- VLAN'er segmenterer det fysiske netværk i isolerede logiske netværk, hvilket reducerer broadcast-trafik og forbedrer ydeevnen.
- Korrekt brug af adgangsporte, trunks og native VLAN'er er nøglen til at forhindre VLAN-hopping og switch-spoofing-angreb.
- Inter-VLAN-routing bør altid ledsages af ACL'er eller firewalls, der præcist styrer, hvem der kan tale med hvem.
- VACL, PVLAN og stringent styring af ubrugte porte styrker sikkerhed og kontrol i komplekse virksomhedsnetværk.
Hvis du administrerer et virksomhedsnetværk, ved du, at det ikke er nemt at holde alt kørende hurtigt og sikkert . Efterhånden som teams, tjenester og applikationer vokser, begynder broadcasts, flaskehalse og sikkerhedsproblemer at dukke op overalt.
Et af de mest kraftfulde værktøjer til at bringe orden i dette kaos er VLAN'er (virtuelle LAN'er) . Veldesignede og konfigurerede giver de dig mulighed for at segmentere netværket, reducere unødvendig trafik, isolere afdelinger og beskytte kritiske tjenester ... men dårligt implementeret kan de blive en sikkerhedsfilter eller et administrativt mareridt.
Hvad er et VLAN præcist, og hvorfor er det vigtigt for sikkerheden?
Et VLAN er i bund og grund et separat logisk netværk , der kører på den samme fysiske infrastruktur: de samme switche, den samme kabling, de samme Wi-Fi-adgangspunkter. Logisk set opfører enhederne på et VLAN sig, som om de var på et separat LAN, selvom de er placeret på forskellige etager eller i forskellige bygninger.
Dette gør det muligt for en gruppe af pc'er, servere, IP-telefoner, printere eller IP-kameraer at danne deres eget broadcast-domæne , isoleret fra andre grupper. Broadcast- og multicast-pakker forbliver inden for deres VLAN i stedet for at oversvømme hele netværket, hvilket forbedrer ydeevnen og gør det nemmere at kontrollere, hvem der kan se hvem.
I forretningsmiljøer er det almindeligt at oprette VLAN'er for forskellige afdelinger (regnskab, teknik, marketing) for at adskille administrationstrafik, til tale, til gæster, til IoT eller endda et dedikeret backup-VLAN. Hvert VLAN har sine egne regler for routing, sikkerhed og servicekvalitet.
Derudover er VLAN'er en nøglekomponent i segmentering og Zero Trust -strategier : netværk antages ikke længere at være "fuldt ud troværdige", og angrebsflader defineres. En fejl eller infektion i ét VLAN bør ikke få hele organisationen til at kollapse i en dominoeffekt.
Grundlæggende koncepter: adgangsporte, trunks og native VLAN
For fuldt ud at forstå VLAN-konfiguration og -sikkerhed er tre koncepter afgørende: adgangsporte, trunkporte og native VLAN'er . At mestre disse tre koncepter gør alt andet meget lettere.
En access-port er en switch-port, der fører trafik fra et enkelt VLAN til en slutenhed: en pc, printer, IP-kamera, telefon osv. Trafikken forlader switchen og bevæger sig til enheden uden et 802.1Q-tag. Internt ved switchen, hvilket VLAN enheden tilhører, men enheden ser ikke tagget.
En trunkport er et link mellem netværksenheder (switch-switch, switch-router, switch-AP), hvorigennem flere VLAN'er bevæger sig samtidigt . I dette tilfælde bærer frames 802.1Q-tagget, der angiver, hvilket VLAN de tilhører. Dette gør det muligt at udvide VLAN'er i hele topologien og at flere logiske netværk passerer over det samme fysiske link.
Det native VLAN er det VLAN, der bruges til utagget trafik på et 802.1Q-link. Hver frame, der går ind i en trunk-port uden et tag, tildeles dette native VLAN. Som standard er det VLAN 1 på mange enheder, og det er her, sikkerhedsproblemer begynder, hvis denne konfiguration ikke ændres.
Netværksarkitektur og -design med VLAN'er
I mellemstore og store netværk anvendes almindeligvis en trelagstopologi : kerne, distribution og adgang. Hvert lag har en specifik rolle, og hvordan disse lag kombineres med VLAN'er er af stor praktisk betydning.
Adgangslaget består af de switche, der direkte forbinder brugere og slutenheder. Disse switche har flest adgangsporte og er der, hvor de fleste bruger-, stemme-, IoT- og andre VLAN'er er defineret. Det er her, porttildeling og fysiske sikkerhedspraksisser (forebyggelse af uautoriseret kabeltilslutning) kræver mest opmærksomhed.
Distributionslaget består af switche, der aggregerer trafik fra flere adgangsswitche . Det er typisk det punkt, hvor routing mellem VLAN'er finder sted, finere ACL'er anvendes, fiberlinks termineres, links (EtherChannel) tilføjes, og mere avancerede politikker (QoS, stormkontrol osv.) implementeres.
Kernelaget huser distributionsforbindelserne og gatewayen til internettet eller eksterne netværk. I meget store netværk håndterer kernen typisk kun højhastigheds-switching med meget få yderligere funktioner for at reducere latenstid og kompleksitet.
Når man designer et netværk med VLAN'er, anbefales det først at definere, hvilke logiske grupper der er nødvendige (efter funktion, kritikalitet, tillidsniveau osv.) og derefter implementere det i et velplanlagt IP-skema (undernet, masker, VLSM, dynamiske og statiske områder) og i en klar portallokering på hver switch.
VLAN-typer og almindelige anvendelser
Den mest udbredte standard for tagging af frames på trunk links er IEEE 802.1Q . Den tilføjer 4 bytes til Ethernet-headeren med VLAN ID'et og andre felter, så switchen ved præcis, hvilket VLAN hver frame tilhører, uden at indkapsle hele framen.
Når man konfigurerer VLAN'er med 802.1Q på switche, kan hver port markeres som tagget eller untagget for et specifikt VLAN. En port kan være tagget i flere VLAN'er (typisk for en trunk), men kun utagget i én af dem (den som slutenheden vil se, hvis det er en adgangsport).
Ud over standard 802.1Q-baserede VLAN'er findes der andre almindeligt anvendte modaliteter i virksomhedsmiljøer: portbaserede VLAN'er, MAC-baserede VLAN'er, administrations-VLAN'er, kontrol-VLAN'er, brugerdefinerede native VLAN'er, hybride VLAN'er og endda VXLAN'er i datacenter- og cloud-miljøer, hvor millioner af logiske netværk er nødvendige. Teknologier som 802.1X og dynamiske VLAN'er til avanceret allokering og sikkerhed bør også overvejes.
Administrations -VLAN'et bruges udelukkende til administrativ adgang til switche, routere, adgangspunkter, firewalls og overvågningssystemer. Det har typisk sit eget IP-undernet og strenge adgangskontrollister (ACL'er), der begrænser, hvem der kan få adgang. Det er en meget dårlig idé at administrere enheder fra de samme VLAN'er som brugere.
Det såkaldte kontrol-VLAN er dedikeret til intern netværksprotokoltrafik: STP, routingprotokoller, CDP, LLDP, VTP osv. Adskillelse af denne trafik fra data- eller administrationstrafik reducerer støj, forbedrer stabiliteten og muliggør anvendelse af specifikke sikkerhedsforanstaltninger.
VLAN 1, native VLAN, og hvorfor de er et sikkerhedsproblem
På de fleste switche er VLAN 1 konfigureret som standard og native VLAN på alle porte. Det betyder, at hvis det ikke ændres, vil al utagget trafik, der kommer ind i en trunk, blive dirigeret ind i VLAN 1, og alle porte vil blive betragtet som en del af det.
Problemet er, at enhver nogenlunde klog angriber ved dette. VLAN 1 er et primært mål for VLAN-hopping , switch-spoofing og andre angreb, der udnytter standardkonfigurationer til at infiltrere andre VLAN'er.
I et switch-spoofing-angreb forbinder angriberen for eksempel sin enhed til en port, hvor DTP er aktiv i dynamisk tilstand, og forhandler et trunk-link med switchen, hvilket giver adgang til flere VLAN'er, der aldrig burde nå en vært.
I et dobbelt taggingangreb blandes to 802.1Q-tags i den samme frame, hvilket udnytter det faktum, at det native VLAN bevæger sig utagget, til at forsøge at hoppe fra et VLAN til et andet gennem en dårligt sikret trunk.
Af alle disse grunde er de nuværende sikkerhedsanbefalinger klare: brug ikke VLAN 1 til brugere , lad det ikke være det native VLAN på trunks, giv det ikke en administrations-IP-adresse, og hvis det er muligt, isoler eller filtrer det endda, så det ikke bærer produktionstrafik.
Bedste praksis for havnedesign og -allokering
En af de vigtigste beslutninger ved konfiguration af VLAN'er er, hvordan man tildeler switchporte til hvert VLAN, og hvad man skal gøre med ubrugte porte. Det virker trivielt, men både ydeevne og sikkerhed afhænger af det.
På adgangsporte er det en god idé altid kun at lade ét VLAN være umærket (det for den pågældende bruger eller enhed) og markere resten som udelukket. Dette forhindrer grænsefladen i at "se" VLAN'er, der ikke tilhører den, selvom nogen ved et uheld ændrer indstillinger.
I trunk-links anbefales det eksplicit at konfigurere, hvilke VLAN'er der er tilladt (f.eks. `switchport trunk allowed vlan 10, 20, 99`) i stedet for at sende alle VLAN'er fra netværket. Hver trunk bør kun bære de VLAN'er, den rent faktisk har brug for.
For ubrugte porte er den sikreste fremgangsmåde at lukke dem ned , tildele dem til et "sort hul" VLAN uden en gateway eller DHCP og sikre, at de ikke er markeret som en trunkport eller har DTP aktiveret. Dette forhindrer nogen i at tilslutte en enhed og pludselig dukke op på produktionsnetværket.
I miljøer med et stort antal porte er det vigtigt grundigt at dokumentere, hvad der er tilsluttet hver grænseflade , mærke kablerne og holde ledningsdiagrammerne opdaterede. Mange VLAN-forbindelsesproblemer skyldes simpelthen, at kabler flyttes uden at opdatere dokumentationen; en ledningsføringsvejledning hjælper med at forhindre fejl.
"Ikke-exit" VLAN'er og ubrugte porte
En simpel og meget effektiv teknik til at beskytte ledige porte er at oprette et "no-output" VLAN , det vil sige et VLAN uden DHCP, routing og tjenester, og placere alle de adgangsporte, der ikke bruges, i det.
Ideen er, at selvom nogen forbinder en enhed til en af disse porte, vil den vært ikke få en IP-adresse, ikke have en gateway, ikke være i stand til at nå andre enheder, og dens trafik vil forblive fuldstændig isoleret. Det er en slags netværkslimbo.
I mange miljøer bruges et genkendeligt ID, såsom VLAN 777, 999 eller 4094 , til dette formål. Switchen er konfigureret til at udelukke alle andre VLAN'er fra disse porte, der er ikke defineret nogen Layer 3-grænseflade for det pågældende VLAN, og det annonceres ikke på nogen router.
Derudover anbefales det at DTP deaktiveres på alle adgangsporte med switchport nonegotiate , så de aldrig automatisk forsøger at blive trunks ved at forhandle med naboen.
VLAN'er til tale, data og specialenheder
I netværk med IP-telefoni og taletrafik er det standardpraksis at adskille taletrafikken i et specifikt VLAN, der er forskelligt fra pc'ernes. Årsagen er dobbelt: krav til servicekvalitet og sikkerhed.
Taletrafik er meget følsom over for latenstid, jitter og pakketab. Hvis den blandes ukritisk med store mængder downloads, videostreaming eller sikkerhedskopier, forringes opkald hurtigt. Ved at adskille tale i dit VLAN kan du prioritere den med QoS og anvende mere præcise politikker.
Derudover har IP-telefoner typisk deres egne VLAN-taggingfunktioner (802.1Q): de er kaskadeforbundet med pc'en, hvor porten til netværket fungerer som en trunk (tagget tale, utagget data), og porten til pc'en fungerer som adgangsport. Dette kræver mere præcise portkonfigurationer for at undgå sikkerhedssårbarheder.
Det er også en god idé at adskille IoT-enheder, hjemmeautomationssystemer, IP-kameraer, fjernsyn, smarte stik osv. i specifikke VLAN'er. Disse enheder har ofte dårlig sikkerhed og dårligt vedligeholdt firmware, og det er bedst at holde dem væk fra det samme logiske netværk som administrations-pc'er eller kritiske servere.
I WiFi-verdenen giver de fleste professionelle adgangspunkter dig mulighed for at tilknytte et SSID til hvert VLAN . Dette udvider segmenteringen af det kablede netværk til det trådløse netværk: administrations-VLAN, virksomheds-VLAN, IoT-VLAN, gæste-VLAN, hver med sit eget SSID og sine egne regler.
Routing mellem VLAN'er, ACL'er og firewalls
VLAN'er kan ifølge design ikke "se" hinanden på lag 2. Hvis du vil have enheder på forskellige VLAN'er til at kommunikere, skal du gå op til lag 3: inter-VLAN routing. Dette gøres typisk i en router, firewall eller lag 3 switch.
Der er to hovedtilgange. Den første er at bruge en 802.1Q-kompatibel router eller firewall, der er tilsluttet en switch-backbone. Routeren opretter undergrænseflader (én pr. VLAN), tildeler IP-adresser til dem og fungerer som gateway. Firewallen håndhæver desuden detaljerede regler for, hvem der kan kommunikere med hvem.
Den anden tilgang er at bruge en Layer 3-managed switch på distributions- eller kernelaget. VLAN-grænseflader (SVI'er) oprettes på denne switch, der fungerer som gateways for hvert subnet. Switchen håndterer selv intern routing og de tilsvarende ACL'er, hvilket aflaster edge-routeren.
I begge tilfælde er det vigtigt at ledsage denne routing med adgangskontrollister (ACL'er) eller strenge firewallregler. Eksistensen af en IP-sti mellem VLAN'er betyder ikke, at al trafik skal være tilladt. Filtrering skal udføres baseret på kilde, destination, porte, protokoller og forbindelsesretning.
Et typisk eksempel: gæste-VLAN'et kan kun få adgang til internettet, IoT-VLAN'et kan kun kommunikere med bestemte servere (såsom NTP, syslog eller en MQTT-broker), studerende-VLAN'et kan ikke få adgang til administrations-VLAN'et, backup-VLAN'et initierer kun forbindelser til backup-serveren osv.
VLAN-administrationsprotokoller: VTP og virksomhed
I store netværk med mange switche er det upraktisk og fejlbehæftet at oprette VLAN'er manuelt på hver enhed. Af denne grund tillader protokoller som VTP (VLAN Trunking Protocol) i Cisco-økosystemet centraliseret distribution af VLAN-listen.
VTP definerer tre driftstilstande for en switch: server, klient og transparent . Servere kan oprette, omdøbe eller slette VLAN'er og sende disse oplysninger til klienter inden for samme domæne. Klienter modtager og anvender ændringerne, men ændrer dem ikke. Transparente klienter behandler ikke VLAN-databasen; de videresender kun oplysningerne.
Disse typer protokoller forenkler livet i høj grad, men de har deres småtryk: en fejl i en server-switch, en dårligt administreret VTP-adgangskode eller en gammel switch, der genintroduceres i netværket med en forældet database, kan pludselig ødelægge VLAN-konfigurationen på tværs af hele organisationen.
Derfor foretrækkes det i mange nuværende designs at bruge VTP i transparent tilstand eller slet ikke at bruge det, og administrere VLAN'er med automatiseringsværktøjer (Ansible, skabeloner, centraliserede controllere osv.) eller med et mere statisk og kontrolleret design.
Avanceret sikkerhed: VACL, PVLAN og angrebsreduktion
Efterhånden som netværket vokser, og kritiskheden stiger, kommer VLAN'er alene til kort. For at kontrollere trafikken mere detaljeret inden for et VLAN kan VACL'er (VLAN ACL'er eller VLAN-kort) bruges , hvilket gør det muligt at filtrere eller omdirigere trafik på VLAN-niveau, ikke kun på specifikke grænseflader.
VACL'er konfigureres ved at definere adgangskort pr. VLAN , der bruger IP- eller MAC-adgangslister og specificerer, hvad der skal gøres med matchende trafik: lade den passere, blokere den, sende den til en overvågningsport, omdirigere den osv. De anvendes derefter globalt på et eller flere VLAN'er på switchen.
I tilfælde hvor du vil isolere værter inden for det samme undernet, findes der private VLAN'er (PVLAN'er) . Disse starter med et primært VLAN, som normalt er der, hvor gatewayen er placeret, og opretter derefter tilknyttede sekundære VLAN'er af to typer: isolerede og community-VLAN'er.
Isolerede sekundære VLAN'er tillader hver vært kun at se gatewayen, men ikke andre værter, selvom de er på det samme isolerede sekundære VLAN. Fællesskabssekundære VLAN'er tillader en gruppe værter at se hinanden og gatewayen, men ikke andre grupper på det samme primære VLAN.
Med hensyn til specifikke angreb er det, udover hvad der allerede er blevet diskuteret om VLAN 1 og DTP, afgørende at afbøde VLAN-hopping gennem dobbelt tagging . For at gøre dette anbefales det at ændre det native VLAN til et VLAN, der ikke bruges af værter, fjerne det native VLAN fra trunks, hvis det er muligt, deaktivere DTP, eksplicit definere porte som adgang eller trunk og bruge kommandoer til at sikre, at det native VLAN altid er tagget, hvorved utagget trafik kasseres.
Diagnose og vedligeholdelse af netværk med VLAN'er
Opsætning af et netværk med VLAN'er er kun halvdelen af arbejdet; den anden halvdel er at vedligeholde det og foretage fejlfinding af problemer uden at miste forstanden. Typiske VLAN-forbindelsesproblemer har ofte ret almindelige årsager. For praktiske vejledninger og procedurer, se ressourcer om netværksfejlfinding.
På den ene side er der fysiske fejl: kabler flyttet fra én port til en anden uden at opdatere dokumentationen, porte konfigureret som adgang, hvor en trunk burde være, eller omvendt, dårligt definerede redundante links, der ender i løkker, hvis STP ikke er korrekt indstillet.
På den anden side er der logiske fejl: VLAN'er oprettet på nogle switche, men ikke på andre, VLAN-lister tilladt på trunks, der er forkert konfigureret , DHCP-intervaller, der ikke matcher maskerne, eller gateways, der er forkert indstillet på slutenhederne.
De vigtigste diagnosticeringsværktøjer er de sædvanlige kommandoer: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute osv. Kombinationen af disse med trafikregistreringer på specifikke porte og et godt overvågningssystem hjælper meget.
Det er også tilrådeligt periodisk at gennemgå ACL'er, firewallregler, PVLAN, VACL'er og administrationskonfigurationer for at sikre, at der ikke er opstået huller efter projektændringer, udvidelser eller migreringer.
Tydelig dokumentation (VLAN-skemaer, IP-intervaller, porttildelinger, beskrivelse af adgangspolitikker mellem VLAN'er) og grundig ændringslogning er næsten lige så vigtige som selve konfigurationskommandoerne.
Med velgennemtænkt segmentering, korrekt mærkede VLAN'er, fornuftig native VLAN-administration, ACL-beskyttet routing mellem VLAN'er og ensartede vedligeholdelsesvaner kan et virksomhedsnetværk opnå et betydeligt spring i sikkerhed, ydeevne og kontrol uden at skulle genopbygge hele den fysiske infrastruktur.
