Povežite pisarniški dostop z identiteto, ne s pristaniščem stikala
Segmentacija, sprejem in avtorizacija storitev so različna opravila. Trije pogoji odločajo, ali dostop na podlagi identitete premaga VLAN na vrata.
Na mizi sta dva načrta. Eden drži zaposlene v VLAN na podlagi vlog in ureja vrata stikala, ko se ljudje selijo. Drugi preverja sejo in prepušča politiki, da odloči, do česa lahko pride. Izbira ni o modernosti; gre za to, ali v vaši zgradbi veljajo trije pogoji. Če kateri koli spodleti, načrt na podlagi vrat ni neumen, je tisti, ki ga resnično lahko upravljate.
Trije pogoji so izvedljivost uveljavljanja, kakovost identitete in vedenje ob napaki.
Pogoj 1: ali lahko dostopne naprave uveljavijo vrnjeno politiko
802.1X je razmerje med prosilcem na končni točki, overiteljem v stikalu ali dostopni točki in strežnikom za overjanje, dosegljivim prek RADIUS. Strežnik lahko vrne VLAN ali drug rezultat politike, in RFC 3580 opisuje to signalizacijo. Stikalo mora še vedno izvesti rezultat, na katerega se zanašate.
Zahtevajte zmožnost, ne protokola: dinamično dodeljevanje VLAN, prenosljive ACL ali preusmeritev na registracijski portal.
Pogoj 2: ali je vir identitete verodostojen in hitro spremenljiv
Članstvo v skupini v imeniku pomaga le, če je to polje, ki ga poslovanje že ureja, ko se vloga spremeni. Če dodeljevanje vlog živi v preglednici, ki se mesečno kopira v skupine, dostop na podlagi identitete samo avtomatizira zastarele vnose. Preverite tudi zakasnitev, ker je novozaposleni, ki ne more delati cel dan, slabši izid kot ročna sprememba vrat. Overjanje naprave, overjanje uporabnika in oboje skupaj so ločene izbire, tiskalniki pa potrebujejo izrecen model namesto nerazloženega obhoda.
Zapišite preslikavo: katera skupina podeli katero politiko in kdo jo sme spremeniti.
Pogoj 3: odločite o vedenju ob napaki pred pilotom
Vsaka uvedba ima neoverjeno stanje in stanje nedosegljivega strežnika, politika za oba pa je varnostna odločitev. Tiho vračanje v zaupanja vreden segment uniči načrt; trda napaka blokira delo med izpadom. Običajna srednja pot je omejen segment samo z internetnim dostopom in jasna pot do službe za pomoč. Preizkusite vračanje na pravem stikalu ali brezžični platformi, ker se privzete vrednosti ponudnikov razlikujejo.
Če nihče ne zna vračanja opisati v enem stavku, načrt ni dokončan.
Kam sodi VPN
VPN overi dostop po nezanesljivi poti, in zahtevati ga tudi v pisarniškem LAN je lahko zavestna odločitev o zaupanju. Ne odpravi potrebe po preslikavi skupin ali po lastni avtorizaciji strežnika datotek. Doda tudi zmogljivost prehoda, odjemalsko programsko opremo in upravljanje sej operativni obremenitvi.
VPN, kupljen da bi se izognili urejanju VLAN, je rešil napačen problem in dodal dva nova.
Tabela in ena stvar, ki jo velja obdržati
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Obdržite segmente za strežnike, goste, naprave in operativno tehnologijo. Te meje so o prometu, ne o delovnih nazivih, in preživijo vsako reorganizacijo. Pravice zaposlenih postavite v politiko identitete, kjer je sprememba vloge eno urejanje, in uporabite podprt mehanizem odklopa, ko mora biti odstranitev hitra.
Preizkus načrta je selitev pisalne mize: premakniti mora osebo in njeno opremo, ne pa obnoviti njenih dovoljenj okoli druge vtičnice.