ਦਫ਼ਤਰੀ ਪਹੁੰਚ ਨੂੰ ਸਵਿੱਚ ਪੋਰਟ ਨਾਲ ਨਹੀਂ, ਪਛਾਣ ਨਾਲ ਜੋੜੋ
ਵੰਡ, ਦਾਖਲਾ ਅਤੇ ਸੇਵਾ ਅਧਿਕਾਰ ਵੱਖਰੇ ਕੰਮ ਹਨ। ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਪਛਾਣ-ਆਧਾਰਿਤ ਪਹੁੰਚ ਪੋਰਟ ਪ੍ਰਤੀ VLAN ਤੋਂ ਬਿਹਤਰ ਹੈ ਜਾਂ ਨਹੀਂ।
ਮੇਜ਼ ਉੱਤੇ ਦੋ ਡਿਜ਼ਾਈਨ ਹਨ। ਇੱਕ ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਭੂਮਿਕਾ-ਆਧਾਰਿਤ VLAN ਵਿੱਚ ਰੱਖਦਾ ਹੈ ਅਤੇ ਲੋਕਾਂ ਦੇ ਬਦਲਣ 'ਤੇ ਸਵਿੱਚ ਪੋਰਟ ਸੋਧਦਾ ਹੈ। ਦੂਜਾ ਸੈਸ਼ਨ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ ਅਤੇ ਨੀਤੀ ਨੂੰ ਤੈਅ ਕਰਨ ਦਿੰਦਾ ਹੈ ਕਿ ਇਹ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਇਹ ਚੋਣ ਆਧੁਨਿਕਤਾ ਦੀ ਨਹੀਂ; ਇਹ ਇਸ ਗੱਲ ਦੀ ਹੈ ਕਿ ਤੁਹਾਡੀ ਇਮਾਰਤ ਵਿੱਚ ਤਿੰਨ ਸ਼ਰਤਾਂ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ ਜਾਂ ਨਹੀਂ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਫੇਲ੍ਹ ਹੋਵੇ ਤਾਂ ਪੋਰਟ-ਆਧਾਰਿਤ ਡਿਜ਼ਾਈਨ ਮੂਰਖ ਨਹੀਂ, ਇਹੀ ਉਹ ਹੈ ਜੋ ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਚਲਾ ਸਕਦੇ ਹੋ।
ਤਿੰਨ ਸ਼ਰਤਾਂ ਹਨ ਲਾਗੂਕਰਨਯੋਗਤਾ, ਪਛਾਣ ਦੀ ਗੁਣਵੱਤਾ ਅਤੇ ਫੇਲ੍ਹ ਹੋਣ ਵੇਲੇ ਵਿਵਹਾਰ।
ਸ਼ਰਤ 1: ਕੀ ਪਹੁੰਚ ਯੰਤਰ ਵਾਪਸ ਦਿੱਤੀ ਨੀਤੀ ਲਾਗੂ ਕਰ ਸਕਦੇ ਹਨ
802.1X ਅੰਤ ਬਿੰਦੂ 'ਤੇ ਬੇਨਤੀਕਰਤਾ, ਸਵਿੱਚ ਜਾਂ ਪਹੁੰਚ ਬਿੰਦੂ ਵਿੱਚ ਪ੍ਰਮਾਣਿਕਤਾਕਾਰ ਅਤੇ RADIUS ਰਾਹੀਂ ਪਹੁੰਚੇ ਪ੍ਰਮਾਣਿਕਤਾ ਸਰਵਰ ਵਿਚਕਾਰ ਸੰਬੰਧ ਹੈ। ਸਰਵਰ VLAN ਜਾਂ ਹੋਰ ਨੀਤੀ-ਨਤੀਜਾ ਵਾਪਸ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ RFC 3580 ਉਸ ਸਿਗਨਲਿੰਗ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਸਵਿੱਚ ਨੂੰ ਫਿਰ ਵੀ ਉਹ ਨਤੀਜਾ ਲਾਗੂ ਕਰਨਾ ਪੈਂਦਾ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਕਰਦੇ ਹੋ।
ਯੋਗਤਾ ਮੰਗੋ, ਪ੍ਰੋਟੋਕੋਲ ਨਹੀਂ: ਗਤੀਸ਼ੀਲ VLAN ਅਲਾਟਮੈਂਟ, ਡਾਊਨਲੋਡ ਕਰਨ ਯੋਗ ACL, ਜਾਂ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪੋਰਟਲ 'ਤੇ ਰੀਡਾਇਰੈਕਟ।
ਸ਼ਰਤ 2: ਕੀ ਪਛਾਣ ਦਾ ਸਰੋਤ ਅਧਿਕਾਰਤ ਅਤੇ ਬਦਲਣ ਵਿੱਚ ਤੇਜ਼ ਹੈ
ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਮੂਹ ਮੈਂਬਰਸ਼ਿਪ ਤਾਂ ਹੀ ਮਦਦ ਕਰਦੀ ਹੈ ਜੇ ਇਹ ਉਹ ਖੇਤਰ ਹੈ ਜੋ ਭੂਮਿਕਾ ਬਦਲਣ 'ਤੇ ਕਾਰੋਬਾਰ ਪਹਿਲਾਂ ਹੀ ਸੋਧਦਾ ਹੈ। ਜੇ ਭੂਮਿਕਾ ਅਲਾਟਮੈਂਟ ਉਸ ਸਪ੍ਰੈਡਸ਼ੀਟ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ ਜੋ ਹਰ ਮਹੀਨੇ ਸਮੂਹਾਂ ਵਿੱਚ ਕਾਪੀ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਪਛਾਣ-ਆਧਾਰਿਤ ਪਹੁੰਚ ਸਿਰਫ਼ ਪੁਰਾਣੇ ਇਨਪੁਟ ਨੂੰ ਸਵੈਚਾਲਿਤ ਕਰਦੀ ਹੈ। ਦੇਰੀ ਵੀ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਦਿਨ ਭਰ ਕੰਮ ਨਾ ਕਰ ਸਕਣ ਵਾਲਾ ਨਵਾਂ ਕਰਮਚਾਰੀ ਹੱਥੀਂ ਪੋਰਟ ਬਦਲਣ ਨਾਲੋਂ ਮਾੜਾ ਨਤੀਜਾ ਹੈ। ਯੰਤਰ ਪ੍ਰਮਾਣਿਕਤਾ, ਵਰਤੋਂਕਾਰ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਦੋਵੇਂ ਇਕੱਠੇ ਵੱਖਰੀਆਂ ਚੋਣਾਂ ਹਨ, ਅਤੇ ਪ੍ਰਿੰਟਰਾਂ ਨੂੰ ਅਸਪਸ਼ਟ ਬਾਈਪਾਸ ਦੀ ਥਾਂ ਸਪਸ਼ਟ ਮਾਡਲ ਚਾਹੀਦਾ ਹੈ।
ਮੈਪਿੰਗ ਲਿਖੋ: ਕਿਹੜਾ ਸਮੂਹ ਕਿਹੜੀ ਨੀਤੀ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਕੌਣ ਇਸਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ।
ਸ਼ਰਤ 3: ਪਾਇਲਟ ਤੋਂ ਪਹਿਲਾਂ ਫੇਲ੍ਹ ਹੋਣ ਦਾ ਵਿਵਹਾਰ ਤੈਅ ਕਰੋ
ਹਰ ਤੈਨਾਤੀ ਵਿੱਚ ਇੱਕ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਹਾਲਤ ਅਤੇ ਇੱਕ ਸਰਵਰ-ਅਣਉਪਲਬਧ ਹਾਲਤ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਦੋਵਾਂ ਲਈ ਨੀਤੀ ਸੁਰੱਖਿਆ ਫੈਸਲਾ ਹੈ। ਭਰੋਸੇਯੋਗ ਖੰਡ ਵਿੱਚ ਚੁੱਪਚਾਪ ਡਿੱਗਣਾ ਡਿਜ਼ਾਈਨ ਨੂੰ ਹਰਾ ਦਿੰਦਾ ਹੈ; ਸਖ਼ਤ ਫੇਲ੍ਹ ਰੁਕਾਵਟ ਵੇਲੇ ਕੰਮ ਰੋਕਦੀ ਹੈ। ਆਮ ਵਿਚਕਾਰਲਾ ਰਾਹ ਸਿਰਫ਼ ਇੰਟਰਨੈਟ-ਪਹੁੰਚ ਵਾਲਾ ਸੀਮਤ ਖੰਡ ਅਤੇ ਹੈਲਪ ਡੈਸਕ ਤੱਕ ਸਪਸ਼ਟ ਰਾਹ ਹੈ। ਅਸਲ ਸਵਿੱਚ ਜਾਂ ਵਾਇਰਲੈੱਸ ਪਲੇਟਫਾਰਮ 'ਤੇ ਡਿੱਗਣ ਦੀ ਜਾਂਚ ਕਰੋ, ਕਿਉਂਕਿ ਵਿਕਰੇਤਾ ਦੇ ਡਿਫ਼ਾਲਟ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ।
ਜੇ ਕੋਈ ਇੱਕ ਵਾਕ ਵਿੱਚ ਡਿੱਗਣ ਦਾ ਵਰਣਨ ਨਹੀਂ ਕਰ ਸਕਦਾ, ਤਾਂ ਡਿਜ਼ਾਈਨ ਪੂਰਾ ਨਹੀਂ ਹੋਇਆ।
VPN ਕਿੱਥੇ ਫਿੱਟ ਹੁੰਦਾ ਹੈ
VPN ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲੇ ਰਾਹ ਰਾਹੀਂ ਪਹੁੰਚ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਦਫ਼ਤਰੀ LAN 'ਤੇ ਵੀ ਇਸਦੀ ਮੰਗ ਕਰਨਾ ਜਾਣ-ਬੁੱਝ ਕੇ ਲਿਆ ਭਰੋਸਾ ਫੈਸਲਾ ਹੋ ਸਕਦਾ ਹੈ। ਇਹ ਸਮੂਹ ਮੈਪਿੰਗ ਜਾਂ ਫਾਈਲ ਸਰਵਰ ਦੇ ਆਪਣੇ ਅਧਿਕਾਰ ਦੀ ਲੋੜ ਨਹੀਂ ਹਟਾਉਂਦਾ। ਇਹ ਸੰਚਾਲਨ ਭਾਰ ਵਿੱਚ ਗੇਟਵੇ ਸਮਰੱਥਾ, ਕਲਾਇੰਟ ਸੌਫਟਵੇਅਰ ਅਤੇ ਸੈਸ਼ਨ ਪ੍ਰਬੰਧਨ ਵੀ ਜੋੜਦਾ ਹੈ।
VLAN ਸੋਧ ਤੋਂ ਬਚਣ ਲਈ ਖਰੀਦੇ VPN ਨੇ ਗਲਤ ਸਮੱਸਿਆ ਹੱਲ ਕੀਤੀ ਅਤੇ ਦੋ ਨਵੀਆਂ ਜੋੜੀਆਂ।
ਸਾਰਣੀ, ਅਤੇ ਰੱਖਣ ਵਾਲੀ ਇੱਕੋ ਚੀਜ਼
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
ਸਰਵਰ, ਮਹਿਮਾਨ, ਯੰਤਰ ਅਤੇ ਸੰਚਾਲਨ ਤਕਨੀਕ ਲਈ ਖੰਡ ਰੱਖੋ। ਉਹ ਸੀਮਾਵਾਂ ਨੌਕਰੀ ਦੇ ਅਹੁਦਿਆਂ ਦੀਆਂ ਨਹੀਂ, ਟ੍ਰੈਫ਼ਿਕ ਦੀਆਂ ਹਨ, ਅਤੇ ਕਿਸੇ ਵੀ ਮੁੜਸੰਗਠਨ ਵਿੱਚ ਟਿਕਦੀਆਂ ਹਨ। ਕਰਮਚਾਰੀਆਂ ਦੇ ਹੱਕ ਪਛਾਣ-ਨੀਤੀ ਵਿੱਚ ਰੱਖੋ, ਜਿੱਥੇ ਭੂਮਿਕਾ ਬਦਲਾਅ ਇੱਕੋ ਸੋਧ ਹੈ, ਅਤੇ ਜਦੋਂ ਹਟਾਉਣਾ ਤੇਜ਼ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਸਮਰਥਿਤ ਡਿਸਕਨੈਕਟ ਵਿਧੀ ਵਰਤੋ।
ਡਿਜ਼ਾਈਨ ਦੀ ਪਰਖ ਡੈਸਕ ਹਿਲਾਉਣਾ ਹੈ: ਇਸਨੂੰ ਵਿਅਕਤੀ ਅਤੇ ਉਸਦਾ ਸਾਜ਼ੋ-ਸਾਮਾਨ ਹਿਲਾਉਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਸੇ ਹੋਰ ਜੈਕ ਦੁਆਲੇ ਉਸਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਦੁਬਾਰਾ ਬਣਾਉਣੀਆਂ ਨਹੀਂ।