Прив'яжіть офісний доступ до особи, а не до порту комутатора
Сегментація, допуск і авторизація сервісів — різні завдання. Три умови вирішують, чи перевершує доступ на основі особи VLAN на порт.
На столі два проєкти. Один тримає співробітників у VLAN на основі ролей і редагує порти комутатора, коли люди переїжджають. Інший автентифікує сеанс і дозволяє політиці вирішувати, куди можна дістатися. Вибір не про сучасність; він про те, чи виконуються три умови у вашій будівлі. Якщо хоч одна не виконується, проєкт на основі портів не дурний, це той, який ви справді можете експлуатувати.
Три умови — це забезпеченість виконання, якість особи та поведінка при збої.
Умова 1: чи можуть пристрої доступу виконати повернуту політику
802.1X — це зв'язок між запитувачем на кінцевій точці, автентифікатором у комутаторі або точці доступу та сервером автентифікації, досяжним через RADIUS. Сервер може повернути VLAN або інший результат політики, і RFC 3580 описує цю сигналізацію. Комутатор усе одно має реалізувати результат, на який ви покладаєтеся.
Просіть можливість, а не протокол: динамічне призначення VLAN, завантажувані ACL або перенаправлення на портал реєстрації.
Умова 2: чи є джерело особи авторитетним і швидким до зміни
Членство в групі в каталозі допомагає лише якщо це те поле, яке бізнес уже редагує, коли змінюється роль. Якщо призначення ролей живе в таблиці, яка щомісяця копіюється в групи, доступ на основі особи лише автоматизує застарілі дані. Перевірте й затримку, бо новий співробітник, який не може працювати цілий день, — гірший результат, ніж ручна зміна порту. Автентифікація пристрою, автентифікація користувача й обидві разом — окремі вибори, а принтери потребують явної моделі, а не непоясненого обходу.
Запишіть зіставлення: яка група дає яку політику і хто може її змінити.
Умова 3: визначте поведінку при збої до пілота
Кожне впровадження має неавтентифікований стан і стан недоступності сервера, і політика для обох — рішення з безпеки. Тихий відкат у довірений сегмент руйнує проєкт; жорсткий збій блокує роботу під час перерви. Звичайна середина — обмежений сегмент із доступом лише до інтернету та ясний шлях до служби підтримки. Перевірте відкат на реальному комутаторі або бездротовій платформі, бо заводські значення постачальників різняться.
Якщо ніхто не може описати відкат одним реченням, проєкт не завершено.
Де місце VPN
VPN автентифікує доступ через недовірений шлях, і вимагати його також в офісній LAN може бути свідомим рішенням про довіру. Він не скасовує потребу в зіставленні груп або у власній авторизації файлового сервера. Він також додає пропускну здатність шлюзу, клієнтське програмне забезпечення й керування сеансами до операційного навантаження.
VPN, куплений, щоб уникнути редагування VLAN, вирішив не ту проблему і додав дві нові.
Таблиця і одна річ, яку варто зберегти
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Збережіть сегменти для серверів, гостей, пристроїв і операційних технологій. Ці межі про трафік, а не про посади, і вони переживають будь-яку реорганізацію. Помістіть права співробітників у політику особи, де зміна ролі — одне редагування, і використовуйте підтримуваний механізм відключення, коли видалення має бути швидким.
Перевірка проєкту — це переїзд стола: він має перемістити людину та її обладнання, а не перебудувати її дозволи навколо іншого роз'єму.