ผูกการเข้าถึงสำนักงานกับตัวตน ไม่ใช่กับพอร์ตสวิตช์
การแบ่งส่วน การรับเข้า และการอนุญาตบริการเป็นงานที่ต่างกัน เงื่อนไขสามข้อตัดสินว่าการเข้าถึงที่ขับเคลื่อนด้วยตัวตนดีกว่า VLAN ต่อพอร์ตหรือไม่
มีสองแบบบนโต๊ะ แบบหนึ่งเก็บพนักงานไว้ใน VLAN ตามบทบาทและแก้ไขพอร์ตสวิตช์เมื่อคนย้าย อีกแบบหนึ่งพิสูจน์ตัวตนของเซสชันและปล่อยให้นโยบายตัดสินว่าสามารถเข้าถึงอะไรได้ การเลือกนี้ไม่เกี่ยวกับความทันสมัย แต่เกี่ยวกับว่าเงื่อนไขสามข้อเป็นจริงในอาคารของคุณหรือไม่ หากข้อใดข้อหนึ่งล้มเหลว การออกแบบตามพอร์ตก็ไม่ใช่เรื่องโง่ นั่นคือสิ่งที่คุณปฏิบัติงานได้จริง
เงื่อนไขสามข้อคือความสามารถในการบังคับใช้ คุณภาพของตัวตน และพฤติกรรมเมื่อเกิดความล้มเหลว
เงื่อนไข 1: อุปกรณ์เข้าถึงสามารถบังคับใช้นโยบายที่ส่งกลับมาได้หรือไม่
802.1X คือความสัมพันธ์ระหว่างผู้ขอที่ปลายทาง ผู้พิสูจน์ตัวตนในสวิตช์หรือจุดเชื่อมต่อ และเซิร์ฟเวอร์พิสูจน์ตัวตนที่เข้าถึงผ่าน RADIUS เซิร์ฟเวอร์สามารถส่งคืน VLAN หรือผลลัพธ์นโยบายอื่น และ RFC 3580 อธิบายการส่งสัญญาณนั้น สวิตช์ยังต้องนำผลลัพธ์ที่คุณพึ่งพาไปใช้งาน
ขอความสามารถ ไม่ใช่โปรโตคอล การกำหนด VLAN แบบไดนามิก ACL ที่ดาวน์โหลดได้ หรือการเปลี่ยนเส้นทางไปยังพอร์ทัลลงทะเบียน
เงื่อนไข 2: แหล่งข้อมูลตัวตนมีอำนาจและเปลี่ยนแปลงได้เร็วหรือไม่
การเป็นสมาชิกกลุ่มในไดเรกทอรีช่วยได้ก็ต่อเมื่อเป็นฟิลด์ที่ธุรกิจแก้ไขอยู่แล้วเมื่อบทบาทเปลี่ยน หากการกำหนดบทบาทอยู่ในสเปรดชีตที่คัดลอกไปยังกลุ่มทุกเดือน การเข้าถึงที่ขับเคลื่อนด้วยตัวตนก็เพียงทำให้ข้อมูลเก่าเป็นอัตโนมัติ ตรวจสอบความหน่วงด้วย เพราะพนักงานใหม่ที่ไม่สามารถทำงานได้ทั้งวันเป็นผลลัพธ์ที่แย่กว่าการเปลี่ยนพอร์ตด้วยมือ การพิสูจน์ตัวตนอุปกรณ์ การพิสูจน์ตัวตนผู้ใช้ และทั้งสองอย่างรวมกันเป็นทางเลือกที่แยกจากกัน และเครื่องพิมพ์ต้องการแบบจำลองที่ชัดเจนแทนการข้ามที่ไม่มีการอธิบาย
เขียนการแมปไว้: กลุ่มใดให้สิทธิ์นโยบายใด และใครเปลี่ยนได้
เงื่อนไข 3: ตัดสินพฤติกรรมเมื่อเกิดความล้มเหลวก่อนการนำร่อง
ทุกการติดตั้งมีสถานะที่ยังไม่พิสูจน์ตัวตนและสถานะที่เซิร์ฟเวอร์ใช้งานไม่ได้ และนโยบายสำหรับทั้งสองเป็นการตัดสินใจด้านความปลอดภัย การถอยกลับอย่างเงียบ ๆ ไปยังเซกเมนต์ที่เชื่อถือได้ทำให้การออกแบบล้มเหลว ความล้มเหลวแบบแข็งขัดขวางการทำงานระหว่างที่ระบบขัดข้อง ทางสายกลางปกติคือเซกเมนต์จำกัดที่เข้าถึงอินเทอร์เน็ตเท่านั้นและเส้นทางที่ชัดเจนไปยังศูนย์ช่วยเหลือ ทดสอบการถอยกลับบนสวิตช์หรือแพลตฟอร์มไร้สายจริง เพราะค่าเริ่มต้นของผู้ขายแตกต่างกัน
หากไม่มีใครอธิบายการถอยกลับได้ในหนึ่งประโยค การออกแบบยังไม่เสร็จ
VPN เข้าที่ตรงไหน
VPN พิสูจน์ตัวตนการเข้าถึงผ่านเส้นทางที่ไม่น่าเชื่อถือ และการกำหนดให้ใช้บน LAN ของสำนักงานด้วยอาจเป็นการตัดสินใจเรื่องความไว้วางใจโดยเจตนา ไม่ได้ขจัดความจำเป็นในการแมปกลุ่มหรือการอนุญาตของเซิร์ฟเวอร์ไฟล์เอง ยังเพิ่มความจุเกตเวย์ ซอฟต์แวร์ไคลเอนต์ และการจัดการเซสชันให้กับภาระงานปฏิบัติการ
VPN ที่ซื้อมาเพื่อหลีกเลี่ยงการแก้ไข VLAN แก้ปัญหาผิดและเพิ่มปัญหาใหม่สองข้อ
ตาราง และสิ่งเดียวที่ควรเก็บไว้
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
เก็บเซกเมนต์ไว้สำหรับเซิร์ฟเวอร์ แขก อุปกรณ์ และเทคโนโลยีปฏิบัติการ ขอบเขตเหล่านั้นเกี่ยวกับทราฟฟิกไม่ใช่ตำแหน่งงาน และทนต่อการจัดองค์กรใหม่ใด ๆ วางสิทธิ์ของพนักงานไว้ในนโยบายตัวตน ซึ่งการเปลี่ยนบทบาทคือการแก้ไขครั้งเดียว และใช้กลไกการตัดการเชื่อมต่อที่รองรับเมื่อต้องถอดออกอย่างรวดเร็ว
การทดสอบการออกแบบคือการย้ายโต๊ะ ต้องย้ายคนและอุปกรณ์ของเขา ไม่ใช่สร้างสิทธิ์ของเขาใหม่รอบแจ็คอีกตัว