Knyt kontorsåtkomst till identitet, inte till switchporten
Segmentering, tillträde och tjänsteauktorisering är olika uppgifter. Tre villkor avgör om identitetsstyrd åtkomst slår VLAN per port.
Det ligger två designförslag på bordet. Det ena håller anställda i rollbaserade VLAN och ändrar switchportar när människor flyttar. Det andra autentiserar sessionen och låter policyn avgöra vad den får nå. Valet handlar inte om modernitet; det handlar om huruvida tre villkor gäller i din byggnad. Om något av dem fallerar är den portbaserade designen inte dum, det är den du faktiskt kan driva.
De tre villkoren är genomförbarhet, identitetskvalitet och beteende vid fel.
Villkor 1: kan åtkomstutrustningen genomdriva en returnerad policy
802.1X är en relation mellan en supplikant på slutpunkten, en autentiserare i switchen eller åtkomstpunkten och en autentiseringsserver som nås via RADIUS. Servern kan returnera ett VLAN eller ett annat policyresultat, och RFC 3580 beskriver den signaleringen. Switchen måste ändå implementera resultatet du förlitar dig på.
Be om en förmåga, inte ett protokoll: dynamisk VLAN-tilldelning, nedladdningsbara ACL:er eller en omdirigering till en registreringsportal.
Villkor 2: är identitetskällan auktoritativ och snabb att ändra
Gruppmedlemskap i katalogen hjälper bara om det är fältet som verksamheten redan redigerar när en roll ändras. Om rolltilldelningen bor i ett kalkylblad som kopieras till grupper varje månad, automatiserar identitetsstyrd åtkomst bara en inaktuell indata. Kontrollera även latensen, för en nyanställd som inte kan arbeta en hel dag är ett sämre utfall än en manuell portändring. Enhetsautentisering, användarautentisering och båda tillsammans är separata val, och skrivare behöver en explicit modell i stället för en oförklarad omväg.
Skriv ned mappningen: vilken grupp ger vilken policy och vem som får ändra den.
Villkor 3: bestäm beteendet vid fel före piloten
Varje utrullning har ett oautentiserat tillstånd och ett tillstånd där servern är otillgänglig, och policyn för båda är ett säkerhetsbeslut. Ett tyst fall tillbaka till ett betrott segment underminerar designen; ett hårt fel blockerar arbete under ett avbrott. Den vanliga mellanvägen är ett begränsat segment med bara internetåtkomst och en tydlig väg till supporten. Testa återfallet på den riktiga switchen eller den trådlösa plattformen, för leverantörernas standardvärden skiljer sig.
Om ingen kan beskriva återfallet i en mening är designen inte klar.
Var VPN passar in
En VPN autentiserar åtkomst över en icke betrodd väg, och att kräva den även på kontorets LAN kan vara ett medvetet förtroendebeslut. Den tar inte bort behovet av gruppmappning eller av filserverns egen auktorisering. Den lägger också till gatewaykapacitet, klientprogramvara och sessionshantering till den operativa belastningen.
En VPN köpt för att slippa redigera VLAN har löst fel problem och lagt till två nya.
Tabellen, och det enda som bör behållas
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Behåll segment för servrar, gäster, enheter och operativ teknik. De gränserna handlar om trafik och inte om jobbtitlar, och de överlever varje omorganisation. Lägg de anställdas rättigheter i identitetspolicyn, där en rolländring är en enda redigering, och använd den stödda frånkopplingsmekanismen när borttagning måste vara snabb.
Testet på designen är en skrivbordsflytt: den ska flytta en person och dennes utrustning, inte bygga om personens behörigheter kring ett annat uttag.