802.1X және NAC енгізу: «сұр» құрылғыларды қалай жабу

«Сұр» құрылғылар проблемасы қарапайым тілмен

«Сұр» құрылғылар — бұл желіге корпоративтік басқарылған компьютер ретінде емес, жай ғана қосылып қалған нәрсе: кабель енгізіп қойған, Wi‑Fi құпия сөзін білген, бос портты тауып алған. Мұндай құрылғылар жиі есепке алынбайды, уақтылы жаңартылмайды және қауіпсіздік тексерісінен өтпейді.

Көбіне бұл желілік принтерлер мен МФУ, IP‑телефондары, камералар мен датчиктер (IoT), қызметкерлердің жеке ноутбуктары мен смартфондары, сондай‑ақ біреу «уақытша» орнатқан мини‑свитчтер болады.

Негізгі мәселе көп жағдайда бір: коммутаторда ашық порт немесе жалпы құпия сөз бар Wi‑Fi. Розеткаға физикалық қолжетімділік алған немесе құпия сөзді білген адам қосылып, жұмыс станциялары, файлдық ресурстар немесе бухгалтерия орналасқан желіге шыға алады. Ниетсіз де болса, бұл тез арада хаосқа әкеледі: стол астындағы мини‑свитчтан петлялар, IP‑қайшылықтары, күтпеген үзілістер және кейде қорғалмаған құрылғыдан инфекция.

VLAN және MAC‑фильтрация жеткілікті сияқты көрінуі мүмкін, бірақ практикада бұл жиі аз. VLAN «кім қосылды?» деген сұраққа жауап бермейді, ал MAC оңай жалғанданады. Тіпті бүгін адал принтер ертең «бөтен» болуы мүмкін: оны орнынан жылжытып, портты ауыстырып немесе баптауларды қалпына келтіріп қойған шығар — сонда ол күтпеген жерге шығады.

Сондықтан порт бойынша қолжетімдікті бақылауды көбіне тыйымнан бастамайды, ал ретке келтіруден бастайды: желіде қандай құрылғылар бар, қайда орналасқан және қандай шартта қосыла алады дегенді анықтау.

Табыстың өлшемі қарапайым нәрселермен анықталады: қосылымдар есепке алынады және «қайда кім бар» туралы түсінік бар, құрылғылар сегменттелген (қызметкерлер, қонақтар, IoT), жаңа қосылымдар әдепкі бойынша тексерусіз өтпейді, ал оқиғалар мен күтпеген үзілістер саны айтарлықтай төмендейді.

802.1X және NAC: кім не үшін жауапты

802.1X тек бір нәрсе істейді: құрылғы немесе пайдаланушы кім екенін растамайынша желіге толық қолжетімділік бермейді. Тексеру клиент «жұмыс» VLAN‑ына кіріп, ішкі ресурстарды көру алдында портта (немесе Wi‑Fi‑да) жүзеге асады.

NAC (Network Access Control) — 802.1X айналасындағы «саясат миы». Ол тексеруден кейін қандай қолжетімділік беру керектігін шешеді: құрылғыны қай сегментке жіберу, оған не рұқсат ету, карантинге салу керек пе, қонаққа қандай қолжетімділік беру керек — барлығын анықтайды. Сондықтан осы екі бөлік әдетте бірге енгізіледі: 802.1X кірісті бақылайды, NAC тексеру нәтижесін түсінікті саясатқа айналдырады.

Қатысушылар ролі

Коммутатор (немесе Wi‑Fi контроллері) портына 802.1X қосып, тексеруді бастайды және шешімді қолданады. Оны есік алдындағы күзетшіге ұқсатып ойлаңыз.

RADIUS‑сервер (көп жағдайда NAC құрамдасы) сұрауды қабылдап, деректерді тексеріп, жауап қайтарады: «рұқсат ету», «бас тарту» немесе «шектеулермен рұқсат ету». Тіркелгі каталогы (мысалы, AD) пайдаланушы мен топтар туралы ақпарат береді, егер қолжетімділік рөлге байланса.

Тізбек әдетте мынадай: порт -> RADIUS/NAC -> (қажет болса) каталог -> жауап -> портқа қолдану.

802.1X‑ты қолдамайтындармен не істеу

Офисте әдетте принтерлер, телефондар, терминалдар, ескі ПК және басқа «дауысы жоқ» құрылғылар болады, олар 802.1X‑ты қолдамайды. Егер бұған алдын ала дайындалмасаңыз, саясат қосу жұмысын тоқтатады. Сондықтан бірнеше сценарий дайындау қажет:

• белгісіздер үшін қонақ немесе шектеулі VLAN;
• уақытша компромисс ретінде MAB (MAC арқылы) тексеруі;
• тек жаңартулар мен тіркеу порталы қолжетімді карантин VLAN;
• динамикалық VLAN және құрылғы профайлингі бойынша саясаттар.

Осылайша «белгісіздер» маңызды сегменттерден оқшауланады, бірақ бірінші күнде барлық жерде ірі тоқтап қалу болмайды.

Қайдан бастау: инвентаризация және желінің дайын болуы

Порт бойынша қолжетімдікті енгізуден бұрын екі сұраққа жауап беру маңызды: желіге нақты не қосылған және инфрақұрылым порттағы тексеруді көтере ме. Бұдан тыс 802.1X жиі күтпеген ажыратуларға әкеледі.

Біріншіден, желінің дайындық деңгейін тексеріңіз. Маңыздысы — 802.1X‑ты қолдай ма ғана емес, аударма кезеңінде құтқаратын режимдер бар ма: бір портта бірнеше құрылғы, телефондарға бөлек логика, қонақ және карантин VLAN‑дары.

Тексеру үшін минимум:

• қолжетімділік коммутаторлары: 802.1X, MAB, multi‑auth (немесе баламасы);
• Wi‑Fi: WPA2‑Enterprise/WPA3‑Enterprise және RADIUS‑пен интеграция;
• контроллерлер/точкалар: пайдаланушы/құрылғы атын дұрыс беру және VLAN/саясаттар қолдану;
• RADIUS: резервіленген, түсінікті топтар мен ережелер;
• клиенттер: supplicant қосулы (Windows/macOS), саясат арқылы баптау жоспары бар.

Кейін критикалық аймақтарды бөліңіз: бухгалтерия, серверлік, жұмыс орындары, келісім бөлмелері — барлығы қауіпсіздік пен қызмет көрсетуге әсер ететін бөлшектер. Инвентаризацияны дәл осы жерлерден бастау орынды — қате бірден көрінеді.

Параллель жинақтаңыз: құрылғы түрлері тізімі. Брендтер бойынша емес, мінез‑құлықтары бойынша: кім 802.1X‑ты қолдайды, кім қолдамайды. Әдетте ПК мен ноутбуктар (домендік және жеке), IP‑телефондар, принтерлер мен МФУ, камералар мен терминалдар, сондай‑ақ серверлер мен сақтау құрылғылары жеткілікті.

Соңында сәйкестендіру моделін таңдаңыз. Жұмыс орындары үшін «компьютер немесе пайдаланушы» моделі көп қолданылады, ал қауіпсіздік тұрғысынан ең сенімді — сертификаттар. 802.1X‑ты қолдамайтын құрылғылар үшін алдын ала уақытша схема (мысалы, бөлек рөлмен MAB) жоспарлап қойыңыз, солайша саясатты қосқан күн жұмысты тоқтатпайды.

Архитектура және саясаттар: қалай жұмыс істейді

Типтік схема қарапайым: құрылғы портқа қосылады, коммутатор «сен кімсің?» деп сұрайды, сұрауды RADIUS‑қа жібереді, RADIUS қандай қолжетімділік беру керектігін шешеді. Негізгі жұп әрдайым: порт — RADIUS — саясат.

Негізгі таңдау — аутентификация әдісі. Қызметкерлер мен басқарылатын ноутбуктер үшін ең сенімді — EAP‑TLS: қолжетімділік сертификат арқылы беріледі және бір пароль жеткіліксіз болады. Оңайырақ, бірақ аз қауіпсіз нұсқа — PEAP/MSCHAPv2 (логин/пароль). Практикада аралас режим жиі қолданылады: домендік ПК‑лар мен ноутбуктарға сертификаттар, ескі құрылғыларға уақытша PEAP.

RADIUS тек «өткізу/өткізбеу» ғана қайтармайды. Ол желіге қажетті деңгейдегі қолжетімділікті тағайындайтын атрибуттарды қайтарады: VLAN, ACL және басқа шектеулер. Саясаттарды рөлдер бойынша құру ыңғайлы. Мысалы:

• қызметкер — «жұмыс үшін қажет» қағидасы бойынша корпоративтік жүйелерге қолжетімділік;
• қонақ — тек интернет немесе қатты шектелген сервистер;
• құрылғы (принтер, камера, терминал) — тек қажетті серверлер/поджелілерге жету;
• әкімші — бөлек ережелер, қатал есеп, қосымша қорғаныс;
• карантин — белгсіздер мен «тексеруден өтпегендерге» арналған.

«Кім желіні бұзды?» деп ойланбау үшін аудитті бастапқыдан енгізген дұрыс. Минимум ретінде жинауға тиіс нәрселер: кім қашан қосылды, қай порттан және қандай әдіспен (EAP‑TLS немесе PEAP), қандай рөл алған және қай атрибуттар (VLAN/ACL) шыққаны. Сонда, егер бухгалтерияда кенеттен «сұр» мини‑ПК пайда болса, журналдардан порт пен уақыт анықталып, оны карантинге жіберуге болады, бүтін бір этажты тоқтатпай-ақ.

Пилот тәуекелсіз: алдымен бақылау, сосын шектеу

Көп жағдайда сәтсіздіктің себебі — барлық жерде бірден қатал саясатты қосуға тырысу. Қауіпсіздеу — кішкентай аймақта бастап, порттарға шын мәнінде не қосылып жатқанын көру. Бұл тоқтауды азайтады және шектеулерді енгізбей тұрып ережелерді баптауға көмектеседі.

Желі бөлігін таңдаңыз, мұнда салдарлары минималды, бірақ сценарий «өмірдегідей» болады. Әдетте бір этаж немесе 20–50 жұмыс орны бар бөлім жарайды: ПК, принтерлер, телефондар және бірнеше ерекшеленген құрылғылар болуы тиіс. Бұл аймақтың меншік иесі (бөлім меңгерушісі) және кері байланыс үшін бір арна болуы маңызды.

Алғашқы кезеңде бақылау режимін қосыңыз: аутентификация жүреді, бірақ қате болса порт жабылмайды. RADIUS немесе NAC журналдарында кім 802.1X өтеді, кім MAB арқылы өтеді және қандай құрылғылар мүлде жауап қатпайтыны көрінеді.

Пилотты жиі ақаулық келетін сценарийлер бойынша тексеріңіз:

• доменге кіру және парольді өзгерту;
• DHCP алу және DNS қолжетімділігі;
• желілік принтерлерге басып шығару;
• IP‑телефония (дауыс және PoE, егер бар болса);
• қонақ қосылымдар және Wi‑Fi арқылы «айлакерлік» жолдардың пайда болмауын бақылау.

Бақылаудан шектеуге өтпес бұрын өзгерістер терезесін келісіп, оралу жоспарын дайындаңыз: пилот порттарда 802.1X‑ты қалай өшіру керек, бұрынғы VLAN‑дарды қалай қайтару және жаңа ACL‑тарды қалай алып тастау керек (егер қосқан болсаңыз). Сондай‑ақ жауапты тұлғаларды тағайындаңыз: логтарды кім қарайды, коммутаторларға кім жауап береді, пайдаланушылармен кім байланысады.

3–7 жұмыс күн бақылаудан кейін нақты статистика мен «сұр» құрылғылар тізімі пайда болады. Одан әрі сюрпризсіз қамту аймағын кеңейтуге болады.

Қадамдық енгізу: алғашқы порттардан бүкіл желіге дейін

802.1X‑қа көшу біржолғы қосу емес, миграция сияқты болғаны жақсы. Мақсат — алдымен порттарға нақты не қосылатынын көру, содан кейін ғана қолжетімділікті қатаңдату. Осылайша жоба бір күнде миллион шағым тудырмайды.

Бір коммутатордан (және бірнеше порттан) қалай бастау

Шағын учаскеден бастаңыз: тест этажында 1–2 коммутатор және бірнеше қызметкер порттары. Бұл порттарда 802.1X‑ты жұмсақ режимде қосыңыз: тексеру өтпесе порт өшпеуі тиіс. Құрылғы бойынша жабдыққа байланысты бұл fail‑open режимі немесе толығымен тыйымның орнына минималды қолжетімділік беру болуы мүмкін.

Сосын белгісіздер үшін «қауіпсіз дәліз» қосыңыз — әдетте қонақ VLAN, тексеруден өтпегендер солға түседі. Қызметкерлерге қысқа әрі түсінікті нұсқаулық дайындаңыз: не болды, өздері не істеуі керек және қайда жүгіну керектігі.

802.1X‑ты қолдамайтын құрылғылар үшін MAB‑ты тек нақты порттарда қосыңыз. Барлығына «жағдай бойынша» MAB қоссаңыз, сіз саясаттан айналып өтуді өзіңіз жасайсыз.

Қалай қатаңдату керек, істі тоқтатпай

Бірнеше портты сенімді іске қосқаннан кейін құрылғы профайлингін қосыңыз (DHCP, LLDP, OUI бойынша белгілер). Осылайша рөлдер нақты дәл болады: «корпоративті ПК», «IP‑телефон», «принтер», «қонақ». Мысалы, жұмыс станциялары домендік сервистер мен файл ресурстарына шыға алады, ал принтерлер тек басып шығару серверіне жетеді.

Содан кейін қонақ VLAN‑ының құқықтарын біртіндеп тарылтыңыз: алдымен тіркеу мен қолдауға қажетті нәрсені қалдырыңыз, одан кейін артықтарын жауып тастаңыз.

Этажтар мен филиалдарға масштабтау кезінде әрбір шегіністі тіркеңіз. Жай ғана реестр жеткілікті: құрылғы түрі мен иесі, неге 802.1X қолдамайтыны және мерзімі, берілген рөл мен рұқсаттар, қосылу орны (порт/коммутатор/площадка), кім мақұлдаған.

Осылайша «сұр» құрылғылар басқарылатын базаға айналады, шексіз төтенше істеп жүретін жұмысқа емес.

Жұмысты тоқтататын шегіністер

Желі әдетте 802.1X‑тан емес, ұмытылған құрылғылар мен сервистерден құлайды — олар тексерістен өтпейді немесе барлыққа керек. Сондықтан жобада әрдайым шегіністер қарастырылған: олар уақытша өмірді жеңілдетеді, бірақ басқарылатын және шектелген болуы керек.

Көптеген «дауысы жоқ» құрылғылар (принтерлер, МФУ, камералар, бақылау жүйесінің контроллерлері) 802.1X‑ты қолдамайды. Олар үшін әдетте MAB қолданылады және минималды құқықтармен бөлек рөл беріледі. Ең бастысы — бұл бірден «саңылауға» айналмауы керек: MAB уақытша шара және тек қауіптер бақыланатын жерде, қолжетімділік нүктелік болуы тиіс.

IP‑телефониямен де оңай қателесуге болады. Телефон 802.1X‑ты қолдауы мүмкін, немесе қолдамайтыны бар, бірақ телефон артындағы ПК әдетте қолдайды. Типтік схемада телефон voice VLAN алады және трафик басымдылығы бар, ал компьютер data VLAN арқылы өтеді. Оны дұрыс ойластырмасаңыз, телефоннан дыбыс жоғалуы немесе VLAN ауысуы сияқты мәселелер туғызылуы мүмкін.

Терминалдар, өндірістік контроллерлер және медициналық жабдық бөлек әңгіме. Оларды тез жаңарту немесе қайта баптау болмайды, ал тоқтау маңызды. Мұндай құрылғыларға бөлек рөл немесе сегмент жасап, тек қажетті бағыттар рұқсат етіледі.

Қонақтар мен мердігерлерді де алдын ала қарастырыңыз. Жұмыс жасап тұрған нұсқа — уақытша тіркелгі немесе қатал шектелген қонақ қолжетімділігі, бос портқа бақылаусыз мүмкіндік бермеу.

Соңында негізгі сервистерді бұзуға болмайды. Саясаттар DHCP, DNS, NTP, домен контроллерлері мен AD‑ға қолжетімділік, ОС пен антивирустың жаңартулары, басып шығару және сканерлеуді, егер қолданылса тіркеу порталына қолжетімділікті бұғаттамауы тиіс.

Практикалық мысал: «тек тексерілгендерге рұқсат беру» режимін қосып, принтерлерді ұмыттыңыз делік. Таңертең басып шығару кезегі пайда болады, ал қателік «NAC‑та». Егер принтерлер алдын ала MAB‑рольге кірген болса және тек принт сервері мен DNS‑ке қолжетімді болса, жұмыс тоқтамайтын еді, тәуекел басқаруда қалады.

Саясатты қосқанда жиі кездесетін қателіктер мен тұзақтар

Саясат «қағазда дұрыс» көрінуі мүмкін, бірақ телефон, принтер, қонақ ноутбуктері, келісім бөлмелер сияқты күнделікті тармақтарды бұзуы мүмкін. Қателіктер көбіне ұйымдастырушылық және баптаумен байланысты.

Ең айқын қауіп — белгісіздер үшін тым жұмсақ запас опция қалдыру, мысалы барлығы үшін MAC‑аутентификацияны рұқсат ету. Сонда кез келген «сұр» құрылғы оңай рұқсат етілген болып көрінеді: бақылауды қосқандайсың, бірақ есік ашық қалады.

Не жиі проблема тудырады:

• пилотсыз және оралу терезесінсіз барлық порттарға қатал режимді қосу;
• телефонияға арналған voice VLAN мен бөлек ережелерді ойластырмау;
• қонақ сценарийін дайындамау және қолдау қызметіне сұраныстардың көп болуы;
• барлығына MAB рұқсат беру және бақылау маңызын жоғалту;
• шегіністер реестрін жүргізбеу, ешкім бір айдан кейін неге кей порттар өзгеше жұмыс істейтінін білмейді.

Оңай мысал: сатылым бөлімінде «интернет жоғалды». Бұл үстелде IP‑телефондар бар, олардың артында ПК қосылған, ал порт енді тек ПК‑ға тексеру талап етеді. Телефон дұрыс рөл алмай қалады, дауыс шықпай қалады, және ПК үшін де VLAN ауысуы үзілген тізбекті жасайды.

Жұмысты тоқтатпау үшін алдын ала шегіністер ережесін келісіңіз: қай құрылғылар 802.1Xсыз рұқсат етіледі, қай порттарда, қандай мерзімге және кім мақұлдайды. Әрбір шегіністі бір жерде міндетті түрде тіркеңіз — әйтпесе «уақытша» жеңілдіктер тез тұрақты саңылауға айналады.

802.1X қосар алдында қысқа чек‑тізім

Порттарды бақылау режиміне ауыстырмас бұрын тексеретін және оралу жолы бар қауіпсіз алаңның бар екеніне көз жеткізіңіз. Сәтсіздіктер әдетте «үлкен технологиялардан» емес, бөлшектерден: уақыт, резерв, DHCP, шегіністер және қолдау жоқтығынан туындайды.

Тексеру, ол әдетте тоқтатудан құтқарады:

• пилотты аймақ анықталған, оралу жоспары келісілген (кім және қалай баптауларды қайтарады, қанша уақыт алады, конфигурация бэкаптары қайда);
• RADIUS тұрақты жұмыс істейді және жалғыз жол емес: резервке ауысу тексерілген, барлық VLAN‑тан жетімді, сертификаттар (EAP‑TLS болса) дұрыс, клиенттерде, коммутаторларда және серверлерде уақыт NTP арқылы синхрондалған;
• карантин немесе қонақ VLAN «тірі» тексерілген: DHCP мекенжай береді, DNS жұмыс істейді, қолжетімділік тек қажет ресурстармен шектелген, ішкі жүйелерге шығу жоқ;
• шегіністер тізімі келісілген және тіркелген: принтерлер, IP‑телефондар, терминалдар, IoT, арнайы жабдық. Әр түр үшін допуск тәсілі және жауапты адам көрсетілген;
• мониторинг пен журналдар дайын: пайдаланушы немесе MAC, порт, коммутатор, уақыт және бас тарту себебі көрінеді. Қызметкерлер үшін «желі жоғалған жағдайда не істеу керек» деген қысқа нұсқаулық және 1‑ші деңгей қолдауы үшін түсінікті сценарий бар.

Саясатты қатаңдатпас бұрын қарапайым тест: пилот аймақта «жақсы» ноутбук, қонақ ноутбук және типтік «сұр» құрылғы (мысалы, принтер) қосып көріңіз. Әрқайсысында нәтиже болжанатын және қайталағыш болуы тиіс — осыдан кейін ғана қамту көлемін кеңейтуге болады.

Офистегі енгізу мысалы

200 қызметкерге арналған офис: кейбір жұмыс орындары корпоративтік ноутбуктар, кейбірі — жеке құрылғылар, көптеген желілік принтерлер мен МФУ, плюс IP‑телефония. Бұрын кез келген адам бос розеткаға кабель салып, «жай компьютер» ретінде желіге қосыла алатын.

Команда 802.1X пен NAC‑ты кезеңмен енгізуді шешті, жұмысты тоқтатпау үшін.

4 аптаға жоспар

Апта 1. Коммутаторлар мен RADIUS‑та аутентификация оқиғаларын жинауды қосты, бірақ блоктауларсыз. Сонымен қатар қосылым түрлері картасы алынған және саясатқа түсетін рөлдер анықталған: корпоративтік ПК (домен, сертификат), қызметкер BYOD (аккаунт/портал және шектеулі қолжетімділік), принтер/МФУ (MAB немесе статикалық профиль), IP‑телефон (бөлек дауыс саясаты).

Апта 2. Бір этажда пилот: порттарда тексеру қосылды, бірақ жұмсақ режимде. Сәтсіз құрылғылар қонақ немесе карантин VLAN‑ына жіберілді, онда тек тіркеу порталы мен жаңартулар сияқты қажетті қызметтерге рұқсат болды. Осы кезеңде алғашқы шегіністер анықталды: 802.1X қолдамайтын ескі принтерлер, бір қойма терминалы, стол астындағы «тыныш» хабтар.

Апта 3–4. Телефония мен принтерлер үшін бөлек ережелер қосылып, кейбір құрылғыларға микробағдарламаларды жаңартап, қолжетімділік қатаңдатылды: қонақ VLAN ішкі ресурстарды көрмейтін болды, «белгісіздер» тек ең қажеттіге ғана рұқсат алды.

Әсерді қалай өлшеді

Әр аптада сымды порттардағы «белгісіздердің» үлесі, «басқа құрылғы қосылды» оқиғаларының саны, оқиғадан шешімге дейінгі орташа уақыт, сондай‑ақ саясаттардан туындаған қолдау сұрауларының саны және себептері бақыланды.

Жақсы белгі — белгісіздердің саны азаюы және шегіністердің ресми рөлдерге ауысуы, хаотикалық рұқсаттар тізімі емес.

Келесі қадамдар: нәтижені бекіту және масштабтау

Пилот аяқталғаннан кейін нәтижені «жай ғана тарқату» емес, бекіту маңызды. Қандай аймақтарды бірінші кезекте 802.1X‑қа ауыстыратыныңыздың қарапайым жол картасы керек. Әдетте басқарылатын сегменттерден (бас кеңседегі жұмыс орындары) «құбылмалы» аймақтарға (келісім бөлмелері, қоймалар, филиалдар, өндірістік аймақтар) өту ұтымды.

«Бір ақиқат көзі» ережесін енгізу пайдалы. Қолжетімді рөлдер, аутентификация нұсқаулары және шегіністер тізімін бір құжатта сақтаңыз — ол ИБ‑ге, желі инженерлеріне және қолдауға түсінікті болуы тиіс. Сонда коммутатор ауыстырғанда немесе бөлім көшкенде неге бір құрылғыға рұқсат берілгенін қайтадан анықтаудың қажеті болмайды.

Масштабтау жабдыққа соқпай қалмас үшін қай жерде 802.1X/MAB, қазіргі шифрлау немесе қажетті микробағдарламалар жоқ екенін алдын ала жоспарлап, жаңартуларды бекітіңіз. Бұл клиенттерге де қатысты: ескі ПК, жұқа клиенттер және ескірген ОС‑тар жиі айналып өту мен қолмен «костыльдар» үшін себеп болады.

Жұмыс орындарын стандарттау бөлек қадам: зоопаркті азайтсаңыз, саясат оңайырақ және қолдау сұраулары азаяды: біртекті ОС бейнелері, жаңартулар процесі, сертификат беру тәсілі, айналым мерзімдері, supplicant конфигурациялары, сымды және Wi‑Fi үшін негізгі профильдер, жаңа қызметкерлер мен мердігерлерді қосу рәсімі.

Егер жұмыс орындарын немесе серверлерді жаңартсаңыз, саясаттармен үйлесімділікті алдын ала тексеріңіз: 802.1X драйверлері, сертификаттарды қолдау, домен талаптары және MDM талаптары.

Егер жоба инфрақұрылымды жаңартуымен қатар жүрсе, оны «бір жоба» ретінде ұйымдастыру ыңғайлы: желі, қолжетімділік саясаты және құрылғылар паркі бір‑бірімен үйлесімді болуы керек. Мысалы, GSE.kz жүйелік интегратор және Қазақстандағы ПК/сервер өндірушісі ретінде жоспарлау кезеңінде қосылып, порт бойынша қолжетімдікті бақылау, жұмыс орындарын жаңарту және сатып алу процестерінің эксплуатацияға кедергі келтірмеуін қамтамасыз етеді.