Në Wi-Fi-n e zyrës dhe prapë të kërkojnë VPN? Ja pse

Laptopi është në SSID-në e korporatës, kërkesa për certifikatë u pranua, dhe një aplikacion web prapë kërkon VPN-në. Duket punë e dyfishtë, dhe ndonjëherë është. Të dy hyrjet zakonisht zbatojnë vendime të ndryshme, dhe mënyra e vetme për të ditur nëse e dyta e meriton vendin e saj është të pyesësh çfarë ndryshon.

Bashkimi me një rrjet është një vendim pranimi

Një implementim 802.1X i përgjigjet një pyetjeje: a mund të lidhet kjo pajisje ose ky përdorues me këtë rrjet? Pika e aksesit i kalon kredencialet një serveri RADIUS, dhe përgjigjja mund të mbajë atribute që e vendosin sesionin në një VLAN të caktuar ose aplikojnë një filtër. Ky është pranim dhe segmentim, jo autorizim për ndonjë aplikacion të caktuar.

Pasi sesioni pranohet, lidhja pa tel është e kriptuar midis klientit dhe pikës së aksesit. Mbrojtja mbaron atje, në skajin e rrjetit me tel.

Gjithçka përtej atij pike është rrugëtim i zakonshëm brenda ndërtesës, me arritshmërinë e brendshme që lejon segmenti.

Çfarë mbron në të vërtetë EAP-TTLS

EAP-TTLS ndërton një tunel TLS gjatë vërtetimit dhe ekzekuton një metodë të brendshme brenda tij. Metoda e brendshme është shpesh PAP, dhe prania e saj në një projekt nuk do të thotë që fjalëkalimi kalon nëpër ajër si tekst i thjeshtë, sepse është tuneli TLS ai që e mbart. Klienti prapë duhet të verifikojë identitetin e serverit dhe të besojë CA-në e duhur, dhe një SSID e njohur nuk është ai verifikim. Lexo zgjedhjen e metodës së brendshme si një format kredencialesh, jo si një deklaratë për kriptimin e jashtëm.

Ky është një shkëmbim vërtetimi, jo një tunel të dhënash për trafikun e mëvonshëm të laptopit.

Kur vërtetimi mbaron, tuneli TLS zhduket dhe paketat e klientit udhëtojnë përgjatë segmentit të pranuar. Ngatërrimi i këtyre të dyjave është rrënja e besimit se kriptimi i Wi-Fi tashmë bën punën e VPN-së.

VPN-ja është një vendim i dytë, më i ngushtë

Një VPN i përgjigjet një pyetjeje tjetër: cilat burime private mund të arrijë ky identitet, dhe në çfarë kushtesh? Përfundon në një portë me politikën e vet, kontrollet e veta të identitetit dhe shpesh kërkesat e veta për gjendjen e pajisjes. Bashkësia e arritshme pas ngritjes së tunelit është zakonisht më e vogël se rrjeti i brendshëm i ndërtesës dhe specifike për rolin.

Kjo është arsyeja pse një rol mirëmbajtjeje mund të pranohet në Wi-Fi si të gjithë të tjerët dhe prapë ka nevojë për një tunel për të arritur një nënrrjet administrimi. Vendimi për Wi-Fi u mor në pikën e aksesit; ky vendim merret në portë.

Të dyja fazat mund të jenë të kriptuara dhe prapë të zbatojnë politika të palidhura.

Ku thyhet besimi i bazuar në vendndodhje

Trajtimi i rrjetit të zyrës si i besueshëm në mënyrë të nënkuptuar dështon për një arsye të thjeshtë: vendndodhja në rrjet është veti e lidhjes, jo e personit. Udhëzimi i besimit zero i NIST e thotë këtë drejtpërdrejt, dhe për këtë arsye aksesi në burime vendoset për çdo kërkesë e jo për çdo ndërtesë. Kushdo që bashkohet me të njëjtën SSID trashëgon të njëjtën vendndodhje. Edhe për këtë, një laptop i komprometuar në rrjetin e stafit meriton të njëjtin skepticizëm si një në rrjetin e mysafirëve.

Pasoja praktike është se autorizimi i aplikacioneve duhet të ekzistojë ende. Një VPN që jep një nënrrjet të tërë, plus një aplikacion që beson çdo kërkesë nga ai nënrrjet, është një kredencial larg një dite të keqe.

Asnjëra nga dy shtresat nuk zëvendëson tjetrën, sepse u përgjigjen pyetjeve në shkallë të ndryshme.

Si të kuptosh nëse hyrja e dytë e meriton vendin e saj

Pyet pronarin e rrjetit për dy gjëra: çfarë bëhet e arritshme pasi lidhet VPN-ja, dhe cilat kushte identiteti ose pajisjeje kontrollohen për ta lejuar? Pastaj verifiko përgjigjet duke testuar çfarë përgjigjet në të vërtetë. Nëse tuneli nuk ndryshon as arritshmërinë as garancinë, mund të jetë zakon operativ dhe jo kontroll, dhe ky është vendim i pronarit, jo diçka që përdoruesi duhet ta anashkalojë.

Kërko gjithashtu rrugë të drejtpërdrejta të paqëllimshme, sepse një burim i arritshëm pa tunel e bën tunelin dekorativ.

Dokumento çdo kufi dhe qëllimin e tij, dhe personi tjetër nuk do të duhet të hamendësojë pse ka dy hyrje.