Powiąż dostęp biurowy z tożsamością, a nie z portem przełącznika
Segmentacja, dopuszczanie i autoryzacja usług to różne zadania. Trzy warunki decydują, czy dostęp oparty na tożsamości bije VLAN na port.
Na stole leżą dwa projekty. Jeden trzyma pracowników w VLAN opartych na rolach i zmienia porty przełącznika, gdy ludzie się przenoszą. Drugi uwierzytelnia sesję i pozwala polityce zdecydować, do czego może dotrzeć. Wybór nie dotyczy nowoczesności; dotyczy tego, czy w twoim budynku zachodzą trzy warunki. Jeśli którykolwiek zawiedzie, projekt oparty na portach nie jest głupi, to ten, który naprawdę możesz utrzymać.
Trzy warunki to egzekwowalność, jakość tożsamości i zachowanie przy awarii.
Warunek 1: czy urządzenia dostępowe potrafią wyegzekwować zwróconą politykę
802.1X to relacja między suplikantem na punkcie końcowym, uwierzytelniaczem w przełączniku lub punkcie dostępowym a serwerem uwierzytelniania osiąganym przez RADIUS. Serwer może zwrócić VLAN lub inny wynik polityki, a RFC 3580 opisuje tę sygnalizację. Przełącznik nadal musi wdrożyć wynik, na którym polegasz.
Proś o możliwość, nie o protokół: dynamiczne przypisywanie VLAN, listy ACL do pobrania albo przekierowanie do portalu rejestracji.
Warunek 2: czy źródło tożsamości jest autorytatywne i szybkie w zmianie
Członkostwo w grupie w katalogu pomaga tylko wtedy, gdy to pole, które firma już edytuje, gdy zmienia się rola. Jeśli przypisywanie ról żyje w arkuszu kopiowanym do grup co miesiąc, dostęp oparty na tożsamości po prostu automatyzuje nieaktualne dane. Sprawdź też opóźnienie, bo nowy pracownik, który nie może pracować przez cały dzień, to gorszy wynik niż ręczna zmiana portu. Uwierzytelnianie urządzenia, uwierzytelnianie użytkownika i oba razem to osobne wybory, a drukarki potrzebują jawnego modelu zamiast niewyjaśnionego obejścia.
Zapisz mapowanie: która grupa przyznaje którą politykę i kto może ją zmienić.
Warunek 3: zdecyduj o zachowaniu przy awarii przed pilotażem
Każde wdrożenie ma stan nieuwierzytelniony i stan niedostępnego serwera, a polityka dla obu jest decyzją bezpieczeństwa. Cichy powrót do zaufanego segmentu niweczy projekt; twarda awaria blokuje pracę podczas przerwy. Zwykłym środkiem jest ograniczony segment z dostępem tylko do internetu i jasną drogą do pomocy technicznej. Przetestuj powrót na prawdziwym przełączniku lub platformie bezprzewodowej, bo wartości domyślne dostawców się różnią.
Jeśli nikt nie potrafi opisać powrotu w jednym zdaniu, projekt nie jest skończony.
Gdzie pasuje VPN
VPN uwierzytelnia dostęp przez niezaufaną ścieżkę, a wymaganie go także w biurowej sieci LAN może być świadomą decyzją o zaufaniu. Nie usuwa potrzeby mapowania grup ani własnej autoryzacji serwera plików. Dodaje też przepustowość bramy, oprogramowanie klienckie i zarządzanie sesjami do obciążenia operacyjnego.
VPN kupiony, by uniknąć edycji VLAN, rozwiązał niewłaściwy problem i dodał dwa nowe.
Tabela i jedna rzecz, którą warto zachować
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Zachowaj segmenty dla serwerów, gości, urządzeń i technologii operacyjnej. Te granice dotyczą ruchu, a nie stanowisk, i przetrwają każdą reorganizację. Umieść uprawnienia pracowników w polityce tożsamości, gdzie zmiana roli to jedna edycja, i używaj obsługiwanego mechanizmu odłączania, gdy usunięcie musi być szybkie.
Testem projektu jest przeprowadzka biurka: powinna przenieść osobę i jej sprzęt, a nie odbudować jej uprawnienia wokół innego gniazda.