د دفتر لاسرسی له هویت سره وتړئ، نه د سویچ له پورټ سره
برخهبندي، داخلېدل او د خدمت اجازه بېلې دندې دي. درې شرطونه پرېکړه کوي چې ایا هویتمحور لاسرسی د هر پورټ VLAN ته غوره دی که نه.
پر میز دوه ډیزاینونه دي. یو کارکوونکي په رولمحور VLAN کې ساتي او کله چې خلک ځای بدلوي د سویچ پورټونه سمول کوي. بل ناسته تصدیقوي او پرېږدي چې پالیسي پرېکړه وکړي چې تر کومه ځایه رسېدلی شي۔ دا انتخاب د نويوالي په اړه نه دی؛ د دې په اړه دی چې ایا ستاسو په ودانۍ کې درې شرطونه پلي کېږي که نه. که له دوی څخه یو هم ناکام شي، د پورټ پر بنسټ ډیزاین احمقانه نه دی، هماغه یو دی چې تاسو یې واقعاً چلولی شئ.
درې شرطونه د پليکېدو وړتیا، د هویت کیفیت او د ناکامۍ پر مهال چلند دي.
شرط 1: ایا د لاسرسي وسایل کولی شي راستانه شوې پالیسي پلي کړي
802.1X د پای ټکي غوښتونکي، په سویچ یا د لاسرسي په ټکي کې د تصدیق کوونکي او د RADIUS له لارې رسېدونکي تصدیق سرور ترمنځ اړیکه ده. سرور کولی شي یو VLAN یا بل د پالیسي پایله راستنه کړي، او RFC 3580 هغه سیګنال ورکول بیانوي. سویچ بیا هم باید هغه پایله پلي کړي چې تاسو پرې تکیه کوئ.
وړتیا وغواړئ، نه پروتوکول: متحرک VLAN ګمارنه، د ډاونلوډ وړ ACL، یا د ثبت پورټال ته لېږد.
شرط 2: ایا د هویت سرچینه واکمنه او د بدلون لپاره چټکه ده
په لارښود کې د ګروپ غړیتوب یوازې هغه وخت مرسته کوي چې هغه ساحه وي چې سوداګري یې لا دمخه سمول کوي کله چې رول بدلېږي. که د رولونو ګمارنه په داسې جدول کې وي چې هره میاشت ګروپونو ته کاپي کېږي، هویتمحور لاسرسی یوازې زوړ انپټ اتومات کوي. ځنډ هم وګورئ، ځکه نوی کارکوونکی چې یوه ورځ کار نه شي کولی، د لاسي پورټ بدلون په پرتله بدله پایله ده. د وسیلې تصدیق، د کاروونکي تصدیق او دواړه یوځای بېلې غوراوي دي، او پرینټرونو ته روښانه ماډل ته اړتیا ده، نه تشریح نهشوې لارې ته.
نقشه ولیکئ: کوم ګروپ کومه پالیسي ورکوي، او څوک یې بدلولی شي.
شرط 3: د ازموینې دمخه د ناکامۍ چلند پرېکړه کړئ
هر ځای پرځای کول یو تصدیق نهشوی حالت او یو د سرور نهشتون حالت لري، او د دواړو لپاره پالیسي امنیتي پرېکړه ده. باوري برخې ته غلی راګرځېدل ډیزاین له منځه وړي؛ کلکه ناکامي د خنډ پر مهال کار بندوي. معمول منځنی لار یوه محدوده برخه ده چې یوازې انټرنیټ لاسرسی لري او د مرستې میز ته روښانه لار. په ریښتیني سویچ یا بېتار پلیټفارم کې راګرځېدل وازموئ، ځکه د پلورونکو تلوالې ارزښتونه توپیر لري.
که هیچا نه شوه کولی راګرځېدل په یوه جمله بیان کړي، ډیزاین بشپړ نه دی.
VPN چېرته ځای پیدا کوي
VPN د ناباوره لارې له لارې لاسرسی تصدیقوي، او په دفتر LAN کې یې هم غوښتل کېدای شي په قصد اخیستل شوې باور پرېکړه وي. دا د ګروپ نقشې یا د فایل سرور خپلې اجازې اړتیا نه لرې کوي. دا د عملیاتي بار سره د ګېټوې ظرفیت، د کاروونکي سافټویر او د ناستو مدیریت هم زیاتوي.
هغه VPN چې د VLAN د سمون د مخنیوي لپاره اخیستل شوی و، غلطه ستونزه یې حل کړه او دوه نوي یې زیات کړل.
جدول، او یوازینی شی چې باید وساتل شي
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
د سرورونو، مېلمنو، وسیلو او عملیاتي ټیکنالوژۍ لپاره برخې وساتئ. هغه پولې د دندو په اړه نه دي، د ترافیک په اړه دي، او له هر تنظیمبدلون سره مقاومت کوي. د کارکوونکو حقونه په هویت پالیسي کې کېږدئ، چېرته چې د رول بدلون یو سمون دی، او کله چې لرې کول باید چټک وي د ملاتړ شوې جلا کېدو میکانیزم وکاروئ.
د ډیزاین ازموینه د میز لېږدول دي: باید یو کس او د هغه تجهیزات ولېږدوي، نه د بل جیک شاوخوا د هغه اجازې بیا جوړې کړي.