Knyt kontortilgang til identitet, ikkje til svitsjporten
Segmentering, tilgangskontroll og tenesteautorisasjon er ulike oppgåver. Tre vilkår avgjer om identitetsstyrt tilgang slår VLAN per port.
Det ligg to design på bordet. Det eine held tilsette i rollebaserte VLAN og endrar svitsjportar når folk flyttar seg. Det andre autentiserer økta og lèt policyen avgjere kva han kan nå. Valet handlar ikkje om modernitet; det handlar om tre vilkår gjeld i bygget ditt. Viss eitt av dei sviktar, er det portbaserte designet ikkje dumt, det er det du faktisk kan drifte.
Dei tre vilkåra er handheving, identitetskvalitet og åtferd ved feil.
Vilkår 1: kan tilgangseiningane handheve ein returnert policy
802.1X er eit forhold mellom ein supplikant på endepunktet, ein autentisator i svitsjen eller aksesspunktet og ein autentiseringsserver som nåast over RADIUS. Serveren kan returnere eit VLAN eller eit anna policyresultat, og RFC 3580 skildrar den signaleringa. Svitsjen må likevel implementere resultatet du er avhengig av.
Be om ei evne, ikkje ein protokoll: dynamisk VLAN-tildeling, nedlastbare ACL-ar eller ei omdirigering til ein registreringsportal.
Vilkår 2: er identitetskjelda autoritativ og rask å endre
Gruppemedlemskap i katalogen hjelper berre viss det er feltet verksemda allereie redigerer når ei rolle endrar seg. Viss rollefordelinga bur i eit rekneark som blir kopiert til grupper kvar månad, automatiserer identitetsstyrt tilgang berre eit utdatert innspel. Sjekk òg latenstida, for ein ny tilsett som ikkje kan jobbe ein heil dag er eit verre utfall enn ei manuell portendring. Einingautentisering, brukarautentisering og begge saman er separate val, og skrivarar treng ein eksplisitt modell i staden for ein uforklart omveg.
Skriv ned mappinga: kva gruppe gir kva policy, og kven som kan endre han.
Vilkår 3: avgjer åtferda ved feil før piloten
Kvar utrulling har ein uautentisert tilstand og ein tilstand der serveren er utilgjengeleg, og policyen for begge er ei tryggleiksavgjerd. Eit stille fall tilbake til eit klart segment undergrev designet; ein hard feil blokkerer arbeidet under ei avbrot. Den vanlege mellomvegen er eit avgrensa segment med berre internettilgang og ein klår rute til brukarstøtta. Test tilbakefallet på den ekte svitsjen eller den trådlause plattforma, for standardverdiane til leverandørane er ulike.
Viss ingen kan skildre tilbakefallet i éi setning, er designet ikkje ferdig.
Kvar VPN passar inn
Ein VPN autentiserer tilgang over ein ikkje-klar veg, og å krevje han òg på kontoret sitt LAN kan vere ei medviten tillitsavgjerd. Han fjernar ikkje behovet for gruppemapping eller for filserveren si eiga autorisasjon. Han legg òg til gatewaykapasitet, klientprogramvare og øktsstyring i den operative belastninga.
Ein VPN kjøpt for å unngå å redigere VLAN har løyst det gale problemet og lagt til to nye.
Tabellen, og den eine tingen som bør haldast
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Behald segment for serverar, gjester, einingar og operativ teknologi. Dei grensene handlar om trafikk og ikkje om stillingstitlar, og dei overlever kvar omorganisering. Legg rettane til dei tilsette i identitetspolicyen, der ei rolleendring er éi redigering, og bruk den støtta fråkoplingsmekanismen når fjerning må vere rask.
Testen på designet er ein skrivebordsflytting: han skal flytte ein person og utstyret hans, ikkje byggje opp rettane hans på nytt rundt ein annan kontakt.