Ligue o acesso ao escritório à identidade, não à porta do switch

Há dois desenhos em cima da mesa. Um mantém os funcionários em VLAN baseadas em papéis e edita as portas do switch quando as pessoas se mudam. O outro autentica a sessão e deixa a política decidir a que pode chegar. A escolha não é sobre modernidade; é sobre se três condições se verificam no seu edifício. Se alguma falhar, o desenho baseado em portas não é estúpido, é aquele que realmente consegue operar.

As três condições são a aplicabilidade, a qualidade da identidade e o comportamento em caso de falha.

Condição 1: os dispositivos de acesso conseguem aplicar uma política devolvida

802.1X é uma relação entre um suplicante no terminal, um autenticador no switch ou no ponto de acesso e um servidor de autenticação alcançado por RADIUS. O servidor pode devolver uma VLAN ou outro resultado de política, e a RFC 3580 descreve essa sinalização. O switch continua a ter de implementar o resultado em que confia.

Peça uma capacidade, não um protocolo: atribuição dinâmica de VLAN, ACL descarregáveis ou um redirecionamento para um portal de registo.

Condição 2: a fonte de identidade é autoritativa e rápida de alterar

A pertença a um grupo no diretório só ajuda se for o campo que o negócio já edita quando um papel muda. Se a atribuição de papéis viver numa folha de cálculo copiada para os grupos todos os meses, o acesso baseado em identidade limita-se a automatizar uma entrada desatualizada. Verifique também a latência, porque um recém-admitido que não consegue trabalhar um dia inteiro é um resultado pior do que uma mudança manual de porta. A autenticação de dispositivo, a de utilizador e ambas em conjunto são escolhas separadas, e as impressoras precisam de um modelo explícito em vez de um contorno sem explicação.

Escreva o mapeamento: que grupo concede que política e quem a pode alterar.

Condição 3: decida o comportamento em caso de falha antes do piloto

Cada implementação tem um estado não autenticado e um estado de servidor indisponível, e a política para ambos é uma decisão de segurança. Uma queda silenciosa para um segmento de confiança derrota o desenho; uma falha dura bloqueia o trabalho durante uma interrupção. O meio-termo habitual é um segmento restrito com acesso apenas à internet e um caminho claro para o serviço de apoio. Teste a queda no switch ou na plataforma sem fios reais, porque os valores predefinidos dos fornecedores diferem.

Se ninguém conseguir descrever a queda numa frase, o desenho não está terminado.

Onde encaixa a VPN

Uma VPN autentica o acesso por um caminho não fidedigno, e exigi-la também na LAN do escritório pode ser uma decisão de confiança deliberada. Não elimina a necessidade de mapeamento de grupos nem da autorização própria do servidor de ficheiros. Também acrescenta capacidade de gateway, software de cliente e gestão de sessões à carga operacional.

Uma VPN comprada para evitar editar VLAN resolveu o problema errado e acrescentou dois novos.

A tabela, e a única coisa a manter

Mantenha segmentos para servidores, convidados, dispositivos e tecnologia operacional. Essas fronteiras são sobre tráfego e não sobre cargos, e sobrevivem a qualquer reorganização. Coloque os direitos dos funcionários na política de identidade, onde uma mudança de papel é uma única edição, e use o mecanismo de desligamento suportado quando a remoção tiver de ser rápida.

O teste do desenho é uma mudança de secretária: deve mover uma pessoa e o seu equipamento, não reconstruir as suas permissões em torno de outra tomada.