Обход 802.1х в LAN

[ColdSUN]

Это всё классно, только дорого. Свичи поддерживающие macsec на всех портах, и на клиентских, и на upлинках сильно дороже, чем без этой технологии. Это даже без учёта стоимости внедрения.

[VitalKoshalew]

Мне кажется, этот подход (.1x и открытая сеть за ним) постепенно должен отмереть. Даже в традиционных топологиях давно рекомендуется микросегментация, которая уже сняла бы большую часть проблем, затронутых в статье — что вы насканируете в сети, если компьютер клерка, через который вы, скорее всего, подключились, имеет доступ к десятку сервисов (порт+хост) и больше ни к чему?

Но главное, после массового перевода всех на удалённую работу, встаёт вопрос — зачем нам две инфраструктуры? Зачем нам этот недо-VPN в LAN? Пусть LAN будет просто такой же недоверенной сетью, как WiFi в coworking-е или дома у работников. Доступ — только к VPN-серверам и прочему необходимому минимуму, как из кафе. Конечно, отпадает необходимость в мега-железе и сертифицированных специалистах при нём, что может вызвать сопротивление, но бизнес рано или поздно поймёт выгоду, особенно на фоне пересмотра парадигмы офиса как такового — из места размещения рабовтников с 9 до 5 многие офисы превратятся в coworking-и, места для обучения, коллективных мероприятий и т.д. с соответствующим уменьшением их размеров и затрат. Руководству логично будет задать и следующий вопрос, а зачем нам в офисе нового поколения эти ваши навороты за «великие тысячи», если большую часть времени работники работают из дома, где ничего этого нет?

[ascheck]

Доступ ко внутренним ресурсам из сети офиса по VPN?

[VitalKoshalew]

Да.

[ascheck]

Это не будет слишком дорого с точки зрения нагрузки на VPN-шлюз? Одно дело - удалённые сотрудники, которые редко сгенерируют гигабит трафика, ибо редко интернет-канал в офисе компании такой ширины. Другое дело - внутренние хосты. Когда все массово перешли на удалёнку, одним из популярных сценариев стало обеспечение доступа по RDP на рабочие станции, а внутренний трафик остался.

[VitalKoshalew]

Ну я выше расписал, к чему всё идёт. Доступ по RDP к рабочей станции в пустом кабинете это временная, экстремальная мера. Следующим шагом является перенос рабочего образа либо на ноутбук либо в VDI и переход к офису нового поколения.

Широкий канал к серверным ресурсам может быть нужен только для очень специфического набора задач, например, видеомонтаж. Для видеоконференций и просмотра обучающих роликов хватает 10 Мбит/с в пи́ке и 1 Мбит/с в среднем (а то и вовсе порядка 0.1 Мбит/с). Все АРМ и прочие задачи как раз уже перенесены в browser. Те, кто в своё время вложился в "gigabit to desktop" так и не дождались востребованности этих вложений, уже и поддержка тех коммутаторов заканчивается, а необходимость в гигабите так и не появилась.

И, в любом случае, всем работникам надо иметь доступ к работе из дома, а дома у них каналы отнюдь не гигабитные. Если у них всё работает из дома, будет работать и во время визитов в офис-"coworking" нового поколения. Возможно, перевод всех на удалённую работу потребует более широкого Internet-канала, ну так он так и так потребует. Стоимость VPN-серверов/шлюзов вряд ли сравнима со всем богатством (в прямом и переносном смысле), что описано в статье. Тут, скорее, от бедности логично заменить все эти технологии на пару виртуалок с бесплатным Strongswan, чем разориться на VPN-шлюзах и не разориться на недо-VPN на основе описанного в статье.

[ascheck]

Мой опыт говорит совершенно иное. Но он не очень богатый, поэтому я не буду настаивать на своём. :-)

[amarao]

Я так и не понял, как это всё защитит от бриджа с с L2 NAT'ом. Сидят два пользователя, один легитимный, второй "присоединился на халяву", пользуются шаренным NAT'ом. Сессии разруливаются с помощью contrack'а, который L2 адреса перезаписывает (вместо L3, а может и вместе с L3). Всё, что видит сторонний наблюдатель - RTT стало повыше.

[ColdSUN]

Так это же легитимный пользователь должен руками свой доступ к сети расшарить. Должен иметь права на это и осознанно это сделать.

[GritsanY]

В общем-то, да, ColdSUN прав — не давайте таких прав легитимным пользователям. Если это софтовая точка доступа Wi-Fi — за этим можно следить с помощью легитимных точек, если через провод раздаётся сеть — запрещать создавать новые сетевые интерфейсы и следить за аномалиями трафика с помощью NBA решений (те же nmap-сканы отлично ловятся).

[GritsanY]

На 2021 год появилась ли поддержка 802.1AE хоть в одной клиенткой ОС? Насколько я слышал ещё года 3 назад, у клиента Cisco AnyConnect есть такая фича. Альтернатив так и не появилось?