Gắn quyền truy cập văn phòng với danh tính, không phải cổng switch
Phân đoạn, tiếp nhận và cấp quyền dịch vụ là những công việc khác nhau. Ba điều kiện quyết định liệu truy cập dựa trên danh tính có vượt qua VLAN theo cổng hay không.
Có hai thiết kế trên bàn. Một giữ nhân viên trong VLAN dựa trên vai trò và sửa cổng switch khi người ta chuyển chỗ. Cái còn lại xác thực phiên và để chính sách quyết định nó được chạm tới đâu. Lựa chọn không phải về tính hiện đại; nó là về việc ba điều kiện có đúng trong tòa nhà của bạn hay không. Nếu bất kỳ điều nào thất bại, thiết kế theo cổng không hề ngớ ngẩn, đó là cái bạn thực sự có thể vận hành.
Ba điều kiện là khả năng thực thi, chất lượng danh tính và hành vi khi có sự cố.
Điều kiện 1: thiết bị truy cập có thực thi được chính sách trả về không
802.1X là mối quan hệ giữa bên yêu cầu trên điểm cuối, bên xác thực trong switch hoặc điểm truy cập và máy chủ xác thực được tiếp cận qua RADIUS. Máy chủ có thể trả về một VLAN hoặc kết quả chính sách khác, và RFC 3580 mô tả tín hiệu đó. Switch vẫn phải triển khai kết quả mà bạn dựa vào.
Hãy yêu cầu một năng lực, không phải một giao thức: gán VLAN động, ACL có thể tải xuống hoặc chuyển hướng tới một cổng đăng ký.
Điều kiện 2: nguồn danh tính có thẩm quyền và thay đổi nhanh không
Tư cách thành viên nhóm trong thư mục chỉ hữu ích nếu đó là trường mà doanh nghiệp đã sửa khi vai trò thay đổi. Nếu việc gán vai trò nằm trong một bảng tính được sao chép vào các nhóm hàng tháng, truy cập dựa trên danh tính chỉ tự động hóa một đầu vào đã lỗi thời. Cũng hãy kiểm tra độ trễ, vì một nhân viên mới không thể làm việc cả ngày là kết quả tệ hơn một lần đổi cổng thủ công. Xác thực thiết bị, xác thực người dùng và cả hai cùng lúc là những lựa chọn riêng, và máy in cần một mô hình rõ ràng thay vì một đường vòng không giải thích.
Viết ánh xạ ra: nhóm nào cấp chính sách nào, và ai có thể thay đổi nó.
Điều kiện 3: quyết định hành vi khi có sự cố trước khi thí điểm
Mọi triển khai đều có trạng thái chưa xác thực và trạng thái máy chủ không khả dụng, và chính sách cho cả hai là một quyết định bảo mật. Rơi êm vào một phân đoạn tin cậy làm hỏng thiết kế; thất bại cứng chặn công việc trong lúc gián đoạn. Điểm giữa thường thấy là một phân đoạn hạn chế chỉ có truy cập internet và một lộ trình rõ ràng tới bộ phận hỗ trợ. Hãy thử việc rơi trên switch hoặc nền tảng không dây thật, vì giá trị mặc định của nhà cung cấp khác nhau.
Nếu không ai mô tả được việc rơi trong một câu, thiết kế chưa xong.
VPN nằm ở đâu
VPN xác thực truy cập qua một đường không tin cậy, và yêu cầu nó cả trên LAN văn phòng có thể là một quyết định tin cậy có chủ đích. Nó không loại bỏ nhu cầu ánh xạ nhóm hay cấp quyền của chính máy chủ tệp. Nó cũng thêm dung lượng cổng, phần mềm máy khách và quản lý phiên vào tải vận hành.
Một VPN mua để tránh sửa VLAN đã giải quyết sai vấn đề và thêm hai vấn đề mới.
Bảng, và điều duy nhất cần giữ
| Condition | Holds? | Design |
|---|---|---|
| Devices enforce returned policy | Yes | 802.1X with dynamic policy, stable segments |
| Devices cannot enforce it | No | Keep segments, add an application gateway |
| Identity source lags role changes | No | Fix provisioning before admission |
| No acceptable unauthenticated state | No | Restricted segment with a portal |
| Departures must lose access quickly | Yes | Dynamic disconnect plus credential revocation |
Giữ các phân đoạn cho máy chủ, khách, thiết bị và công nghệ vận hành. Những ranh giới đó nói về lưu lượng chứ không phải chức danh, và chúng sống sót qua mọi lần tái tổ chức. Đặt quyền của nhân viên vào chính sách danh tính, nơi thay đổi vai trò là một lần sửa, và dùng cơ chế ngắt kết nối được hỗ trợ khi việc gỡ bỏ phải nhanh.
Phép thử của thiết kế là một lần chuyển bàn: nó phải chuyển một người và thiết bị của họ, không phải dựng lại quyền của họ quanh một ổ cắm khác.