Konfigurace VLAN a zabezpečení sítě: kompletní průvodce

Informatec Digital » Zdroje » Konfigurace VLAN a zabezpečení sítě: kompletní průvodce

Pokud spravujete firemní síť, víte, že udržet vše v chodu rychle a bezpečně není snadný úkol. S růstem týmů, služeb a aplikací se všude začínají objevovat vysílání, úzká hrdla a bezpečnostní problémy.

Jedním z nejúčinnějších nástrojů pro nastolení řádu v tomto chaosu jsou VLAN (virtuální lokální sítě) . Dobře navržené a nakonfigurované umožňují segmentovat síť, omezit zbytečný provoz, izolovat oddělení a chránit kritické služby… ale při špatné implementaci se mohou stát bezpečnostním sítem nebo administrativní noční můrou.

Co přesně je VLAN a proč je důležitá pro bezpečnost?

VLAN je v podstatě samostatná logická síť , která běží na stejné fyzické infrastruktuře: stejné přepínače, stejná kabeláž, stejné přístupové body Wi-Fi. Logicky se zařízení ve VLAN chovají, jako by byla v samostatné síti LAN, i když se nacházejí na různých patrech nebo v různých budovách.

To umožňuje skupině počítačů, serverů, IP telefonů, tiskáren nebo IP kamer vytvořit si vlastní vysílací doménu , izolovanou od ostatních skupin. Vysílací a multicastové pakety zůstávají v rámci jejich VLAN, místo aby zahlcovaly celou síť, což zlepšuje výkon a usnadňuje kontrolu nad tím, kdo koho vidí.

V podnikovém prostředí je běžné vytvářet sítě VLAN pro různá oddělení (účetnictví, inženýrství, marketing) , aby se oddělil provoz pro správu, pro hlas, pro hosty, pro IoT nebo dokonce vyhrazená záložní síť VLAN. Každá z nich má svá vlastní pravidla směrování, zabezpečení a kvality služeb.

Kromě toho jsou VLAN klíčovou součástí segmentace a strategií Zero Trust : sítě se již nepovažují za „plně důvěryhodné“ a jsou definovány oblasti útoku. Selhání nebo infekce v jedné VLAN by neměla způsobit dominový efekt a kolaps celé organizace.

Základní pojmy: přístupové porty, trunkové sítě a nativní VLAN

Pro úplné pochopení konfigurace a zabezpečení VLAN jsou klíčové tři koncepty: přístupové porty, kmenové porty a nativní VLAN . Zvládnutí těchto tří konceptů značně usnadní vše ostatní.

Přístupový port je port přepínače, který přenáší provoz z jedné sítě VLAN do koncového zařízení: počítače, tiskárny, IP kamery, telefonu atd. Provoz opouští přepínač a putuje k zařízení bez tagu 802.1Q. Přepínač interně ví, do které sítě VLAN zařízení patří, ale zařízení tento tag nevidí.

Trunkový port je spojení mezi síťovými zařízeními (switch-switch, switch-router, switch-AP), kterým prochází současně více VLAN . V tomto případě rámce nesou značku 802.1Q, která označuje, do které VLAN patří. To umožňuje rozšíření VLAN v celé topologii a přenos více logických sítí přes stejné fyzické spojení.

Nativní VLAN je VLAN používaná pro neoznačený provoz na spojení 802.1Q. Každý rámec vstupující do kmenového portu bez tagu je přiřazen k této nativní VLAN. Ve výchozím nastavení je na mnoha zařízeních to VLAN 1 a pokud se tato konfigurace nezmění, právě zde začínají problémy s zabezpečením.

Architektura a návrh sítě s VLAN

Ve středních a velkých sítích se běžně používá třívrstvá topologie : jádro, distribuční a přístupová. Každá vrstva má specifickou roli a způsob, jakým jsou tyto vrstvy kombinovány s VLAN, má velký praktický význam.

Přístupová vrstva se skládá z přepínačů, které přímo propojují uživatele a koncová zařízení. Tyto přepínače mají nejvíce přístupových portů a jsou místem, kde je definována většina uživatelských, hlasových, IoT a dalších VLAN. Právě zde je třeba věnovat největší pozornost přidělování portů a postupům fyzického zabezpečení (zabraňování neoprávněnému zapojování kabelů).

Distribuční vrstva se skládá z přepínačů, které agregují provoz z více přístupových přepínačů . Obvykle je to bod, kde dochází ke směrování mezi VLAN, aplikují se jemnější ACL, ukončují se optické linky, přidávají se linky (EtherChannel) a implementují se pokročilejší zásady (QoS, ochrana proti bouřím atd.).

Jádrová vrstva obsahuje distribuční linky a bránu k internetu nebo externím sítím. Ve velmi rozsáhlých sítích jádro obvykle zpracovává pouze vysokorychlostní přepínání s velmi malým počtem dalších funkcí, aby se snížila latence a složitost.

Při návrhu sítě s VLAN je vhodné nejprve definovat, které logické skupiny jsou potřeba (podle funkce, kritičnosti, úrovně důvěryhodnosti atd.) a poté je implementovat v dobře naplánovaném IP schématu (podsítě, masky, VLSM, dynamické a statické rozsahy) a v jasném přidělení portů na každém přepínači.

Typy VLAN a běžné použití

Nejrozšířenějším standardem pro označování rámců na kmenových linkách je IEEE 802.1Q . Ten přidává do ethernetové hlavičky 4 bajty s VLAN ID a dalšími poli, takže přepínač přesně ví, do které VLAN každý rámec patří, aniž by musel zapouzdřovat celý rámec.

Při konfiguraci VLAN s 802.1Q na přepínačích lze každý port označit jako tagovaný nebo neoznačený pro konkrétní VLAN. Port může být tagován v několika VLAN (typicky pro trunk), ale neoznačený pouze v jedné z nich (té, kterou koncové zařízení uvidí, pokud se jedná o přístupový port).

Kromě standardních VLAN založených na standardu 802.1Q existují v podnikových prostředích i další běžně používané modality: VLAN založené na portech, VLAN založené na MAC adresách, VLAN pro správu, řídicí VLAN, vlastní nativní VLAN, hybridní VLAN a dokonce i VXLAN v datových centrech a cloudových prostředích, kde jsou vyžadovány miliony logických sítí. Je třeba zvážit i technologie jako 802.1X a dynamické VLAN pro pokročilou alokaci a zabezpečení.

Správcovská VLAN se používá výhradně pro administrativní přístup k přepínačům, routerům, přístupovým bodům, firewallům a monitorovacím systémům. Obvykle má vlastní IP podsíť a striktní seznamy řízení přístupu (ACL), které omezují, kdo má přístup. Správa zařízení ze stejných VLAN jako uživatelů je velmi špatný nápad.

Takzvaná řídicí VLAN je vyhrazena pro provoz interních síťových protokolů: STP, směrovací protokoly, CDP, LLDP, VTP atd. Oddělení tohoto provozu od datového nebo řídicího provozu snižuje šum, zlepšuje stabilitu a umožňuje aplikaci specifických bezpečnostních opatření.

VLAN 1, nativní VLAN a proč představují bezpečnostní problém

Na většině přepínačů je VLAN 1 nakonfigurována jako výchozí a nativní VLAN na všech portech. To znamená, že pokud se nezmění, veškerý neoznačený provoz vstupující do kmenové sítě bude směrován do VLAN 1 a všechny porty budou považovány za její součást.

Problém je v tom, že to ví každý rozumně zkušený útočník. VLAN 1 je hlavním cílem pro VLAN hopping , switch spoofing a další útoky, které zneužívají výchozí konfigurace k infiltraci do jiných VLAN.

Například při útoku typu spoofing switche útočník připojí své zařízení k portu, kde je DTP aktivní v dynamickém režimu, a vyjedná s přepínačem trunk link , čímž získá přístup k více sítím VLAN, které by se nikdy neměly dostat k hostiteli.

Při útoku s dvojitým tagováním jsou dva tagy 802.1Q smíchány ve stejném rámci, čímž se využívá skutečnosti, že nativní VLAN putuje bez tagů, k pokusu o přeskočení z jedné VLAN do druhé přes špatně zabezpečený trunk.

Ze všech těchto důvodů jsou aktuální bezpečnostní doporučení jasná: nepoužívejte VLAN 1 pro uživatele , nenechávejte ji jako nativní VLAN na kmenových sítích, nedávejte jí IP adresu pro správu a pokud možno ji izolujte nebo dokonce filtrujte, aby nepřenášela produkční provoz.

Nejlepší postupy pro návrh a alokaci portů

Jedním z klíčových rozhodnutí při konfiguraci VLAN je, jak přiřadit porty přepínače ke každé VLAN a co dělat s nepoužívanými porty. Zdá se to triviální, ale závisí na tom jak výkon, tak zabezpečení.

Na přístupových portech je vhodné vždy nechat neoznačenou pouze jednu VLAN (tu pro daného uživatele nebo zařízení) a zbytek označit jako vyloučené. Tím se zabrání tomu, aby rozhraní „vidělo“ VLAN, které k němu nepatří, i když někdo omylem změní nastavení.

V trunkových linkách se doporučuje explicitně nakonfigurovat, které VLAN jsou povoleny (např. `switchport trunk allowed vlan 10, 20, 99`), namísto předávání všech VLAN ze sítě. Každá trunková linka by měla nést pouze ty VLAN, které skutečně potřebuje.

U nepoužívaných portů je nejbezpečnějším postupem je vypnout , přiřadit je k „černé díře“ VLAN bez brány nebo DHCP a zajistit, aby nebyly označeny jako trunk port nebo aby neměly povolený DTP. Tím se zabrání tomu, aby někdo připojil zařízení a náhle se objevil v produkční síti.

V prostředích s vysokým počtem portů je nezbytné důkladně zdokumentovat, co je zapojeno do každého rozhraní , označit kabeláž a udržovat schémata zapojení aktuální. Mnoho problémů s připojením k VLAN je jednoduše způsobeno přesunutím kabelů bez aktualizace dokumentace; průvodce zapojením pomáhá předcházet chybám.

„Nevýchodové“ VLAN a nepoužívané porty

Jednoduchá a velmi účinná technika pro ochranu volných portů spočívá ve vytvoření VLAN „bez výstupu“ , tedy VLAN bez DHCP, směrování a služeb, a vložení všech nepoužívaných přístupových portů do ní.

Myšlenka je taková, že i když někdo připojí zařízení k jednomu z těchto portů, tento hostitel nezíská IP adresu, nebude mít bránu, nebude schopen dosáhnout na jiná zařízení a jeho provoz zůstane zcela izolovaný. Je to jakýsi síťový limbu.

V mnoha prostředích se k tomuto účelu používá rozpoznatelné ID, například VLAN 777, 999 nebo 4094. Přepínač je nakonfigurován tak, aby z těchto portů vyloučil všechny ostatní sítě VLAN, pro danou síť VLAN není definováno žádné rozhraní vrstvy 3 a není inzerována na žádném routeru.

Dále se doporučuje zakázat DTP na všech přístupových portech s parametrem switchport nonegotiate , aby se nikdy nepokoušely automaticky se stát trunky vyjednáváním se sousedem.

VLAN pro hlas, data a speciální zařízení

V sítích s IP telefonií a hlasovým provozem je standardní praxí oddělit hlasový provoz do specifické VLAN, odlišné od VLAN počítačů. Důvod je dvojí: požadavky na kvalitu služeb a bezpečnost.

Hlasový provoz je vysoce citlivý na latenci, jitter a ztrátu paketů. Pokud je bez rozdílu smíchán s velkým množstvím stahování, streamováním videa nebo zálohováním, hovory se rychle zhoršují. Oddělení hlasu do vaší VLAN vám umožňuje upřednostnit jej pomocí QoS a uplatňovat přesnější zásady.

IP telefony navíc obvykle disponují vlastními funkcemi označování VLAN (802.1Q): jsou kaskádovány s počítačem, přičemž port do sítě funguje jako trunk (označený hlas, neoznačená data) a port do počítače funguje jako přístupový port. To vyžaduje přesnější konfiguraci portů , aby se předešlo bezpečnostním zranitelnostem.

Je také dobrý nápad oddělit zařízení IoT, systémy domácí automatizace, IP kamery, televizory, chytré zásuvky atd. do specifických VLAN. Tato zařízení mají často nízké zabezpečení a špatně udržovaný firmware, a proto je nejlepší je udržovat mimo stejnou logickou síť jako řídicí počítače nebo kritické servery.

Ve světě WiFi většina profesionálních přístupových bodů umožňuje přiřadit SSID ke každé VLAN . Tím se segmentace kabelové sítě rozšiřuje i na bezdrátovou síť: VLAN pro správu, firemní VLAN, IoT VLAN, VLAN pro hosty, každá s vlastním SSID a pravidly.

Směrování mezi VLAN, ACL a firewally

Sítě VLAN se na 2. vrstvě navzájem „nevidí“. Pokud chcete, aby zařízení na různých sítích VLAN komunikovala, musíte přejít na 3. vrstvu: směrování mezi sítěmi VLAN. To se obvykle provádí v routeru, firewallu nebo přepínači 3. vrstvy.

Existují dva hlavní přístupy. Prvním je použití routeru nebo firewallu kompatibilního s 802.1Q připojeného k páteřní síti přepínače. Router vytváří podrozhraní (jedno na VLAN), přiřazuje jim IP adresy a funguje jako brána. Firewall navíc vynucuje jemně odstupňovaná pravidla týkající se toho, kdo může s kým komunikovat.

Druhým přístupem je použití spravovaného přepínače vrstvy 3 na distribuční nebo jádrové vrstvě. Na tomto přepínači se vytvářejí rozhraní VLAN (SVI), která fungují jako brány pro každou podsíť. Samotný přepínač se stará o interní směrování a odpovídající ACL, čímž odlehčuje práci edge routeru.

V obou případech je nezbytné doplnit toto směrování seznamy řízení přístupu (ACL) nebo přísnými pravidly firewallu. Existence IP cesty mezi VLAN neznamená, že by měl být povolen veškerý provoz. Filtrování musí být provedeno na základě zdroje, cíle, portů, protokolů a směru připojení.

Typický příklad: hostující VLAN má přístup pouze k internetu, IoT VLAN může komunikovat pouze s konkrétními servery (například NTP, syslog nebo MQTT broker), studentská VLAN nemá přístup k management VLAN, záložní VLAN pouze iniciuje připojení k záložnímu serveru atd.

Protokoly pro správu VLAN: VTP a company

Ve velkých sítích s mnoha přepínači je ruční vytváření VLAN na každém zařízení nepraktické a náchylné k chybám. Z tohoto důvodu umožňují protokoly jako VTP (VLAN Trunking Protocol) v ekosystému Cisco centralizovanou distribuci seznamu VLAN.

VTP definuje tři provozní režimy přepínače: server, klient a transparentní . Servery mohou vytvářet, přejmenovat nebo mazat VLAN a odesílat tyto informace klientům ve stejné doméně. Klienti změny přijímají a aplikují, ale neupravují je. Transparentní klienti nezpracovávají databázi VLAN; pouze informace znovu přenášejí.

Tyto typy protokolů výrazně zjednodušují život, ale mají své specifikace: chyba v přepínači serveru, špatně spravované heslo VTP nebo starý přepínač znovu zavedený do sítě se zastaralou databází může náhle zničit konfiguraci VLAN v celé organizaci.

Proto se v mnoha současných návrzích dává přednost používání VTP v transparentním režimu nebo jeho nepoužívaní vůbec, správa VLAN pomocí automatizačních nástrojů (Ansible, šablony, centralizované řadiče atd.) nebo statičtějším a kontrolovanějším designem.

Pokročilé zabezpečení: VACL, PVLAN a zmírňování útoků

S růstem sítě a zvyšující se její kritičností samotné sítě VLAN nestačí. Pro podrobnější řízení provozu v rámci sítě VLAN lze použít seznamy VACL (VLAN ACL nebo mapy VLAN) , které umožňují filtrování nebo přesměrování provozu na úrovni sítě VLAN, nejen na konkrétních rozhraních.

Seznamy VACL se konfigurují definováním map přístupu pro každou VLAN , které používají seznamy přístupu IP nebo MAC adres a určují, co dělat s odpovídajícím provozem: propustit ho, blokovat ho, odeslat ho na monitorovací port, přesměrovat ho atd. Poté se globálně aplikují na jednu nebo více VLAN na přepínači.

Pro případy, kdy chcete izolovat hostitele v rámci stejné podsítě, existují privátní sítě VLAN (PVLAN) . Ty začínají primární sítí VLAN, která je obvykle místem, kde se nachází brána, a poté vytvářejí přidružené sekundární sítě VLAN dvou typů: izolované a komunitní.

Izolované sekundární sítě VLAN umožňují každému hostiteli vidět pouze bránu, ale ne ostatní hostitele, a to ani v případě, že se nacházejí na stejné izolované sekundární síti VLAN. Komunitní sekundární sítě VLAN umožňují skupině hostitelů vidět se navzájem a bránu, ale ne ostatní skupiny na stejné primární síti VLAN.

Pokud jde o konkrétní útoky, kromě toho, co již bylo diskutováno o VLAN 1 a DTP, je zásadní zmírnit přeskakování VLAN pomocí dvojitého označování . K tomu se doporučuje změnit nativní VLAN na VLAN, kterou hostitelé nepoužívají, pokud možno odebrat nativní VLAN z trunků, zakázat DTP, explicitně definovat porty jako přístupové nebo trunkové a pomocí příkazů zajistit, aby nativní VLAN byla vždy označena, čímž se zahodí neoznačený provoz.

Diagnostika a údržba sítí s VLAN

Nastavení sítě s VLAN je jen polovina úkolu; druhou polovinou je její údržba a řešení problémů, aniž byste se museli zbláznit. Typické problémy s připojením k VLAN mají často poměrně běžné příčiny. Praktické návody a postupy naleznete v zdrojích pro řešení problémů se sítí.

Na jedné straně existují fyzické chyby: kabely přesunuté z jednoho portu do druhého bez aktualizace dokumentace, porty konfigurované jako přístupové tam, kde by měl být trunk, nebo naopak špatně definované redundantní linky, které končí ve smyčkách, pokud není STP správně naladěn.

Na druhou stranu existují logické chyby: VLAN vytvořené na některých přepínačích, ale ne na jiných, seznamy VLAN povolené na nesprávně nakonfigurovaných truncích , rozsahy DHCP, které neodpovídají maskám, nebo brány, které jsou nesprávně nastaveny na koncových zařízeních.

Klíčovými diagnostickými nástroji jsou obvyklé příkazy: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute atd. Jejich kombinace se zachycením provozu na konkrétních portech a dobrým monitorovacím systémem velmi pomáhá.

Je také vhodné pravidelně kontrolovat ACL, pravidla firewallu, PVLAN, VACL a konfigurace správy, aby se zajistilo, že po změnách, rozšířeních nebo migracích projektu nezůstaly žádné mezery.

Jasná dokumentace (schémata VLAN, rozsahy IP adres, přiřazení portů, popis zásad přístupu mezi VLAN) a důkladné protokolování změn jsou téměř stejně důležité jako samotné konfigurační příkazy.

Díky promyšlené segmentaci, správně označeným sítím VLAN, prozíravé nativní správě sítí VLAN, směrování mezi sítěmi VLAN chráněnému seznamem ACL a konzistentním postupům údržby může podniková síť dosáhnout značného zvýšení bezpečnosti, výkonu a kontroly, aniž by bylo nutné přestavovat celou fyzickou infrastrukturu.