Iugnay ang access sa opisina sa pagkakakilanlan, hindi sa port ng switch
Magkaibang gawain ang segmentasyon, pagtanggap at awtorisasyon ng serbisyo. Tatlong kondisyon ang nagtatakda kung nalalampasan ng access na batay sa pagkakakilanlan ang VLAN bawat port.
May dalawang disenyo sa mesa. Ang isa ay nagpapanatili sa mga empleyado sa VLAN na batay sa papel at nag-e-edit ng mga port ng switch kapag lumilipat ang mga tao. Ang isa ay nagpapatunay ng session at hinahayaang magpasya ang patakaran kung ano ang maaaring maabot. Ang pagpili ay hindi tungkol sa modernidad; ito ay tungkol sa kung tatlong kondisyon ang umiiral sa gusali mo. Kung mabibigo ang alinman sa mga ito, ang disenyong batay sa port ay hindi hangal, ito ang aktuwal na maaari mong patakbuhin.
Ang tatlong kondisyon ay ang pagpapatupad, kalidad ng pagkakakilanlan at pag-uugali kapag nabigo.
Kondisyon 1: kayang ipatupad ng mga aparato ng access ang isang patakarang ibinalik
Ang 802.1X ay isang ugnayan sa pagitan ng humihiling sa dulo, ng nagpapatunay sa switch o access point at ng server ng pagpapatunay na naaabot sa pamamagitan ng RADIUS. Maaaring ibalik ng server ang isang VLAN o ibang resulta ng patakaran, at inilalarawan ng RFC 3580 ang signal na iyon. Kailangan pa ring ipatupad ng switch ang resultang iyong inaasahan.
Humingi ng kakayahan, hindi protokol: dinamikong paglalaan ng VLAN, mga ACL na maaaring i-download, o pag-redirect sa isang portal ng pagpaparehistro.
Kondisyon 2: awtoritatibo ba ang pinagmulan ng pagkakakilanlan at mabilis baguhin
Ang pagiging miyembro ng grupo sa direktoryo ay nakakatulong lamang kung iyon ang field na ine-edit na ng negosyo kapag nagbago ang papel. Kung ang paglalaan ng papel ay naninirahan sa isang spreadsheet na kinokopya sa mga grupo buwan-buwan, ang access na batay sa pagkakakilanlan ay awtomatikong ginagawa lamang ang lumang input. Suriin din ang latency, dahil ang bagong empleyado na hindi makapagtrabaho nang buong araw ay mas masamang resulta kaysa sa manu-manong pagbabago ng port. Magkaibang pagpipilian ang pagpapatunay ng aparato, pagpapatunay ng gumagamit at pareho, at ang mga printer ay nangangailangan ng malinaw na modelo sa halip na hindi ipinaliwanag na bypass.
Isulat ang pagmamapa: aling grupo ang nagbibigay ng aling patakaran, at sino ang maaaring magbago nito.
Kondisyon 3: magpasya sa pag-uugali kapag nabigo bago ang pilot
Bawat deployment ay may hindi napatunayang estado at estado na hindi available ang server, at ang patakaran para sa dalawa ay desisyon sa seguridad. Ang tahimik na pagbagsak sa isang pinagkakatiwalaang segment ay tinatalo ang disenyo; ang matigas na pagkabigo ay humaharang sa trabaho habang may outage. Ang karaniwang gitnang landas ay isang limitadong segment na may access sa internet lamang at malinaw na ruta patungo sa help desk. Subukan ang pagbagsak sa tunay na switch o wireless platform, dahil nagkakaiba ang default ng mga vendor.
Kung walang makapaglalarawan ng pagbagsak sa isang pangungusap, hindi pa tapos ang disenyo.
Saan umaangkop ang VPN
Ang VPN ay nagpapatunay ng access sa isang hindi pinagkakatiwalaang landas, at ang paghingi nito sa LAN ng opisina ay maaaring sadyang desisyon sa pagtitiwala. Hindi nito inaalis ang pangangailangan sa pagmamapa ng grupo o sa awtorisasyon ng file server mismo. Nagdaragdag din ito ng kapasidad ng gateway, software ng kliyente at pamamahala ng session sa operational load.
Ang VPN na binili upang maiwasan ang pag-edit ng VLAN ay nalutas ang maling problema at nagdagdag ng dalawang bago.
Ang talahanayan, at ang tanging bagay na dapat itago
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Panatilihin ang mga segment para sa mga server, bisita, aparato at operational technology. Ang mga hangganang iyon ay tungkol sa trapiko at hindi sa mga titulo ng trabaho, at nakakaligtas sa anumang muling pagsasaayos. Ilagay ang mga karapatan ng empleyado sa patakaran ng pagkakakilanlan, kung saan ang pagbabago ng papel ay isang edit lamang, at gamitin ang sinusuportahang mekanismo ng pagdiskonekta kapag kailangang maging mabilis ang pag-alis.
Ang pagsubok ng disenyo ay isang paglipat ng mesa: dapat nitong ilipat ang isang tao at ang kanyang kagamitan, hindi muling itayo ang kanyang mga pahintulot sa paligid ng ibang jack.