Spojte prístup do kancelárie s identitou, nie s portom prepínača
Segmentácia, prijímanie a autorizácia služieb sú rôzne úlohy. Tri podmienky rozhodujú, či prístup riadený identitou porazí VLAN na port.
Na stole sú dva návrhy. Jeden drží zamestnancov vo VLAN podľa rolí a upravuje porty prepínača, keď sa ľudia sťahujú. Druhý overuje reláciu a necháva politiku rozhodnúť, kam sa smie dostať. Voľba nie je o modernosti; ide o to, či vo vašej budove platia tri podmienky. Ak ktorákoľvek zlyhá, návrh založený na portoch nie je hlúpy, je to ten, ktorý naozaj dokážete prevádzkovať.
Tri podmienky sú vymáhateľnosť, kvalita identity a správanie pri zlyhaní.
Podmienka 1: dokážu prístupové zariadenia vynútiť vrátenú politiku
802.1X je vzťah medzi žiadateľom na koncovom bode, autentifikátorom v prepínači alebo prístupovom bode a autentifikačným serverom dosiahnutým cez RADIUS. Server môže vrátiť VLAN alebo iný výsledok politiky a RFC 3580 opisuje túto signalizáciu. Prepínač však stále musí implementovať výsledok, na ktorý sa spoliehate.
Žiadajte schopnosť, nie protokol: dynamické prideľovanie VLAN, stiahnuteľné ACL alebo presmerovanie na registračný portál.
Podmienka 2: je zdroj identity autoritatívny a rýchly na zmenu
Členstvo v skupine v adresári pomáha len vtedy, ak je to pole, ktoré firma už upravuje, keď sa zmení rola. Ak prideľovanie rolí žije v tabuľke kopírovanej do skupín každý mesiac, prístup riadený identitou len automatizuje zastaraný vstup. Skontrolujte aj latenciu, pretože nováčik, ktorý nemôže pracovať celý deň, je horší výsledok než manuálna zmena portu. Overovanie zariadenia, overovanie používateľa a oboje spolu sú samostatné voľby a tlačiarne potrebujú výslovný model namiesto nevysvetleného obchádzania.
Zapíšte mapovanie: ktorá skupina udeľuje ktorú politiku a kto ju smie zmeniť.
Podmienka 3: rozhodnite o správaní pri zlyhaní pred pilotom
Každé nasadenie má neoverený stav a stav nedostupného servera a politika pre oba je bezpečnostné rozhodnutie. Tichý návrat do dôveryhodného segmentu ničí návrh; tvrdé zlyhanie blokuje prácu počas výpadku. Zvyčajným kompromisom je obmedzený segment len s internetovým prístupom a jasnou cestou na help desk. Otestujte návrat na skutočnom prepínači alebo bezdrôtovej platforme, pretože predvolené hodnoty výrobcov sa líšia.
Ak nikto nedokáže opísať návrat jednou vetou, návrh nie je hotový.
Kam zapadá VPN
VPN overuje prístup cez nedôveryhodnú cestu a vyžadovať ju aj v kancelárskej LAN môže byť zámerné rozhodnutie o dôvere. Neodstraňuje potrebu mapovania skupín ani vlastnej autorizácie súborového servera. Pridáva tiež kapacitu brány, klientsky softvér a správu relácií k prevádzkovému zaťaženiu.
VPN kúpená, aby sa vyhla úpravám VLAN, vyriešila nesprávny problém a pridala dva nové.
Tabuľka a jedna vec, ktorú sa oplatí zachovať
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Zachovajte segmenty pre servery, hostí, zariadenia a prevádzkové technológie. Tie hranice sú o prevádzke, nie o pracovných pozíciách, a prežijú každú reorganizáciu. Uložte práva zamestnancov do politiky identity, kde je zmena roly jednou úpravou, a použite podporovaný mechanizmus odpojenia, keď musí byť odstránenie rýchle.
Testom návrhu je sťahovanie stola: má presunúť človeka a jeho vybavenie, nie prestavať jeho oprávnenia okolo inej zásuvky.