Конфигурация на VLAN и мрежова сигурност: пълно ръководство

Информатек Дигитал » Ресурси » Конфигурация на VLAN и мрежова сигурност: пълно ръководство

Ако управлявате корпоративна мрежа, знаете, че поддържането на бърза и сигурна работа на всичко не е лесна задача. С разрастването на екипите, услугите и приложенията, навсякъде започват да се появяват излъчвания, пречки и проблеми със сигурността.

Един от най-мощните инструменти за подреждане на този хаос са VLAN (виртуални локални мрежи) . Добре проектирани и конфигурирани, те ви позволяват да сегментирате мрежата, да намалите ненужния трафик, да изолирате отдели и да защитите критични услуги... но лошо внедрени, те могат да се превърнат в сито за сигурност или административен кошмар.

Какво точно е VLAN и защо е важна за сигурността?

VLAN е по същество отделна логическа мрежа , която работи на една и съща физическа инфраструктура: едни и същи комутатори, същото окабеляване, едни и същи Wi-Fi точки за достъп. Логично, устройствата във VLAN се държат така, сякаш са в отделна LAN мрежа, дори ако са разположени на различни етажи или в различни сгради.

Това позволява на група компютри, сървъри, IP телефони, принтери или IP камери да формират свой собствен домейн за излъчване , изолиран от други групи. Пакетите за излъчване и мултикаст остават в рамките на тяхната VLAN мрежа, вместо да претоварват цялата мрежа, което подобрява производителността и улеснява контрола кой кого може да вижда.

В бизнес среда е обичайно да се създават VLAN мрежи за различни отдели (счетоводство, инженерство, маркетинг) , за разделяне на трафика за управление, за глас, за гости, за IoT или дори специална резервна VLAN мрежа. Всяка от тях има свои собствени правила за маршрутизиране, сигурност и качество на обслужване.

Освен това, VLAN мрежите са ключов компонент на сегментирането и стратегиите за нулево доверие : мрежите вече не се приемат за „напълно надеждни“ и са дефинирани повърхности за атака. Повреда или инфекция в една VLAN не би трябвало да доведе до колапс на цялата организация чрез ефект на доминото.

Основни понятия: портове за достъп, trunk-ове и native VLAN

За да разберете напълно конфигурацията и сигурността на VLAN, три концепции са от решаващо значение: портове за достъп, портове за магистрални връзки и собствени VLAN мрежи . Овладяването на тези три концепции прави всичко останало много по-лесно.

Портът за достъп е порт на комутатор, който пренася трафик от една VLAN към крайно устройство: компютър, принтер, IP камера, телефон и др. Трафикът напуска комутатора и пътува до устройството без 802.1Q етикет. Вътрешно комутаторът знае към коя VLAN принадлежи устройството, но то не вижда етикета.

Транксиалният порт е връзка между мрежови устройства (комутатор-комутатор, комутатор-рутер, комутатор-точка за достъп), през която едновременно преминават множество VLAN мрежи . В този случай кадрите носят етикет 802.1Q, указващ към коя VLAN мрежа принадлежат. Това позволява VLAN мрежите да бъдат разширени в цялата топология и множество логически мрежи да преминават през една и съща физическа връзка.

Нативната VLAN е VLAN, използвана за немаркиран трафик по 802.1Q връзка. Всеки кадър, влизащ в trunk порт без етикет, се присвоява на тази native VLAN. По подразбиране, на много устройства, това е VLAN 1 и тук започват проблемите със сигурността, ако тази конфигурация не се промени.

Мрежова архитектура и дизайн с VLAN

В средни и големи мрежи обикновено се използва трислойна топология : ядро, разпределение и достъп. Всеки слой има специфична роля и как тези слоеве се комбинират с VLAN мрежи е от голямо практическо значение.

Слоят за достъп се състои от комутаторите, които директно свързват потребители и крайни устройства. Тези комутатори имат най-много портове за достъп и са мястото, където са дефинирани повечето потребителски, гласови, IoT и други VLAN мрежи. Именно тук се изисква най-голямо внимание при разпределението на портове и практиките за физическа сигурност (предотвратяване на неоторизирано включване на кабели).

Разпределителният слой се състои от комутатори, които агрегират трафик от множество комутатори за достъп . Обикновено това е точката, където се осъществява маршрутизацията между VLAN мрежи, прилагат се по-фини ACL, терминират се оптични връзки, добавят се връзки (EtherChannel) и се внедряват по-разширени политики (QoS, контрол на бурите и др.).

Основният слой съдържа разпределителните връзки и шлюза към интернет или външни мрежи. В много големи мрежи ядрото обикновено обработва само високоскоростна комутация , с много малко допълнителни функции, за да се намали латентността и сложността.

При проектирането на мрежа с VLAN мрежи е препоръчително първо да се дефинират кои логически групи са необходими (по функция, критичност, ниво на доверие и др.) и след това да се реализират в добре планирана IP схема (подмрежи, маски, VLSM, динамични и статични диапазони) и в ясно разпределение на портове на всеки комутатор.

Видове VLAN и често срещани приложения

Най-разпространеният стандарт за маркиране на кадри по магистрални връзки е IEEE 802.1Q . Той добавя 4 байта към Ethernet заглавката с VLAN ID и други полета, така че комутаторът знае точно към коя VLAN принадлежи всеки кадър, без да капсулира целия кадър.

При конфигуриране на VLAN мрежи с 802.1Q на комутатори, всеки порт може да бъде маркиран като маркиран или немаркиран за конкретна VLAN мрежа. Порт може да бъде маркиран в няколко VLAN мрежи (типично за trunk), но немаркиран само в една от тях (тази, която крайното устройство ще види, ако е порт за достъп).

В допълнение към стандартните VLAN мрежи, базирани на 802.1Q, в корпоративните среди съществуват и други често използвани модалности: VLAN мрежи, базирани на портове, VLAN мрежи, базирани на MAC адреси, VLAN мрежи за управление, VLAN мрежи за контрол, персонализирани VLAN мрежи, хибридни VLAN мрежи и дори VXLAN мрежи в среди за центрове за данни и облачни среди, където са необходими милиони логически мрежи. Технологии като 802.1X и динамични VLAN мрежи за разширено разпределение и сигурност също трябва да се вземат предвид.

VLAN мрежата за управление се използва изключително за административен достъп до комутатори, рутери, точки за достъп, защитни стени и системи за наблюдение. Обикновено има собствена IP подмрежа и строги списъци за контрол на достъпа (ACL), които ограничават кой може да влиза. Управлението на устройства от същите VLAN мрежи като потребители е много лоша идея.

Така наречената контролна VLAN е предназначена за трафик на вътрешни мрежови протоколи: STP, протоколи за маршрутизация, CDP, LLDP, VTP и др. Разделянето на този трафик от трафика на данни или управление намалява шума, подобрява стабилността и позволява прилагането на специфични мерки за сигурност.

VLAN 1, native VLAN и защо те са проблем със сигурността

На повечето комутатори, VLAN 1 е конфигурирана като VLAN по подразбиране и нативна VLAN на всички портове. Това означава, че ако остане непроменена, целият немаркиран трафик, влизащ в trunk, ще бъде насочен към VLAN 1 и всички портове ще се считат за част от нея.

Проблемът е, че всеки сравнително опитен хакер знае това. VLAN 1 е основна цел за VLAN hopping , switch spoofing и други атаки, които използват конфигурации по подразбиране, за да проникнат в други VLAN мрежи.

При атака с подправяне на комутатор (switch spoofing), например, нападателят свързва устройството си към порт, където DTP е активен в динамичен режим, и договаря trunk връзка с комутатора, получавайки достъп до множество VLAN мрежи, които никога не би трябвало да достигнат до хост.

При атака с двойно маркиране, два 802.1Q тага се смесват в един и същ кадър, възползвайки се от факта, че собствената VLAN мрежа пътува без етикети, за да се опитат да преминат от една VLAN към друга през лошо защитен trunk.

Поради всички тези причини, настоящите препоръки за сигурност са ясни: не използвайте VLAN 1 за потребители , не я оставяйте като native VLAN на trunk-овете, не ѝ давайте IP адрес за управление и, ако е възможно, я изолирайте или дори филтрирайте, така че да не пренася производствен трафик.

Най-добри практики за проектиране и разпределение на пристанища

Едно от ключовите решения при конфигурирането на VLAN мрежи е как да се присвоят портове на комутатора към всяка VLAN и какво да се прави с неизползваните портове. Изглежда тривиално, но от това зависят както производителността, така и сигурността.

На портовете за достъп е добра идея винаги да оставяте само една VLAN мрежа без етикет (тази за този потребител или устройство) и да маркирате останалите като изключени. Това предотвратява интерфейсът да „вижда“ VLAN мрежи, които не му принадлежат, дори ако някой случайно промени настройките.

В trunk връзките се препоръчва изрично да се конфигурира кои VLAN мрежи са разрешени (напр. `switchport trunk allowed vlan 10, 20, 99`), вместо да се прехвърлят всички VLAN мрежи от мрежата. Всяка trunk мрежа трябва да носи само VLAN мрежите, от които действително се нуждае.

За неизползваните портове най-безопасната практика е да ги изключите , да ги присвоите към „черна дупка“ VLAN без шлюз или DHCP и да се уверите, че не са маркирани като trunk порт или нямат активиран DTP. Това предотвратява свързването на устройство и внезапната му поява в производствената мрежа.

В среди с голям брой портове е важно да се документира подробно какво е свързано към всеки интерфейс , да се обозначат кабелите и да се актуализират схемите за окабеляване. Много проблеми с VLAN свързаността се дължат просто на преместване на кабели без актуализиране на документацията; ръководството за окабеляване помага за предотвратяване на грешки.

„Неизходни“ VLAN мрежи и неизползвани портове

Една проста и много ефективна техника за защита на свободните портове е създаването на VLAN „без изход“ , тоест VLAN без DHCP, маршрутизация и услуги, и поставянето на всички портове за достъп, които не се използват, в нея.

Идеята е, че дори ако някой свърже устройство към един от тези портове, този хост няма да получи IP адрес, няма да има шлюз, няма да може да достигне до други устройства и трафикът му ще остане напълно изолиран. Това е един вид мрежова неопределеност.

В много среди за тази цел се използва разпознаваем идентификатор, като например VLAN 777, 999 или 4094. Комутаторът е конфигуриран да изключва всички други VLAN от тези портове, за тази VLAN не е дефиниран интерфейс от ниво 3 и тя не се рекламира на никой рутер.

Освен това се препоръчва DTP да бъде деактивиран на всички портове за достъп с switchport nonegotiate , така че те никога да не се опитват автоматично да станат trunks чрез договаряне със съседа.

VLAN мрежи за глас, данни и специални устройства

В мрежи с IP телефония и гласов трафик е стандартна практика гласовият трафик да се разделя в специфична VLAN, различна от тази на компютрите. Причината е двойна: изисквания за качество на услугата и сигурност.

Гласовият трафик е силно чувствителен към латентност, трептене и загуба на пакети. Ако се смесва безразборно с интензивни изтегляния, видео стрийминг или резервни копия, повикванията бързо се влошават. Разделянето на гласа във вашата VLAN ви позволява да го приоритизирате с QoS и да прилагате по-прецизни политики.

Освен това, IP телефоните обикновено имат свои собствени възможности за маркиране на VLAN (802.1Q): те са каскадно свързани с компютъра, като портът към мрежата действа като магистрала (маркиран глас, немаркирани данни), а портът към компютъра действа като порт за достъп. Това изисква по-прецизни конфигурации на портове , за да се избегнат уязвимости в сигурността.

Добра идея е също така да се разделят IoT устройства, системи за домашна автоматизация, IP камери, телевизори, интелигентни контакти и др. в специфични VLAN мрежи. Тези устройства често имат лоша сигурност и лошо поддържан фърмуер и е най-добре да се държат извън същата логическа мрежа като управляващите компютри или критичните сървъри.

В света на WiFi, повечето професионални точки за достъп ви позволяват да свържете SSID с всяка VLAN . Това разширява сегментирането на кабелната мрежа до безжичната мрежа: VLAN за управление, корпоративна VLAN, IoT VLAN, VLAN за гости, всяка със собствен SSID и правила.

Маршрутизиране между VLAN, ACL и защитни стени

По дизайн, VLAN мрежите не могат да се „виждат“ една друга на ниво 2. Ако искате устройства в различни VLAN мрежи да комуникират, трябва да преминете към ниво 3: маршрутизиране между VLAN мрежи. Това обикновено се прави в рутер, защитна стена или комутатор на ниво 3.

Има два основни подхода. Първият е да се използва съвместим с 802.1Q рутер или защитна стена, свързана към гръбначна мрежа на комутатора. Рутерът създава подинтерфейси (по един на VLAN), присвоява им IP адреси и действа като шлюз. Защитната стена , освен това, налага подробни правила относно това кой може да комуникира с кого.

Вторият подход е да се използва управляван комутатор от ниво 3 на разпределителното или основното ниво. На този комутатор се създават VLAN интерфейси (SVI), които действат като шлюзове за всяка подмрежа. Самият комутатор обработва вътрешното маршрутизиране и съответните ACL, като разтоварва работата от edge рутера.

И в двата случая е жизненоважно това маршрутизиране да се придружи със списъци за контрол на достъпа (ACL) или строги правила за защитна стена. Наличието на IP път между VLAN мрежи не означава, че целият трафик трябва да бъде разрешен. Филтрирането трябва да се извършва въз основа на източник, местоназначение, портове, протоколи и посока на връзката.

Типичен пример: гостевата VLAN мрежа може да има достъп само до интернет, IoT VLAN мрежата може да комуникира само с конкретни сървъри (като NTP, syslog или MQTT брокер), студентската VLAN мрежа няма достъп до управляващата VLAN мрежа, резервната VLAN мрежа само инициира връзки към резервния сървър и т.н.

Протоколи за управление на VLAN: VTP и компания

В големи мрежи с много комутатори, ръчното създаване на VLAN мрежи на всяко устройство е непрактично и е податливо на грешки. Поради тази причина протоколи като VTP (VLAN Trunking Protocol) в екосистемата на Cisco позволяват централизирано разпределение на списъка с VLAN.

VTP дефинира три режима на работа за комутатор: сървър, клиент и прозрачен . Сървърите могат да създават, преименуват или изтриват VLAN мрежи и да изпращат тази информация на клиенти в рамките на един и същ домейн. Клиентите получават и прилагат промените, но не ги модифицират. Прозрачните клиенти не обработват базата данни на VLAN; те само препредават информацията.

Тези видове протоколи значително опростяват живота, но имат своите подробности: грешка в сървърния комутатор, лошо управлявана VTP парола или стар комутатор, въведен отново в мрежата с остаряла база данни, може внезапно да унищожи VLAN конфигурацията в цялата организация.

Следователно, в много от съвременните дизайни е за предпочитане VTP да се използва в прозрачен режим или изобщо да не се използва, като VLAN се управляват с инструменти за автоматизация (Ansible, шаблони, централизирани контролери и др.) или с по-статичен и контролиран дизайн.

Разширена сигурност: VACL, PVLAN и смекчаване на атаки

С разрастването на мрежата и повишаването на критичността ѝ, самите VLAN мрежи не са достатъчни. За по-прецизен контрол на трафика в рамките на VLAN могат да се използват VACL (VLAN ACLs или VLAN maps) , което позволява филтриране или пренасочване на трафика на ниво VLAN, а не само на конкретни интерфейси.

VACL се конфигурират чрез дефиниране на карти за достъп за всяка VLAN , които използват IP или MAC списъци за достъп и определят какво да се прави със съответстващия трафик: да го пропускат, да го блокират, да го изпращат към порт за наблюдение, да го пренасочват и т.н. След това те се прилагат глобално към една или повече VLAN на комутатора.

За случаите, когато искате да изолирате хостове в рамките на една и съща подмрежа, има частни VLAN (PVLAN) . Те започват с първична VLAN, която обикновено е мястото, където се намира шлюзът, и след това създават свързани вторични VLAN от два вида: изолирани и общи.

Изолираните вторични VLAN мрежи позволяват на всеки хост да вижда само шлюза, но не и други хостове, дори ако са в една и съща изолирана вторична VLAN мрежа. Обществените вторични VLAN мрежи позволяват на група хостове да виждат един друг и шлюза, но не и други групи в една и съща първична VLAN мрежа.

Що се отнася до специфични атаки, в допълнение към вече обсъденото за VLAN 1 и DTP, от решаващо значение е да се смекчи прескачането на VLAN чрез двойно маркиране . За да направите това, се препоръчва да промените собствената VLAN на VLAN, която не се използва от хостове, да премахнете собствената VLAN от транките, ако е възможно, да деактивирате DTP, изрично да дефинирате портове като достъп или транки и да използвате команди, за да гарантирате, че собствената VLAN винаги е маркирана, като отхвърляте немаркирания трафик.

Диагностика и поддръжка на мрежи с VLAN

Създаването на мрежа с VLAN е само половината от работата; другата половина е поддръжката ѝ и отстраняването на проблеми, без да губите ума си. Типичните проблеми с VLAN свързаността често имат доста често срещани причини. За практически ръководства и процедури вижте ресурси за отстраняване на проблеми с мрежата.

От една страна, има физически грешки: кабели, преместени от един порт на друг без актуализиране на документацията, портове, конфигурирани като достъп, където трябва да бъде транк, или обратното, лошо дефинирани излишни връзки, които завършват в цикли, ако STP не е правилно настроен.

От друга страна, има логически грешки: VLAN мрежи, създадени на някои комутатори, но не и на други, VLAN списъци, разрешени на неправилно конфигурирани trunk-ове , DHCP диапазони, които не съответстват на маските, или шлюзове, които са неправилно зададени на крайните устройства.

Ключовите инструменти за диагностика са обичайните команди: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute и др. Комбинирането им със запис на трафика на конкретни портове и добра система за мониторинг помага много.

Препоръчително е също периодично да преглеждате ACL, правилата на защитната стена, PVLAN, VACL и конфигурациите за управление, за да се гарантира, че не са останали пропуски след промени, разширения или миграции на проекта.

Ясната документация (VLAN схеми, IP диапазони, присвояване на портове, описание на политиките за достъп между VLAN) и стриктното регистриране на промените са почти толкова важни, колкото и самите команди за конфигуриране.

С добре обмислена сегментация, правилно етикетирани VLAN мрежи, разумно управление на VLAN мрежи, защитено с ACL между-VLAN маршрутизиране и последователни навици за поддръжка, една корпоративна мрежа може да постигне значителен скок в сигурността, производителността и контрола, без да е необходимо да се преизгражда цялата физическа инфраструктура.