Unganisha ufikiaji wa ofisi na utambulisho, si na bandari ya swichi
Ugawaji, uandikishaji na uidhinishaji wa huduma ni kazi tofauti. Masharti matatu huamua kama ufikiaji unaoongozwa na utambulisho unashinda VLAN kwa kila bandari.
Kuna miundo miwili mezani. Mmoja huweka wafanyakazi katika VLAN zinazotegemea majukumu na hurekebisha bandari za swichi watu wanapohama. Mwingine huthibitisha kipindi na huacha sera iamue kile inachoweza kufikia. Chaguo si kuhusu usasa; ni kuhusu kama masharti matatu yanashikilia katika jengo lako. Iwapo lolote litashindwa, muundo unaotegemea bandari si upumbavu, ni ule unaoweza kuuendesha kwa kweli.
Masharti matatu ni uwezo wa kutekeleza, ubora wa utambulisho na tabia wakati wa kushindwa.
Sharti 1: je, vifaa vya ufikiaji vinaweza kutekeleza sera iliyorudishwa
802.1X ni uhusiano kati ya mwombaji kwenye kituo cha mwisho, kithibitishaji katika swichi au kituo cha ufikiaji na seva ya uthibitishaji inayofikiwa kwa RADIUS. Seva inaweza kurudisha VLAN au matokeo mengine ya sera, na RFC 3580 inaeleza ishara hiyo. Swichi bado inapaswa kutekeleza matokeo unayoyategemea.
Omba uwezo, si itifaki: ugawaji wa VLAN unaobadilika, ACL zinazoweza kupakuliwa, au uelekezaji upya kwenye lango la usajili.
Sharti 2: je, chanzo cha utambulisho ni madhubuti na cha kubadilika haraka
Uanachama wa kikundi katika saraka husaidia tu ikiwa ni sehemu ambayo biashara tayari inairekebisha jukumu linapobadilika. Ikiwa ugawaji wa majukumu unaishi katika lahajedwali inayonakiliwa kwenye vikundi kila mwezi, ufikiaji unaoongozwa na utambulisho unafanya kiotomatiki tu pembejeo zilizopitwa na wakati. Angalia pia ucheleweshaji, kwa sababu mfanyakazi mpya asiyeweza kufanya kazi siku nzima ni matokeo mabaya kuliko mabadiliko ya bandari kwa mkono. Uthibitishaji wa kifaa, uthibitishaji wa mtumiaji na vyote viwili pamoja ni chaguo tofauti, na printa zinahitaji modeli iliyo wazi badala ya njia ya kupita isiyoelezwa.
Andika ramani: kikundi kipi kinatoa sera ipi, na nani anaweza kuibadilisha.
Sharti 3: amua tabia wakati wa kushindwa kabla ya jaribio
Kila usambazaji una hali isiyothibitishwa na hali ya seva kutopatikana, na sera ya zote mbili ni uamuzi wa usalama. Kurudi kimyakimya kwenye sehemu inayoaminika kunaharibu muundo; kushindwa kwa nguvu huzuia kazi wakati wa hitilafu. Njia ya kati ya kawaida ni sehemu iliyozuiwa yenye ufikiaji wa intaneti pekee na njia iliyo wazi kwa dawati la msaada. Jaribu kurudi kwenye swichi au jukwaa lisilo na waya halisi, kwa sababu chaguo-msingi za wauzaji zinatofautiana.
Iwapo hakuna anayeweza kueleza kurudi kwa sentensi moja, muundo haujakamilika.
VPN inafaa wapi
VPN huthibitisha ufikiaji kupitia njia isiyoaminika, na kuihitaji pia kwenye LAN ya ofisi kunaweza kuwa uamuzi wa uaminifu wa kukusudia. Haiondoi hitaji la ramani za vikundi au uidhinishaji wa seva ya faili yenyewe. Pia huongeza uwezo wa lango, programu ya mteja na usimamizi wa vipindi kwenye mzigo wa uendeshaji.
VPN iliyonunuliwa ili kuepuka kuhariri VLAN imetatua tatizo lisilo sahihi na kuongeza mawili mapya.
Jedwali, na kitu kimoja cha kuhifadhi
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Hifadhi sehemu kwa seva, wageni, vifaa na teknolojia ya uendeshaji. Mipaka hiyo inahusu trafiki na si vyeo vya kazi, na inastahimili upangaji upya wowote. Weka haki za wafanyakazi katika sera ya utambulisho, ambapo mabadiliko ya jukumu ni uhariri mmoja, na tumia utaratibu wa kukatwa unaotumika wakati uondoaji unapaswa kuwa wa haraka.
Jaribio la muundo ni kuhamisha dawati: inapaswa kuhamisha mtu na vifaa vyake, si kujenga upya ruhusa zake kuzunguka jeki lingine.