Legați accesul la birou de identitate, nu de portul comutatorului

Sunt două proiecte pe masă. Unul ține angajații în VLAN-uri bazate pe roluri și modifică porturile comutatorului când oamenii se mută. Celălalt autentifică sesiunea și lasă politica să decidă la ce poate ajunge. Alegerea nu ține de modernitate; ține de dacă trei condiții sunt valabile în clădirea dumneavoastră. Dacă vreuna eșuează, proiectul bazat pe porturi nu este prost, este cel pe care chiar îl puteți opera.

Cele trei condiții sunt aplicabilitatea, calitatea identității și comportamentul la eșec.

Condiția 1: pot dispozitivele de acces să impună o politică returnată

802.1X este o relație între un suplicant de pe terminal, un autentificator din comutator sau din punctul de acces și un server de autentificare accesat prin RADIUS. Serverul poate returna un VLAN sau alt rezultat de politică, iar RFC 3580 descrie acea semnalizare. Comutatorul tot trebuie să implementeze rezultatul pe care vă bazați.

Cereți o capacitate, nu un protocol: alocare dinamică de VLAN, liste ACL descărcabile sau o redirecționare către un portal de înregistrare.

Condiția 2: este sursa de identitate autoritară și rapid de schimbat

Apartenența la un grup în director ajută doar dacă este câmpul pe care afacerea îl editează deja când se schimbă un rol. Dacă alocarea rolurilor trăiește într-un tabel copiat în grupuri lunar, accesul bazat pe identitate doar automatizează o intrare învechită. Verificați și latența, pentru că un angajat nou care nu poate lucra o zi întreagă este un rezultat mai rău decât o schimbare manuală de port. Autentificarea dispozitivului, cea a utilizatorului și ambele împreună sunt alegeri separate, iar imprimantele au nevoie de un model explicit în loc de o ocolire neexplicată.

Scrieți maparea: ce grup acordă ce politică și cine o poate schimba.

Condiția 3: decideți comportamentul la eșec înainte de pilot

Fiecare implementare are o stare neautentificată și o stare în care serverul nu este disponibil, iar politica pentru ambele este o decizie de securitate. O revenire tăcută într-un segment de încredere anulează proiectul; un eșec dur blochează munca în timpul unei întreruperi. Calea de mijloc obișnuită este un segment restricționat cu acces doar la internet și o rută clară către serviciul de asistență. Testați revenirea pe comutatorul sau platforma wireless reale, pentru că valorile implicite ale furnizorilor diferă.

Dacă nimeni nu poate descrie revenirea într-o propoziție, proiectul nu este terminat.

Unde se potrivește VPN-ul

Un VPN autentifică accesul pe o cale nesigură, iar cerința lui și în LAN-ul biroului poate fi o decizie de încredere deliberată. Nu elimină nevoia de mapare a grupurilor sau de autorizare proprie a serverului de fișiere. Adaugă, de asemenea, capacitate de gateway, software client și gestionarea sesiunilor la sarcina operațională.

Un VPN cumpărat ca să evite editarea VLAN-urilor a rezolvat problema greșită și a adăugat două noi.

Tabelul, și singurul lucru de păstrat

Păstrați segmente pentru servere, oaspeți, dispozitive și tehnologie operațională. Acele granițe țin de trafic, nu de titluri de post, și supraviețuiesc oricărei reorganizări. Puneți drepturile angajaților în politica de identitate, unde o schimbare de rol este o singură editare, și folosiți mecanismul de deconectare acceptat când eliminarea trebuie să fie rapidă.

Testul proiectului este o mutare de birou: trebuie să mute o persoană și echipamentul ei, nu să-i reconstruiască permisiunile în jurul altei prize.