Ρύθμιση παραμέτρων VLAN και ασφάλεια δικτύου: ένας πλήρης οδηγός

Informatec Digital » Πόροι » Ρύθμιση παραμέτρων VLAN και ασφάλεια δικτύου: ένας πλήρης οδηγός

Αν διαχειρίζεστε ένα εταιρικό δίκτυο, γνωρίζετε ότι η γρήγορη και ασφαλής λειτουργία των πάντων δεν είναι εύκολη υπόθεση. Καθώς οι ομάδες, οι υπηρεσίες και οι εφαρμογές αναπτύσσονται, οι εκπομπές, τα σημεία συμφόρησης και τα προβλήματα ασφαλείας αρχίζουν να εμφανίζονται παντού.

Ένα από τα πιο ισχυρά εργαλεία για την επιβολή τάξης σε αυτό το χάος είναι τα VLAN (Εικονικά LAN) . Καλοσχεδιασμένα και διαμορφωμένα, σας επιτρέπουν να τμηματοποιήσετε το δίκτυο, να μειώσετε την περιττή κίνηση, να απομονώσετε τμήματα και να προστατεύσετε κρίσιμες υπηρεσίες... αλλά με κακή εφαρμογή, μπορούν να μετατραπούν σε κόσκινο ασφαλείας ή σε εφιάλτη διαχείρισης.

Τι ακριβώς είναι ένα VLAN και γιατί είναι σημαντικό για την ασφάλεια;

Ένα VLAN είναι ουσιαστικά ένα ξεχωριστό λογικό δίκτυο που λειτουργεί στην ίδια φυσική υποδομή: τους ίδιους διακόπτες, την ίδια καλωδίωση, τα ίδια σημεία πρόσβασης Wi-Fi. Λογικά, οι συσκευές σε ένα VLAN συμπεριφέρονται σαν να βρίσκονταν σε ξεχωριστό LAN, ακόμα κι αν βρίσκονται σε διαφορετικούς ορόφους ή σε διαφορετικά κτίρια.

Αυτό επιτρέπει σε μια ομάδα υπολογιστών, διακομιστών, τηλεφώνων IP, εκτυπωτών ή καμερών IP να σχηματίσουν το δικό τους πεδίο εκπομπής , απομονωμένο από άλλες ομάδες. Τα πακέτα εκπομπής και πολλαπλής διανομής παραμένουν εντός του VLAN τους αντί να κατακλύζουν ολόκληρο το δίκτυο, βελτιώνοντας την απόδοση και διευκολύνοντας τον έλεγχο του ποιος μπορεί να δει ποιον.

Σε επιχειρηματικά περιβάλλοντα, είναι σύνηθες να δημιουργούνται VLAN για διαφορετικά τμήματα (λογιστήριο, μηχανική, μάρκετινγκ) , για τον διαχωρισμό της κίνησης διαχείρισης, για φωνή, για επισκέπτες, για IoT ή ακόμα και για ένα ειδικό εφεδρικό VLAN. Κάθε ένα έχει τους δικούς του κανόνες δρομολόγησης, ασφάλειας και ποιότητας υπηρεσίας.

Επιπλέον, τα VLAN αποτελούν βασικό στοιχείο της τμηματοποίησης και των στρατηγικών Μηδενικής Εμπιστοσύνης : τα δίκτυα δεν θεωρούνται πλέον «πλήρως αξιόπιστα» και ορίζονται οι επιφάνειες επίθεσης. Μια βλάβη ή μόλυνση σε ένα VLAN δεν θα πρέπει να προκαλέσει την κατάρρευση ολόκληρου του οργανισμού με αλυσιδωτό φαινόμενο.

Βασικές έννοιες: θύρες πρόσβασης, trunk και εγγενές VLAN

Για να κατανοήσετε πλήρως τη διαμόρφωση και την ασφάλεια των VLAN, τρεις έννοιες είναι κρίσιμες: οι θύρες πρόσβασης, οι θύρες trunk και τα εγγενή VLAN . Η κατανόηση αυτών των τριών εννοιών κάνει όλα τα άλλα πολύ πιο εύκολα.

Μια θύρα πρόσβασης είναι μια θύρα διακόπτη που μεταφέρει κίνηση από ένα μόνο VLAN σε μια τελική συσκευή: έναν υπολογιστή, έναν εκτυπωτή, μια κάμερα IP, ένα τηλέφωνο κ.λπ. Η κίνηση φεύγει από τον διακόπτη και ταξιδεύει στη συσκευή χωρίς ετικέτα 802.1Q. Εσωτερικά, ο διακόπτης γνωρίζει σε ποιο VLAN ανήκει η συσκευή, αλλά η συσκευή δεν βλέπει την ετικέτα.

Μια θύρα trunk είναι μια σύνδεση μεταξύ συσκευών δικτύου (switch-switch, switch-router, switch-AP) μέσω της οποίας ταξιδεύουν ταυτόχρονα πολλά VLAN . Σε αυτήν την περίπτωση, τα πλαίσια φέρουν την ετικέτα 802.1Q που υποδεικνύει σε ποιο VLAN ανήκουν. Αυτό επιτρέπει στα VLAN να επεκτείνονται σε όλη την τοπολογία και σε πολλά λογικά δίκτυα να διέρχονται από την ίδια φυσική σύνδεση.

Το εγγενές VLAN είναι το VLAN που χρησιμοποιείται για μη ετικετοποιημένη κίνηση σε μια σύνδεση 802.1Q. Κάθε πλαίσιο που εισέρχεται σε μια θύρα trunk χωρίς ετικέτα αντιστοιχίζεται σε αυτό το εγγενές VLAN. Από προεπιλογή, σε πολλές συσκευές, είναι το VLAN 1 και εδώ ξεκινούν τα προβλήματα ασφαλείας εάν δεν αλλάξει αυτή η διαμόρφωση.

Αρχιτεκτονική και σχεδιασμός δικτύου με VLAN

Σε μεσαία και μεγάλα δίκτυα, χρησιμοποιείται συνήθως μια τοπολογία τριών επιπέδων : πυρήνας, διανομή και πρόσβαση. Κάθε επίπεδο έχει έναν συγκεκριμένο ρόλο και ο τρόπος με τον οποίο αυτά τα επίπεδα συνδυάζονται με τα VLAN έχει μεγάλη πρακτική σημασία.

Το επίπεδο πρόσβασης αποτελείται από τους διακόπτες που συνδέουν απευθείας τους χρήστες και τις τελικές συσκευές. Αυτοί οι διακόπτες έχουν τις περισσότερες θύρες πρόσβασης και είναι εκεί όπου ορίζονται τα περισσότερα VLAN χρηστών, φωνής, IoT και άλλα. Εδώ είναι που η ανάθεση θυρών και οι πρακτικές φυσικής ασφάλειας (αποτροπή μη εξουσιοδοτημένης σύνδεσης καλωδίων) απαιτούν την μεγαλύτερη προσοχή.

Το επίπεδο διανομής αποτελείται από διακόπτες που συγκεντρώνουν κίνηση από πολλαπλούς διακόπτες πρόσβασης . Συνήθως είναι το σημείο όπου πραγματοποιείται η δρομολόγηση μεταξύ VLAN, εφαρμόζονται λεπτότερα ACL, τερματίζονται οι σύνδεσμοι οπτικών ινών, προστίθενται σύνδεσμοι (EtherChannel) και εφαρμόζονται πιο προηγμένες πολιτικές (QoS, έλεγχος καταιγίδων κ.λπ.).

Το βασικό επίπεδο στεγάζει τις συνδέσεις διανομής και την πύλη προς το διαδίκτυο ή τα εξωτερικά δίκτυα. Σε πολύ μεγάλα δίκτυα, ο πυρήνας συνήθως χειρίζεται μόνο μεταγωγή υψηλής ταχύτητας , με πολύ λίγες πρόσθετες λειτουργίες, για τη μείωση της καθυστέρησης και της πολυπλοκότητας.

Κατά το σχεδιασμό ενός δικτύου με VLAN, συνιστάται πρώτα να ορίσετε ποιες λογικές ομάδες χρειάζονται (ανά λειτουργία, κρισιμότητα, επίπεδο εμπιστοσύνης κ.λπ.) και στη συνέχεια να το εφαρμόσετε σε ένα καλά σχεδιασμένο σχήμα IP (υποδίκτυα, μάσκες, VLSM, δυναμικά και στατικά εύρη) και σε μια σαφή κατανομή θυρών σε κάθε διακόπτη.

Τύποι VLAN και συνήθεις χρήσεις

Το πιο διαδεδομένο πρότυπο για την προσθήκη ετικετών σε ζεύξεις κορμού είναι το IEEE 802.1Q . Προσθέτει 4 byte στην κεφαλίδα Ethernet με το VLAN ID και άλλα πεδία, έτσι ώστε ο διακόπτης να γνωρίζει ακριβώς σε ποιο VLAN ανήκει κάθε πλαίσιο χωρίς να ενθυλακώνει ολόκληρο το πλαίσιο.

Κατά τη διαμόρφωση VLAN με 802.1Q σε διακόπτες, κάθε θύρα μπορεί να επισημανθεί ως με ετικέτα ή χωρίς ετικέτα για ένα συγκεκριμένο VLAN. Μια θύρα μπορεί να επισημανθεί σε πολλά VLAN (τυπικό ενός trunk) αλλά να μην επισημανθεί μόνο σε ένα από αυτά (αυτό που η τελική συσκευή θα δει αν είναι θύρα πρόσβασης).

Εκτός από τα τυπικά VLAN που βασίζονται στο 802.1Q, υπάρχουν και άλλες συνήθως χρησιμοποιούμενες μέθοδοι σε εταιρικά περιβάλλοντα: VLAN που βασίζονται σε θύρες, VLAN που βασίζονται σε MAC, VLAN διαχείρισης, VLAN ελέγχου, προσαρμοσμένα εγγενή VLAN, υβριδικά VLAN, ακόμη και VXLAN σε περιβάλλοντα κέντρων δεδομένων και cloud όπου απαιτούνται εκατομμύρια λογικά δίκτυα. Θα πρέπει επίσης να ληφθούν υπόψη τεχνολογίες όπως το 802.1X και τα δυναμικά VLAN για προηγμένη κατανομή και ασφάλεια.

Το VLAN διαχείρισης χρησιμοποιείται αποκλειστικά για πρόσβαση διαχειριστή σε διακόπτες, δρομολογητές, σημεία πρόσβασης, τείχη προστασίας και συστήματα παρακολούθησης. Συνήθως έχει το δικό του υποδίκτυο IP και αυστηρές λίστες ελέγχου πρόσβασης (ACL) που περιορίζουν ποιος μπορεί να εισέλθει. Η διαχείριση συσκευών από τα ίδια VLAN με τους χρήστες είναι πολύ κακή ιδέα.

Το λεγόμενο VLAN ελέγχου είναι αφιερωμένο στην εσωτερική κυκλοφορία πρωτοκόλλου δικτύου: STP, πρωτόκολλα δρομολόγησης, CDP, LLDP, VTP, κ.λπ. Ο διαχωρισμός αυτής της κυκλοφορίας από την κυκλοφορία δεδομένων ή διαχείρισης μειώνει τον θόρυβο, βελτιώνει τη σταθερότητα και επιτρέπει την εφαρμογή συγκεκριμένων μέτρων ασφαλείας.

VLAN 1, εγγενές VLAN και γιατί αποτελούν πρόβλημα ασφαλείας

Στους περισσότερους διακόπτες, το VLAN 1 έχει ρυθμιστεί ως το προεπιλεγμένο και εγγενές VLAN σε όλες τις θύρες. Αυτό σημαίνει ότι, εάν δεν αλλάξει, όλη η μη ετικετασμένη κίνηση που εισέρχεται σε έναν κορμό θα δρομολογηθεί στο VLAN 1 και όλες οι θύρες θα θεωρηθούν μέρος αυτού.

Το πρόβλημα είναι ότι οποιοσδήποτε αρκετά έξυπνος εισβολέας το γνωρίζει αυτό. Το VLAN 1 αποτελεί πρωταρχικό στόχο για VLAN hopping , switch spoofing και άλλες επιθέσεις που εκμεταλλεύονται τις προεπιλεγμένες διαμορφώσεις για να διεισδύσουν σε άλλα VLAN.

Σε μια επίθεση πλαστογράφησης διακόπτη, για παράδειγμα, ο εισβολέας συνδέει τη συσκευή του σε μια θύρα όπου το DTP είναι ενεργό σε δυναμική λειτουργία και διαπραγματεύεται μια σύνδεση trunk με τον διακόπτη, αποκτώντας πρόσβαση σε πολλά VLAN που δεν θα έπρεπε ποτέ να φτάσουν σε έναν κεντρικό υπολογιστή.

Σε μια επίθεση διπλής ετικέτας, δύο ετικέτες 802.1Q αναμειγνύονται στο ίδιο πλαίσιο, εκμεταλλευόμενοι το γεγονός ότι το εγγενές VLAN ταξιδεύει χωρίς ετικέτα, για να προσπαθήσουν να μεταπηδήσουν από το ένα VLAN στο άλλο μέσω ενός κακώς ασφαλισμένου trunk.

Για όλους αυτούς τους λόγους, οι τρέχουσες συστάσεις ασφαλείας είναι σαφείς: μην χρησιμοποιείτε το VLAN 1 για χρήστες , μην το αφήνετε ως το εγγενές VLAN σε trunk, μην του δίνετε διεύθυνση IP διαχείρισης και, ει δυνατόν, απομονώστε το ή ακόμα και φιλτράρετε το έτσι ώστε να μην μεταφέρει κίνηση παραγωγής.

Βέλτιστες πρακτικές για τον σχεδιασμό και την κατανομή λιμένων

Μία από τις βασικές αποφάσεις κατά τη διαμόρφωση των VLAN είναι ο τρόπος αντιστοίχισης θυρών διακόπτη σε κάθε VLAN και τι πρέπει να γίνεται με τις αχρησιμοποίητες θύρες. Φαίνεται ασήμαντο, αλλά τόσο η απόδοση όσο και η ασφάλεια εξαρτώνται από αυτό.

Στις θύρες πρόσβασης, είναι καλή ιδέα να αφήνετε πάντα μόνο ένα VLAN χωρίς ετικέτα (αυτό για αυτόν τον χρήστη ή τη συσκευή) και να επισημαίνετε τα υπόλοιπα ως εξαιρούμενα. Αυτό εμποδίζει τη διεπαφή να "βλέπει" VLAN που δεν ανήκουν σε αυτήν, ακόμα κι αν κάποιος αλλάξει κατά λάθος τις ρυθμίσεις.

Στις συνδέσεις trunk, συνιστάται να ρυθμίσετε ρητά ποια VLAN επιτρέπονται (π.χ., `switchport trunk allowed vlan 10, 20, 99`) αντί να μεταβιβάζετε όλα τα VLAN από το δίκτυο. Κάθε trunk θα πρέπει να μεταφέρει μόνο τα VLAN που πραγματικά χρειάζεται.

Για τις αχρησιμοποίητες θύρες, η ασφαλέστερη πρακτική είναι να τις απενεργοποιήσετε , να τις αντιστοιχίσετε σε ένα VLAN "μαύρης τρύπας" χωρίς πύλη ή DHCP και να βεβαιωθείτε ότι δεν έχουν επισημανθεί ως θύρα trunk ή δεν έχουν ενεργοποιημένο το DTP. Αυτό εμποδίζει κάποιον να συνδέσει μια συσκευή και να εμφανιστεί ξαφνικά στο δίκτυο παραγωγής.

Σε περιβάλλοντα με μεγάλο αριθμό θυρών, είναι απαραίτητο να καταγράφετε λεπτομερώς τι συνδέεται σε κάθε διεπαφή , να επισημαίνετε την καλωδίωση και να διατηρείτε τα διαγράμματα καλωδίωσης ενημερωμένα. Πολλά προβλήματα συνδεσιμότητας VLAN οφείλονται απλώς στη μετακίνηση καλωδίων χωρίς ενημέρωση της τεκμηρίωσης. Ένας οδηγός καλωδίωσης βοηθά στην αποφυγή σφαλμάτων.

VLAN "μη εξόδου" και αχρησιμοποίητες θύρες

Μια απλή και πολύ αποτελεσματική τεχνική για την προστασία των ελεύθερων θυρών είναι η δημιουργία ενός VLAN "χωρίς έξοδο" , δηλαδή ενός VLAN χωρίς DHCP, δρομολόγηση και υπηρεσίες, και η τοποθέτηση όλων των θυρών πρόσβασης που δεν χρησιμοποιούνται σε αυτό.

Η ιδέα είναι ότι ακόμα κι αν κάποιος συνδέσει μια συσκευή σε μία από αυτές τις θύρες, αυτός ο κεντρικός υπολογιστής δεν θα λάβει διεύθυνση IP, δεν θα έχει πύλη, δεν θα μπορεί να επικοινωνήσει με άλλες συσκευές και η κυκλοφορία του θα παραμείνει εντελώς απομονωμένη. Είναι ένα είδος δικτυακού κενού αορίστου χρόνου.

Σε πολλά περιβάλλοντα, για αυτόν τον σκοπό χρησιμοποιείται ένα αναγνωρίσιμο αναγνωριστικό, όπως VLAN 777, 999 ή 4094. Ο διακόπτης έχει ρυθμιστεί ώστε να αποκλείει όλα τα άλλα VLAN από αυτές τις θύρες, δεν έχει οριστεί διεπαφή Layer 3 για αυτό το VLAN και δεν διαφημίζεται σε κανέναν δρομολογητή.

Επιπλέον, συνιστάται η απενεργοποίηση του DTP σε όλες τις θύρες πρόσβασης με switchport nonegotiate , έτσι ώστε να μην επιχειρούν ποτέ να γίνουν αυτόματα trunks μέσω διαπραγμάτευσης με τον γείτονα.

VLAN για φωνή, δεδομένα και ειδικές συσκευές

Σε δίκτυα με τηλεφωνία IP και φωνητική κίνηση , αποτελεί συνήθη πρακτική ο διαχωρισμός της φωνητικής κίνησης σε ένα συγκεκριμένο VLAN, διαφορετικό από αυτό των υπολογιστών. Ο λόγος είναι διττός: οι απαιτήσεις ποιότητας υπηρεσίας και η ασφάλεια.

Η φωνητική κίνηση είναι ιδιαίτερα ευαίσθητη στην καθυστέρηση, το jitter και την απώλεια πακέτων. Εάν αναμειγνύεται αδιακρίτως με βαριές λήψεις, ροή βίντεο ή αντίγραφα ασφαλείας, οι κλήσεις υποβαθμίζονται γρήγορα. Ο διαχωρισμός της φωνής στο VLAN σας σάς επιτρέπει να την ιεραρχήσετε με QoS και να εφαρμόσετε πιο ακριβείς πολιτικές.

Επιπλέον, τα τηλέφωνα IP συνήθως έχουν τις δικές τους δυνατότητες VLAN tagging (802.1Q): είναι συνδεδεμένα με τον υπολογιστή, με τη θύρα προς το δίκτυο να λειτουργεί ως trunk (φωνή με ετικέτα, δεδομένα χωρίς ετικέτα) και τη θύρα προς τον υπολογιστή να λειτουργεί ως θύρα πρόσβασης. Αυτό απαιτεί πιο ακριβείς διαμορφώσεις θυρών για την αποφυγή ευπαθειών ασφαλείας.

Είναι επίσης καλή ιδέα να διαχωρίσετε τις συσκευές IoT, τα συστήματα οικιακού αυτοματισμού, τις κάμερες IP, τις τηλεοράσεις, τα έξυπνα βύσματα κ.λπ. σε συγκεκριμένα VLAN. Αυτές οι συσκευές συχνά έχουν κακή ασφάλεια και κακώς συντηρημένο υλικολογισμικό και είναι καλύτερο να τις κρατάτε μακριά από το ίδιο λογικό δίκτυο με τους υπολογιστές διαχείρισης ή τους κρίσιμους διακομιστές.

Στον κόσμο του WiFi, τα περισσότερα επαγγελματικά σημεία πρόσβασης σάς επιτρέπουν να συσχετίσετε ένα SSID με κάθε VLAN . Αυτό επεκτείνει την τμηματοποίηση του ενσύρματου δικτύου στο ασύρματο δίκτυο: VLAN διαχείρισης, εταιρικό VLAN, VLAN IoT, VLAN επισκεπτών, το καθένα με το δικό του SSID και κανόνες.

Δρομολόγηση μεταξύ VLAN, ACL και τείχους προστασίας

Εκ κατασκευής, τα VLAN δεν μπορούν να «βλέπουν» το ένα το άλλο στο Επίπεδο 2. Εάν θέλετε συσκευές σε διαφορετικά VLAN να επικοινωνούν, πρέπει να μεταβείτε στο Επίπεδο 3: δρομολόγηση μεταξύ VLAN. Αυτό γίνεται συνήθως σε έναν δρομολογητή, ένα τείχος προστασίας ή έναν διακόπτη Επιπέδου 3.

Υπάρχουν δύο κύριες προσεγγίσεις. Η πρώτη είναι η χρήση ενός δρομολογητή ή τείχους προστασίας συμβατού με 802.1Q που συνδέεται σε ένα κεντρικό δίκτυο μεταγωγέα. Ο δρομολογητής δημιουργεί υποδιεπαφές (μία ανά VLAN), τους εκχωρεί διευθύνσεις IP και λειτουργεί ως πύλη. Το τείχος προστασίας , επιπλέον, επιβάλλει λεπτομερείς κανόνες σχετικά με το ποιος μπορεί να επικοινωνήσει με ποιον.

Η δεύτερη προσέγγιση είναι η χρήση ενός διαχειριζόμενου διακόπτη Επιπέδου 3 στο επίπεδο διανομής ή πυρήνα. Οι διεπαφές VLAN (SVI) δημιουργούνται σε αυτόν τον διακόπτη, οι οποίες λειτουργούν ως πύλες για κάθε υποδίκτυο. Ο ίδιος ο διακόπτης χειρίζεται την εσωτερική δρομολόγηση και τα αντίστοιχα ACL, εκφορτώνοντας την εργασία από τον δρομολογητή edge.

Και στις δύο περιπτώσεις, είναι ζωτικής σημασίας να συνοδεύσετε αυτή τη δρομολόγηση με λίστες ελέγχου πρόσβασης (ACL) ή αυστηρούς κανόνες τείχους προστασίας. Η ύπαρξη μιας διαδρομής IP μεταξύ των VLAN δεν σημαίνει ότι πρέπει να επιτρέπεται όλη η κίνηση. Το φιλτράρισμα πρέπει να γίνεται με βάση την πηγή, τον προορισμό, τις θύρες, τα πρωτόκολλα και την κατεύθυνση σύνδεσης.

Ένα τυπικό παράδειγμα: το guest VLAN μπορεί να έχει πρόσβαση μόνο στο Διαδίκτυο, το IoT VLAN μπορεί να επικοινωνεί μόνο με συγκεκριμένους διακομιστές (όπως NTP, syslog ή έναν MQTT broker), το student VLAN δεν μπορεί να έχει πρόσβαση στο management VLAN, το backup VLAN εκκινεί μόνο συνδέσεις με τον backup server, κ.λπ.

Πρωτόκολλα διαχείρισης VLAN: VTP και εταιρεία

Σε μεγάλα δίκτυα με πολλούς διακόπτες, η χειροκίνητη δημιουργία VLAN σε κάθε συσκευή είναι μη πρακτική και επιρρεπής σε σφάλματα. Για αυτόν τον λόγο, πρωτόκολλα όπως το VTP (VLAN Trunking Protocol) στο οικοσύστημα της Cisco επιτρέπουν την κεντρική διανομή της λίστας VLAN.

Το VTP ορίζει τρεις λειτουργίες για έναν διακόπτη: διακομιστή, πελάτη και διαφάνεια . Οι διακομιστές μπορούν να δημιουργήσουν, να μετονομάσουν ή να διαγράψουν VLAN και να στείλουν αυτές τις πληροφορίες σε πελάτες εντός του ίδιου τομέα. Οι πελάτες λαμβάνουν και εφαρμόζουν τις αλλαγές, αλλά δεν τις τροποποιούν. Οι διαφανείς πελάτες δεν επεξεργάζονται τη βάση δεδομένων VLAN. Απλώς αναμεταδίδουν τις πληροφορίες.

Αυτού του είδους τα πρωτόκολλα απλοποιούν σημαντικά τη ζωή, αλλά έχουν και τα ψιλά γράμματα τους: ένα σφάλμα σε έναν διακόπτη διακομιστή, ένας κακώς διαχειριζόμενος κωδικός πρόσβασης VTP ή ένας παλιός διακόπτης που επανεισάγεται στο δίκτυο με μια ξεπερασμένη βάση δεδομένων μπορεί ξαφνικά να καταστρέψει τη διαμόρφωση VLAN σε ολόκληρο τον οργανισμό.

Επομένως, σε πολλά τρέχοντα σχέδια, προτιμάται η χρήση του VTP σε διαφανή λειτουργία ή η μη χρήση του καθόλου, διαχειριζόμενοι τα VLAN με εργαλεία αυτοματισμού (Ansible, πρότυπα, κεντρικούς ελεγκτές κ.λπ.) ή με πιο στατικό και ελεγχόμενο σχεδιασμό.

Προηγμένη ασφάλεια: VACL, PVLAN και μετριασμός επιθέσεων

Καθώς το δίκτυο αναπτύσσεται και η κρισιμότητα αυξάνεται, τα VLAN από μόνα τους δεν επαρκούν. Για τον πιο λεπτομερή έλεγχο της κυκλοφορίας εντός ενός VLAN, μπορούν να χρησιμοποιηθούν VACL (VLAN ACLs ή VLAN maps) , επιτρέποντας το φιλτράρισμα ή την ανακατεύθυνση της κυκλοφορίας σε επίπεδο VLAN, όχι μόνο σε συγκεκριμένες διεπαφές.

Τα VACL διαμορφώνονται ορίζοντας χάρτες πρόσβασης ανά VLAN που χρησιμοποιούν λίστες πρόσβασης IP ή MAC και καθορίζουν τι πρέπει να γίνει με την αντίστοιχη κίνηση: να την αφήσουν να περάσει, να την μπλοκάρουν, να την στείλουν σε μια θύρα παρακολούθησης, να την ανακατευθύνουν κ.λπ. Στη συνέχεια, εφαρμόζονται καθολικά σε ένα ή περισσότερα VLAN στο διακόπτη.

Για περιπτώσεις όπου θέλετε να απομονώσετε κεντρικούς υπολογιστές εντός του ίδιου υποδικτύου, υπάρχουν ιδιωτικά VLAN (PVLAN) . Αυτά ξεκινούν με ένα κύριο VLAN, το οποίο συνήθως βρίσκεται στο σημείο όπου βρίσκεται η πύλη, και στη συνέχεια δημιουργούν συσχετισμένα δευτερεύοντα VLAN δύο τύπων: απομονωμένα και κοινοτικά.

Τα απομονωμένα δευτερεύοντα VLAN επιτρέπουν σε κάθε κεντρικό υπολογιστή να βλέπει μόνο την πύλη, αλλά όχι άλλους κεντρικούς υπολογιστές, ακόμη και αν βρίσκονται στο ίδιο απομονωμένο δευτερεύον VLAN. Τα δευτερεύοντα VLAN κοινότητας επιτρέπουν σε μια ομάδα κεντρικών υπολογιστών να βλέπουν ο ένας τον άλλον και την πύλη, αλλά όχι άλλες ομάδες στο ίδιο πρωτεύον VLAN.

Όσον αφορά συγκεκριμένες επιθέσεις, εκτός από όσα έχουν ήδη συζητηθεί για το VLAN 1 και το DTP, είναι κρίσιμο να μετριαστεί η μετάβαση VLAN μέσω διπλής ετικέτας . Για να γίνει αυτό, συνιστάται να αλλάξετε το εγγενές VLAN σε ένα VLAN που δεν χρησιμοποιείται από τους κεντρικούς υπολογιστές, να αφαιρέσετε το εγγενές VLAN από τους κορμούς, εάν είναι δυνατόν, να απενεργοποιήσετε το DTP, να ορίσετε ρητά τις θύρες ως πρόσβαση ή κορμό και να χρησιμοποιήσετε εντολές για να διασφαλίσετε ότι το εγγενές VLAN είναι πάντα ετικετημένο, απορρίπτοντας την κίνηση χωρίς ετικέτα.

Διάγνωση και συντήρηση δικτύων με VLAN

Η δημιουργία ενός δικτύου με VLAN είναι μόνο η μισή δουλειά. Το άλλο μισό είναι η συντήρησή του και η αντιμετώπιση προβλημάτων χωρίς να χάσετε το μυαλό σας. Τα τυπικά προβλήματα συνδεσιμότητας VLAN έχουν συχνά αρκετά συνηθισμένες αιτίες. Για πρακτικούς οδηγούς και διαδικασίες, συμβουλευτείτε πόρους σχετικά με την αντιμετώπιση προβλημάτων δικτύου.

Από τη μία πλευρά, υπάρχουν φυσικά σφάλματα: καλώδια που μετακινούνται από τη μία θύρα στην άλλη χωρίς ενημέρωση της τεκμηρίωσης, θύρες που έχουν ρυθμιστεί ως πρόσβαση εκεί που θα έπρεπε να βρίσκεται ένας κορμός ή αντίστροφα, κακώς καθορισμένοι πλεονάζοντες σύνδεσμοι που καταλήγουν σε βρόχους εάν το STP δεν έχει συντονιστεί σωστά.

Από την άλλη πλευρά, υπάρχουν λογικές βλάβες: VLAN που δημιουργούνται σε ορισμένους διακόπτες αλλά όχι σε άλλους, λίστες VLAN που επιτρέπονται σε trunks που δεν έχουν ρυθμιστεί σωστά , εύρη DHCP που δεν ταιριάζουν με τις μάσκες ή πύλες που δεν έχουν ρυθμιστεί σωστά στις τελικές συσκευές.

Τα βασικά διαγνωστικά εργαλεία είναι οι συνήθεις εντολές: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , κ.λπ. Ο συνδυασμός αυτών με καταγραφές κίνησης σε συγκεκριμένες θύρες και ένα καλό σύστημα παρακολούθησης βοηθάει πολύ.

Συνιστάται επίσης να ελέγχετε περιοδικά τα ACL, τους κανόνες τείχους προστασίας, τα PVLAN, τα VACL και τις διαμορφώσεις διαχείρισης, για να διασφαλίζετε ότι δεν έχουν μείνει κενά μετά από αλλαγές, επεκτάσεις ή μετεγκαταστάσεις έργων.

Η σαφής τεκμηρίωση (σχήματα VLAN, εύρη IP, αντιστοιχίσεις θυρών, περιγραφή πολιτικών πρόσβασης μεταξύ VLAN) και η αυστηρή καταγραφή αλλαγών είναι σχεδόν εξίσου σημαντικές με τις ίδιες τις εντολές διαμόρφωσης.

Με καλά μελετημένη τμηματοποίηση, σωστά επισημασμένα VLAN, συνετή εγγενή διαχείριση VLAN, δρομολόγηση μεταξύ VLAN με προστασία ACL και συνεπείς συνήθειες συντήρησης, ένα εταιρικό δίκτυο μπορεί να αποκτήσει σημαντικό άλμα στην ασφάλεια, την απόδοση και τον έλεγχο χωρίς να χρειάζεται να ανακατασκευάσει ολόκληρη τη φυσική υποδομή.