Ofis Wi-Fi tarmog’ida bo’lib, baribir VPN so’raladimi? Sababi shu

Noutbuk kompaniya SSID’sida, sertifikat so’rovi qabul qilingan, ammo veb-ilova hali ham VPN so’ramoqda. Bu ikki marta ishlashga o’xshaydi va ba’zan haqiqatan ham shunday. Ikki kirish odatda turli qarorlarni bajaradi, ikkinchisi o’z o’rnini oqlaydimi yoki yo’qmi — buni bilishning yagona yo’li u nimani o’zgartirishini so’rashdir.

Tarmoqqa qo’shilish — qabul qilish qarori

802.1X joriy etilishi bitta savolga javob beradi: bu qurilma yoki foydalanuvchi ushbu tarmoqqa ulanadimi? Kirish nuqtasi hisob ma’lumotlarini RADIUS serveriga uzatadi va javob sessiyani muayyan VLANga joylashtiradigan yoki filtrni qo’llaydigan atributlarni olib kelishi mumkin. Bu — qabul qilish va segmentatsiya, hech qanday aniq ilova uchun avtorizatsiya emas.

Sessiya qabul qilingach, simsiz aloqa mijoz va kirish nuqtasi o’rtasida shifrlanadi. Himoya shu yerda, simli tarmoq chekkasida tugaydi.

Bu nuqtadan keyingi hamma narsa bino ichidagi oddiy marshrutlash bo’lib, segment qanday ichki yetib borishga ruxsat bersa, shunga bog’liq.

EAP-TTLS aslida nimani himoya qiladi

EAP-TTLS autentifikatsiya jarayonida TLS tunnelini quradi va uning ichida ichki usulni ishlatadi. Ichki usul ko’pincha PAP bo’ladi va uning dizaynda uchrashi parolning havoda ochiq matn sifatida o’tishini anglatmaydi, chunki uni TLS tunnelining o’zi olib o’tadi. Mijoz baribir serverning identifikatsiyasini tekshirishi va to’g’ri CAga ishonishi kerak, tanish SSID esa bunday tekshiruv emas. Ichki usul tanlovini hisob ma’lumotlari formati deb o’qing, tashqi shifrlash haqidagi bayonot deb emas.

Bu autentifikatsiya almashinuvi, noutbukning keyingi trafigi uchun ma’lumot tunneli emas.

Autentifikatsiya tugagach, TLS tunnel yo’qoladi va mijoz paketlari qabul qilingan segment bo’ylab harakatlanadi. Ikkalasini chalkashtirish “Wi-Fi shifrlash allaqachon VPN vazifasini bajaradi” degan ishonchning ildizidir.

VPN — ikkinchi, torroq qaror

VPN boshqa savolga javob beradi: bu shaxs qaysi xususiy resurslarga va qanday shartlarda yeta oladi? U o’z siyosati, o’z identifikatsiya tekshiruvlari va ko’pincha o’z qurilma holati talablari bo’lgan shlyuzda tugaydi. Tunnel ko’tarilgandan keyingi yetib borish to’plami odatda bino ichki tarmog’idan kichikroq va rolga xos bo’ladi.

Shu sababli texnik xizmat roli boshqalar kabi Wi-Fi’ga qabul qilinishi mumkin, ammo boshqaruv subnetiga yetish uchun baribir tunnel kerak bo’ladi. Wi-Fi qarori kirish nuqtasida qabul qilingan; bu qaror esa shlyuzda qabul qilinadi.

Ikkala bosqich ham shifrlangan bo’lishi mumkin, ammo baribir bir-biriga bog’liq bo’lmagan siyosatlarni bajaradi.

Joylashuvga asoslangan ishonch qayerda buziladi

Ofis tarmog’ini so’zsiz ishonchli deb hisoblash oddiy sababga ko’ra muvaffaqiyatsiz bo’ladi: tarmoq joylashuvi — bu ulanishning xususiyati, odamning emas. NISTning zero-trust qo’llanmasi buni to’g’ridan-to’g’ri ta’kidlaydi, shuning uchun resursga kirish bino bo’yicha emas, har bir so’rov bo’yicha hal qilinadi. Xuddi shu SSID’ga qo’shilgan har kim xuddi shu joylashuvni meros qilib oladi. Shu sababli xodimlar tarmog’idagi buzilgan noutbuk ham mehmonlar tarmog’idagi qurilma kabi shubha uyg’otishga loyiqdir.

Amaliy natija shuki, ilova darajasidagi avtorizatsiya baribir mavjud bo’lishi kerak. Butun subnetni beradigan VPN va o’sha subnetdan kelgan har qanday so’rovga ishonadigan ilova — yomon kundan faqat bitta hisob ma’lumoti uzoqlikda.

Hech bir qatlam ikkinchisini almashtirmaydi, chunki ular turli qamrovdagi savollarga javob beradi.

Ikkinchi kirish o’zini oqlaydimi, buni qanday aniqlash mumkin

Tarmoq egasiga ikkita savol bering: VPN ulangandan keyin nima yetib borish mumkin bo’ladi va unga ruxsat berish uchun qanday identifikatsiya yoki qurilma shartlari tekshiriladi? So’ngra javoblarni haqiqatda nima javob berishini sinab ko’rib tekshiring. Agar tunnel na yetib borishni, na kafolatni o’zgartirsa, u nazorat emas, balki operatsion odat bo’lishi mumkin va bu foydalanuvchi aylanib o’tishi kerak bo’lgan narsa emas, balki egasining qarori.

Bundan tashqari, tasodifiy to’g’ridan-to’g’ri yo’llarni ham qidiring, chunki tunnelsiz yetib boriladigan resurs tunnelni shunchaki bezakka aylantiradi.

Har bir chegarani va uning maqsadini hujjatlashtiring, shunda keyingi odam nega ikkita kirish borligini taxmin qilishi shart bo’lmaydi.