Lidhni aksesin në zyrë me identitetin, jo me portën e switch-ut
Segmentimi, pranimi dhe autorizimi i shërbimit janë punë të ndryshme. Tri kushte vendosin nëse aksesi i bazuar në identitet mund të kalojë VLAN-et për port.
Ka dy dizajne mbi tavolinë. Njëri i mban punonjësit në VLAN të bazuara në role dhe redakton portat e switch-ut kur njerëzit lëvizin. Tjetri vërteton sesionin dhe lejon politikën të vendosë se ku mund të arrijë. Zgjedhja nuk është për modernitetin; është për atë nëse tri kushte vlejnë në ndërtesën tuaj. Nëse ndonjëri dështon, dizajni i bazuar në porta nuk është budalla, është ai që vërtet mund të operoni.
Tri kushtet janë zbatueshmëria, cilësia e identitetit dhe sjellja në dështim.
Kushti 1: a mund pajisjet e aksesit të zbatojnë një politikë të kthyer
802.1X është një marrëdhënie midis një kërkuesi në pikën fundore, një vërtetuesi në switch ose në pikën e aksesit dhe një serveri vërtetimi që arrihet përmes RADIUS. Serveri mund të kthejë një VLAN ose një rezultat tjetër politike, dhe RFC 3580 përshkruan atë sinjalizim. Switch-i gjithsesi duhet të zbatojë rezultatin në të cilin mbështeteni.
Kërkoni një aftësi, jo një protokoll: caktim dinamik i VLAN, ACL të shkarkueshme ose një ridrejtim në një portal regjistrimi.
Kushti 2: a është burimi i identitetit autoritar dhe i shpejtë për t'u ndryshuar
Anëtarësimi në grup në drejtori ndihmon vetëm nëse është fusha që biznesi tashmë e redakton kur ndryshon një rol. Nëse caktimi i roleve jeton në një fletëllogaritëse që kopjohet në grupe çdo muaj, aksesi i bazuar në identitet thjesht automatizon një input të vjetruar. Kontrolloni edhe vonesën, sepse një punonjës i ri që nuk mund të punojë një ditë të plotë është rezultat më i keq se një ndryshim manual i portës. Vërtetimi i pajisjes, vërtetimi i përdoruesit dhe të dyja bashkë janë zgjedhje të ndara, dhe printerët kanë nevojë për një model të shprehur në vend të një anashkalimi të pashpjeguar.
Shkruani hartëzimin: cili grup jep cilën politikë dhe kush mund ta ndryshojë.
Kushti 3: vendosni sjelljen në dështim para pilotit
Çdo vendosje ka një gjendje të pavërtetuar dhe një gjendje serveri të padisponueshëm, dhe politika për të dyja është vendim sigurie. Një rënie e heshtur në një segment të besuar e mposht dizajnin; një dështim i fortë bllokon punën gjatë një ndërprerjeje. Rruga e mesme e zakonshme është një segment i kufizuar me akses vetëm në internet dhe një rrugë e qartë drejt mbështetjes. Testoni rrënien në switch-in ose platformën pa tela reale, sepse vlerat e paracaktuara të furnitorëve ndryshojnë.
Nëse askush nuk mund ta përshkruajë rrënien në një fjali, dizajni nuk është përfunduar.
Ku përshtatet VPN
Një VPN vërteton aksesin përmes një rruge jo të besuar, dhe kërkimi i saj edhe në LAN-in e zyrës mund të jetë një vendim i qëllimshëm besimi. Nuk e heq nevojën për hartëzim grupesh ose për autorizimin e vetë serverit të skedarëve. Shton gjithashtu kapacitet portë, softuer klienti dhe menaxhim sesionesh në ngarkesën operative.
Një VPN i blerë për të shmangur redaktimin e VLAN-eve ka zgjidhur problemin e gabuar dhe ka shtuar dy të rinj.
Tabela, dhe e vetmja gjë që duhet mbajtur
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Mbani segmente për serverët, mysafirët, pajisjet dhe teknologjinë operative. Ato kufij kanë të bëjnë me trafikun dhe jo me titujt e punës, dhe i mbijetojnë çdo riorganizimi. Vendosni të drejtat e punonjësve në politikën e identitetit, ku një ndryshim roli është një redaktim i vetëm, dhe përdorni mekanizmin e shkëputjes të mbështetur kur heqja duhet të jetë e shpejtë.
Testi i dizajnit është një zhvendosje tavoline: duhet të zhvendosë një person dhe pajisjet e tij, jo të rindërtojë lejet e tij rreth një prize tjetër.