Nasa Wi-Fi ng opisina at hinihingian pa rin ng VPN? Ito ang dahilan

Ang laptop ay nasa corporate SSID, tinanggap ang certificate prompt, at may web app na humihingi pa rin ng VPN. Mukhang doble ang trabaho, at kung minsan ay ganoon nga. Ang dalawang login ay karaniwang nagpapatupad ng magkaibang desisyon, at ang tanging paraan upang malaman kung karapat-dapat ang pangalawa sa lugar nito ay itanong kung ano ang binabago nito.

Ang pagsali sa network ay desisyon sa pagtanggap

Ang pag-deploy ng 802.1X ay sumasagot sa isang tanong: maaari bang kumonekta ang device o user na ito sa network na ito? Ipinapasa ng access point ang mga kredensyal sa isang RADIUS server, at ang sagot ay maaaring magdala ng mga attribute na naglalagay sa session sa isang partikular na VLAN o naglalapat ng filter. Iyon ay pagtanggap at paghahati, hindi awtorisasyon para sa isang partikular na aplikasyon.

Kapag tinanggap na ang session, ang wireless link ay naka-encrypt sa pagitan ng client at ng access point. Nagtatapos doon ang proteksyon, sa gilid ng wired network.

Lahat ng lampas sa puntong iyon ay ordinaryong routing sa loob ng gusali, kasama ang internal na maabot na pinapayagan ng segment.

Ano ang talagang pinoprotektahan ng EAP-TTLS

EAP-TTLS ay gumagawa ng TLS tunnel habang nagpapatotoo at nagpapatakbo ng panloob na paraan sa loob nito. Ang panloob na paraan ay madalas na PAP, at ang paglitaw nito sa isang disenyo ay hindi nangangahulugang dumadaan ang password sa hangin bilang plaintext, dahil ang TLS tunnel ang nagdadala nito. Kailangan pa ring i-verify ng client ang pagkakakilanlan ng server at magtiwala sa tamang CA, at ang pamilyar na SSID ay hindi ang verification na iyon. Basahin ang pagpili ng panloob na paraan bilang format ng kredensyal, hindi bilang pahayag tungkol sa panlabas na encryption.

Ito ay palitan ng pagpapatotoo, hindi data tunnel para sa susunod na trapiko ng laptop.

Kapag natapos ang pagpapatotoo, wala na ang TLS tunnel at ang mga packet ng client ay naglalakbay sa tinanggap na segment. Ang pagkalito sa dalawa ay ugat ng paniniwalang ginagawa na ng Wi-Fi encryption ang trabaho ng VPN.

Ang VPN ay pangalawa, mas makitid na desisyon

Ang VPN ay sumasagot sa ibang tanong: aling mga pribadong resource ang maaaring maabot ng pagkakakilanlang ito, at sa ilalim ng anong mga kundisyon? Nagtatapos ito sa isang gateway na may sariling patakaran, sariling mga pagsusuri ng pagkakakilanlan at kadalasan sariling mga kinakailangan sa kalagayan ng device. Ang maabot na set pagkatapos tumayo ng tunnel ay karaniwang mas maliit kaysa sa internal na network ng gusali at partikular sa papel.

Kaya nga ang isang papel sa pagpapanatili ay maaaring tanggapin sa Wi-Fi tulad ng lahat at kailangan pa rin ng tunnel upang maabot ang isang subnet ng pamamahala. Ang desisyon sa Wi-Fi ay ginawa sa access point; ang isang ito ay ginagawa sa gateway.

Ang parehong yugto ay maaaring naka-encrypt at nagpapatupad pa rin ng hindi magkakaugnay na patakaran.

Saan nababasag ang tiwalang nakabatay sa lokasyon

Ang pagtrato sa network ng opisina bilang implicit na mapagkakatiwalaan ay nabibigo sa simpleng dahilan: ang lokasyon sa network ay katangian ng koneksyon, hindi ng tao. Sinasabi ito nang tuwiran ng gabay sa zero-trust ng NIST, at iyon ang dahilan kung bakit pinagpapasyahan ang access sa resource sa bawat kahilingan at hindi sa bawat gusali. Sinumang sumali sa parehong SSID ay nagmamana ng parehong lokasyon. Iyon din ang dahilan kung bakit ang isang komprometidong laptop sa network ng kawani ay karapat-dapat sa parehong pagdududa tulad ng isa sa network ng bisita.

Ang praktikal na bunga ay kailangan pa ring umiral ang awtorisasyon ng aplikasyon. Ang VPN na nagbibigay ng buong subnet, kasama ang isang aplikasyon na nagtitiwala sa bawat kahilingan mula sa subnet na iyon, ay isang kredensyal na layo mula sa masamang araw.

Wala sa dalawang layer ang pumapalit sa isa, dahil sumasagot sila sa mga tanong sa magkaibang saklaw.

Paano malalaman kung karapat-dapat ang pangalawang login sa lugar nito

Itanong sa may-ari ng network ang dalawang bagay: ano ang nagiging maabot pagkatapos kumonekta ang VPN, at anong mga kundisyon ng pagkakakilanlan o device ang sinusuri upang payagan ito? Pagkatapos ay i-verify ang mga sagot sa pamamagitan ng pagsubok kung ano ang aktwal na tumutugon. Kung hindi binabago ng tunnel ang maabot o ang katiyakan, maaaring gawi sa pagpapatakbo ito at hindi kontrol, at iyon ay desisyon ng may-ari, hindi isang bagay na dapat laktawan ng user.

Maghanap din ng mga hindi sinasadyang direktang landas, dahil ang resource na maabot nang walang tunnel ay ginagawang palamuti ang tunnel.

Idokumento ang bawat hangganan at ang layunin nito, at hindi na kailangang hulaan ng susunod na tao kung bakit may dalawang login.