og at han dukkar opp i eit design betyr ikkje at passordet går gjennom lufta som klartekst, fordi det er TLS-tunnelen som ber det. Klienten må framleis stadfeste identiteten til tenaren og stole på rett CA, og eit kjent SSID er ikkje den stadfestinga. Les valet av indre metode som eit format for legitimasjon, ikkje som ei utsegn om den ytre krypteringa.

Dette er ein autentiseringsutveksling, ikkje ein datatunnel for den seinare trafikken til den berbare datamaskinen.

Når autentiseringa er ferdig, er TLS-tunnelen borte, og pakkane til klienten fer over det godtekne segmentet. Å forveksle dei to er rota til trua på at Wi-Fi-kryptering alt gjer arbeidet til VPN-en.

VPN-en er ei andre, smalare avgjerd

Ein VPN svarar på eit anna spørsmål: kva private ressursar kan denne identiteten nå, og på kva vilkår? Han terminerer ved ein gateway med eigen policy, eigne identitetssjekkar og ofte eigne krav til tilstanden til eininga. Settet som kan nåast etter at tunnelen er oppe, er vanlegvis mindre enn det interne nettverket i bygget og spesifikt for rolla.

Derfor kan ei vedlikehaldsrolle bli teken opp på Wi-Fi som alle andre og framleis trenge ein tunnel for å nå eit administrasjonssubnett. Wi-Fi-avgjerda vart teken i aksesspunktet; denne blir teken i gatewayen.

Begge trinna kan vere krypterte og framleis handheve urelaterte policyar.

Kvar stadbasert tillit bryt saman

Å handsame kontornettverket som implisitt påliteleg feilar av ei enkel grunn: nettverksplassering er ein eigenskap ved sambandet, ikkje ved personen. NIST sine retningslinjer for nulltillit seier det direkte, og derfor blir tilgang til ressursar avgjort per førespurnad og ikkje per bygg. Alle som blir med i same SSID, arvar same plassering. Det er også derfor ein kompromittert berbar datamaskin på tilsett-nettet fortener same skepsis som ein på gjestenettet.

Den praktiske konsekvensen er at applikasjonsautorisasjon framleis må finnast. Ein VPN som gjev eit heilt subnett, pluss ein applikasjon som stolar på kvar førespurnad frå det subnettet, er éin legitimasjon unna ein dårleg dag.

Ingen av laga erstattar det andre, fordi dei svarar på spørsmål i ulike omfang.

Slik avgjer du om den andre innlogginga fortener plassen sin

Spør nettverkseigaren om to ting: kva som blir tilgjengeleg etter at VPN-en koplar til, og kva identitets- eller einingvilkår som blir kontrollerte for å tillate det? Stadfest deretter svara ved å teste kva som faktisk svarar. Viss tunnelen korkje endrar rekkjevidd eller tryggleik, kan det vere operasjonell vane snarare enn ein kontroll, og det er ei avgjerd for eigaren, ikkje noko ein brukar bør gå utanom.

Sjå også etter utilsikta direkte vegar, fordi ein ressurs som kan nåast utan tunnelen, gjer tunnelen dekorativ.

Dokumenter kvar grense og føremålet med henne, så slepp neste person å gjette kvifor det er to innloggingar.