Atribuição de VLAN baseada em portas vs. baseada em identidade em casa

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

Port-Based vs Identity-Based VLAN Assignment at Home - Zima Store Online

Escolha a atribuição de VLAN baseada na porta para uma pequena rede doméstica com tomadas de parede fixas, servidores, câmaras e eletrodomésticos. Escolha a atribuição baseada na identidade quando o mesmo utilizador ou dispositivo gerido tiver de receber uma política de rede consistente em várias portas ou pontos de acesso - e quando uma interrupção da autenticação puder ser gerida em segurança.

Defina o que determina a decisão de atribuição

Um design baseado na porta coloca a porta de um switch de acesso numa VLAN configurada. Qualquer endpoint comum sem etiqueta ligado a essa porta herda o mesmo domínio de difusão, endereçamento e política de firewall a montante. A ligação física funciona efetivamente como regra de classificação.

Um design baseado na identidade utiliza normalmente 802.1X, um autenticador como um switch ou ponto de acesso e um serviço RADIUS. Depois de o utilizador ou dispositivo provar a sua identidade, a resposta da política pode atribuir dinamicamente uma VLAN ou outra função de acesso.

Nenhum dos métodos substitui as regras de firewall entre VLANs. A atribuição determina onde um endpoint é colocado; a política de encaminhamento determina a que destinos e serviços pode aceder.

Compare a mobilidade, a escala e a administração diária

As portas estáticas são fáceis de interpretar numa topologia pequena. Uma porta NAS pode permanecer na VLAN de armazenamento, uma porta de câmara na VLAN de IoT e uma tomada suplente pode ser desativada. A resolução de problemas começa pelo cabo, número da porta, associação à VLAN, âmbito DHCP e regra de firewall.

A identidade acompanha o endpoint em vez da tomada. Um portátil gerido pode receber a mesma função de equipa ou de dispositivo fidedigno num escritório, numa sala de estar ou numa rede sem fios, sem alterar manualmente cada porta de acesso. Isto torna-se valioso quando as portas são partilhadas ou os utilizadores mudam frequentemente de local.

Utilize a tabela comparativa para distinguir a mobilidade útil da sobrecarga do plano de controlo.

Cenário	Opção mais adequada	Limite da decisão
Servidores e eletrodomésticos fixos	Baseada na porta	Simples, visível e fácil de restaurar
Dispositivos geridos que mudam de local	Baseada na identidade	A política acompanha a identidade verificada
Endpoints domésticos mistos	Híbrida	Manter explícitos o fallback e a quarentena

Modele as falhas de autenticação e os dispositivos não geridos

O acesso baseado na identidade acrescenta certificados ou credenciais, configuração do supplicant, sincronização horária, acessibilidade do RADIUS, atributos de política e renovação. Uma falha em qualquer camada pode deixar um cabo e uma porta de switch funcionais sem conseguir admitir o endpoint.

Impressoras, televisores, câmaras, consolas de jogos e ferramentas de recuperação podem não suportar o método 802.1X escolhido. Se for permitido um fallback baseado em MAC, trate-o como um mecanismo de compatibilidade operacional e não como uma identidade forte, porque um endereço MAC pode ser observado e imitado.

Uma comparação de arquiteturas VLAN relacionada da ZimaSpace explica onde devem ficar os limites de difusão e de encaminhamento à medida que um laboratório cresce.

Uma visão geral das VLANs independente distingue a atribuição estática por porta da classificação dinâmica por dispositivo ou utilizador.

Featured

ZimaCube 2 NAS Pessoal Cloud para Casa

ZimaCube2

Escolha o sistema de políticas mais pequeno que consiga recuperar

Utilize a atribuição baseada na porta quando os endpoints são estacionários, as alterações no agregado familiar são raras e um mapa de portas for mais fácil de restaurar do que uma infraestrutura de identidades. Bloqueie as portas não utilizadas, documente os trunks e evite confiar numa tomada apenas por estar dentro de casa.

Utilize a atribuição baseada na identidade quando os endpoints geridos mudam efetivamente de local, uma política por utilizador ou dispositivo reduzir o trabalho repetitivo e existirem autenticação redundante e uma política de fallback testada. Mantenha a infraestrutura de rede e o serviço RADIUS acessíveis através de um caminho de recuperação.

Uma solução híbrida é normalmente o design doméstico mais prático: VLANs estáticas para a infraestrutura e os eletrodomésticos fixos, acesso baseado na identidade para um conjunto limitado de portáteis geridos ou clientes de laboratório e tratamento explícito de convidados ou quarentena para tudo o resto.