Ofis erişimini anahtarlama portuna değil, kimliğe bağlayın
Segmentasyon, kabul ve hizmet yetkilendirmesi farklı işlerdir. Üç koşul, kimlik odaklı erişimin port başına VLAN'ları geçip geçmediğine karar verir.
Masada iki tasarım var. Biri çalışanları role dayalı VLAN'larda tutar ve insanlar taşındığında anahtar portlarını düzenler. Diğeri oturumu doğrular ve neye erişebileceğine politikanın karar vermesine izin verir. Seçim modernlikle ilgili değil; üç koşulun binanızda geçerli olup olmadığıyla ilgili. Bunlardan biri başarısız olursa, port tabanlı tasarım aptalca değil, gerçekten işletebileceğiniz tasarım odur.
Üç koşul uygulanabilirlik, kimlik kalitesi ve hata anındaki davranıştır.
Koşul 1: erişim cihazları döndürülen bir politikayı uygulayabiliyor mu
802.1X, uç noktadaki bir talep eden, anahtardaki veya erişim noktasındaki bir doğrulayıcı ve RADIUS üzerinden ulaşılan bir kimlik doğrulama sunucusu arasındaki ilişkidir. Sunucu bir VLAN veya başka bir politika sonucu döndürebilir ve RFC 3580 bu sinyalleşmeyi açıklar. Anahtar yine de güvendiğiniz sonucu uygulamak zorundadır.
Protokol değil yetenek isteyin: dinamik VLAN ataması, indirilebilir ACL'ler veya bir kayıt portalına yönlendirme.
Koşul 2: kimlik kaynağı yetkili ve hızla değiştirilebilir mi
Dizindeki grup üyeliği yalnızca rol değiştiğinde işletmenin zaten düzenlediği alan ise yardımcı olur. Rol ataması her ay gruplara kopyalanan bir elektronik tabloda yaşıyorsa, kimlik odaklı erişim yalnızca eskimiş bir girdiyi otomatikleştirir. Gecikmeyi de kontrol edin, çünkü bir gün boyunca çalışamayan yeni bir çalışan, elle port değişikliğinden daha kötü bir sonuçtur. Cihaz kimlik doğrulaması, kullanıcı kimlik doğrulaması ve ikisi birlikte ayrı seçeneklerdir ve yazıcılar açıklanmamış bir atlatma yerine açık bir modele ihtiyaç duyar.
Eşlemeyi yazın: hangi grup hangi politikayı veriyor ve kim değiştirebilir.
Koşul 3: hata anındaki davranışa pilot öncesinde karar verin
Her kurulumun kimliği doğrulanmamış bir durumu ve sunucunun kullanılamadığı bir durumu vardır ve her ikisinin politikası bir güvenlik kararıdır. Güvenilen bir segmente sessiz geri düşüş tasarımı boşa çıkarır; sert bir hata kesinti sırasında işi bloke eder. Olağan orta yol, yalnızca internet erişimi olan kısıtlı bir segment ve yardım masasına açık bir yoldur. Geri düşüşü gerçek anahtarda veya kablosuz platformda test edin, çünkü satıcı varsayılanları farklıdır.
Kimse geri düşüşü tek cümleyle tanımlayamıyorsa tasarım bitmemiştir.
VPN nereye oturur
Bir VPN, güvenilmeyen bir yol üzerinden erişimi doğrular ve ofis LAN'ında da bunu zorunlu kılmak bilinçli bir güven kararı olabilir. Grup eşlemesi veya dosya sunucusunun kendi yetkilendirmesi ihtiyacını ortadan kaldırmaz. Ayrıca ağ geçidi kapasitesi, istemci yazılımı ve oturum yönetimini operasyonel yüke ekler.
VLAN düzenlemesinden kaçınmak için alınan bir VPN yanlış sorunu çözdü ve iki yenisini ekledi.
Tablo ve saklanması gereken tek şey
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Sunucular, konuklar, cihazlar ve operasyonel teknoloji için segmentleri koruyun. Bu sınırlar iş unvanlarıyla değil trafikle ilgilidir ve her yeniden yapılanmaya dayanır. Çalışanların haklarını, rol değişikliğinin tek bir düzenleme olduğu kimlik politikasına koyun ve kaldırmanın hızlı olması gerektiğinde desteklenen bağlantı kesme mekanizmasını kullanın.
Tasarımın testi bir masa taşımasıdır: bir kişiyi ve ekipmanını taşımalı, izinlerini başka bir prize göre yeniden kurmamalıdır.