Повежите приступ канцеларији са идентитетом, а не са портом прекидача
Сегментација, пријем и ауторизација услуга су различити послови. Три услова одлучују да ли приступ заснован на идентитету превазилази VLAN по порту.
На столу су два пројекта. Један држи запослене у VLAN-овима заснованим на улогама и мења портове прекидача када се људи премештају. Други проверава аутентичност сесије и пушта политику да одлучи до чега сме да стигне. Избор није ствар модерности; ради се о томе да ли три услова важе у вашој згради. Ако било који од њих падне, решење засновано на портовима није глупо, то је оно које заиста можете да одржавате.
Три услова су спроводљивост, квалитет идентитета и понашање при квару.
Услов 1: могу ли приступни уређаји да спроведу враћену политику
802.1X је однос између подносиоца на крајњој тачки, аутентикатора у прекидачу или приступној тачки и сервера за проверу аутентичности доступног преко RADIUS-а. Сервер може да врати VLAN или други резултат политике, а RFC 3580 описује то сигнализирање. Прекидач ипак мора да примени резултат на који се ослањате.
Тражите могућност, не протокол: динамичку доделу VLAN-а, ACL-ове који могу да се преузму или преусмеравање на регистрациони портал.
Услов 2: је ли извор идентитета меродаван и брз на промену
Чланство у групи у именику помаже само ако је то поље које пословање већ уређује када се улога промени. Ако додела улога живи у табели која се месечно копира у групе, приступ заснован на идентитету само аутоматизује застарели унос. Проверите и кашњење, јер нови запослени који не може да ради цео дан гори је исход од ручне промене порта. Провера уређаја, провера корисника и обоје заједно одвојени су избори, а штампачи требају изричит модел уместо необјашњеног заобилажења.
Запишите мапирање: која група даје коју политику и ко сме да је мења.
Услов 3: одлучите понашање при квару пре пилота
Свака примена има непроверено стање и стање недоступног сервера, а политика за оба је безбедносна одлука. Тихи повратак у поуздан сегмент уништава решење; тврд квар блокира рад током прекида. Уобичајена средина је ограничен сегмент само са интернет приступом и јасан пут до службе за подршку. Тестирајте повратак на стварном прекидачу или бежичној платформи, јер се подразумеване вредности добављача разликују.
Ако нико не може да опише повратак у једној реченици, решење није довршено.
Где се уклапа VPN
VPN проверава приступ преко непоузданог пута, а захтевати га и на канцеларијском LAN-у може бити намерна одлука о поверењу. Не уклања потребу за мапирањем група ни за сопственом ауторизацијом сервера датотека. Додаје и капацитет пролаза, клијентски софтвер и управљање сесијама оперативном оптерећењу.
VPN купљен да би се избегло уређивање VLAN-ова решио је погрешан проблем и додао два нова.
Табела, и једина ствар коју треба задржати
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Задржите сегменте за сервере, госте, уређаје и оперативну технологију. Те границе се тичу саобраћаја, а не радних места, и преживљавају сваку реорганизацију. Ставите права запослених у политику идентитета, где је промена улоге једно уређивање, и користите подржани механизам искључивања када уклањање мора да буде брзо.
Тест решења је премештање радног стола: треба да премести особу и њену опрему, а не да обнови њена овлашћења око другог прикључка.