Ofis kirishini kalit portiga emas, shaxsiyatga bog'lang
Segmentatsiya, qabul va xizmat avtorizatsiyasi turli ishlardir. Uch shart shaxsiyatga asoslangan kirish port bo'yicha VLAN'lardan ustunmi yoki yo'qmi hal qiladi.
Stolda ikkita loyiha bor. Biri xodimlarni rolga asoslangan VLAN'larda ushlab turadi va odamlar ko'chganda kalit portlarini tahrirlaydi. Ikkinchisi sessiyani autentifikatsiya qiladi va siyosat nimaga yetishi mumkinligini hal qilishiga imkon beradi. Tanlov zamonaviylik haqida emas; uch shart binongizda amal qiladimi-yo'qmi haqida. Agar ulardan biri muvaffaqiyatsiz bo'lsa, portga asoslangan loyiha ahmoqona emas, bu haqiqatan boshqara oladigan loyihangiz.
Uch shart — ijro etilish imkoniyati, shaxsiyat sifati va nosozlikdagi xatti-harakat.
Shart 1: kirish qurilmalari qaytarilgan siyosatni ijro eta oladimi
802.1X — bu oxirgi nuqtadagi so'rovchi, kalit yoki kirish nuqtasidagi autentifikator va RADIUS orqali erishiladigan autentifikatsiya serveri o'rtasidagi munosabat. Server VLAN yoki boshqa siyosat natijasini qaytarishi mumkin, va RFC 3580 bu signalizatsiyani tavsiflaydi. Kalit baribir siz tayanadigan natijani amalga oshirishi kerak.
Protokol emas, qobiliyat so'rang: dinamik VLAN tayinlash, yuklab olinadigan ACL'lar yoki ro'yxatdan o'tish portaliga yo'naltirish.
Shart 2: shaxsiyat manbasi obro'li va tez o'zgaradimi
Katalogdagi guruh a'zoligi faqat rol o'zgarganda biznes allaqachon tahrirlaydigan maydon bo'lsa yordam beradi. Agar rol tayinlash har oy guruhlarga ko'chiriladigan jadvalda yashasa, shaxsiyatga asoslangan kirish faqat eskirgan kiritmani avtomatlashtiradi. Kechikishni ham tekshiring, chunki bir kun ishlay olmaydigan yangi xodim portni qo'lda almashtirishdan ham yomonroq natija. Qurilma autentifikatsiyasi, foydalanuvchi autentifikatsiyasi va ikkalasi birga alohida tanlovlar, printerlarga esa tushuntirilmagan aylanib o'tish o'rniga aniq model kerak.
Xaritani yozing: qaysi guruh qaysi siyosatni beradi va kim uni o'zgartira oladi.
Shart 3: uchishdan oldin nosozlikdagi xatti-harakatni hal qiling
Har bir joriy etishda autentifikatsiya qilinmagan holat va server mavjud bo'lmagan holat bor, ikkalasi uchun siyosat xavfsizlik qaroridir. Ishonchli segmentga jimgina qaytish loyihani yo'q qiladi; qattiq nosozlik uzilish vaqtida ishni bloklaydi. Odatiy o'rta yo'l — faqat internetga kirish imkoni bo'lgan cheklangan segment va yordam stoliga aniq yo'l. Qaytishni haqiqiy kalit yoki simsiz platformada sinab ko'ring, chunki sotuvchilarning standart qiymatlari farq qiladi.
Agar hech kim qaytishni bir jumlada tasvirlay olmasa, loyiha tugallanmagan.
VPN qayerda joylashadi
VPN ishonchsiz yo'l orqali kirishni autentifikatsiya qiladi va uni ofis LAN'ida ham talab qilish qasddan qabul qilingan ishonch qarori bo'lishi mumkin. Bu guruhlar xaritasiga yoki fayl serverining o'z avtorizatsiyasiga bo'lgan ehtiyojni yo'qotmaydi. Shuningdek operatsion yuklamaga shlyuz sig'imi, mijoz dasturiy ta'minoti va sessiyalarni boshqarishni qo'shadi.
VLAN'larni tahrirlashdan qochish uchun sotib olingan VPN noto'g'ri muammoni hal qildi va ikkita yangisini qo'shdi.
Jadval va saqlanishi kerak bo'lgan yagona narsa
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Serverlar, mehmonlar, qurilmalar va operatsion texnologiya uchun segmentlarni saqlang. Bu chegaralar lavozimlar emas, trafik haqida, va har qanday qayta tashkil etishga bardosh beradi. Xodimlar huquqlarini shaxsiyat siyosatiga joylashtiring, u yerda rol o'zgarishi bitta tahrir, va olib tashlash tez bo'lishi kerak bo'lganda qo'llab-quvvatlanadigan uzish mexanizmidan foydalaning.
Loyihaning sinovi — stolni ko'chirish: u odamni va uning jihozlarini ko'chirishi kerak, boshqa rozetka atrofida uning ruxsatlarini qayta qurmasligi kerak.