Konfigurasi VLAN dan keamanan jaringan: panduan lengkap

Informatec Digital » Sumber Daya » Konfigurasi VLAN dan Keamanan Jaringan: Panduan Lengkap

Jika Anda mengelola jaringan perusahaan, Anda tahu bahwa menjaga agar semuanya berjalan cepat dan aman bukanlah tugas yang mudah. ​​Seiring pertumbuhan tim, layanan, dan aplikasi, siaran, hambatan, dan masalah keamanan mulai muncul di mana-mana.

Salah satu alat paling ampuh untuk menertibkan kekacauan ini adalah VLAN (Virtual LAN) . Jika dirancang dan dikonfigurasi dengan baik, VLAN memungkinkan Anda untuk melakukan segmentasi jaringan, mengurangi lalu lintas yang tidak perlu, mengisolasi departemen, dan melindungi layanan penting… tetapi jika diimplementasikan dengan buruk, VLAN dapat menjadi saringan keamanan atau mimpi buruk administratif.

Apa sebenarnya VLAN itu dan mengapa penting untuk keamanan?

VLAN pada dasarnya adalah jaringan logis terpisah yang berjalan pada infrastruktur fisik yang sama: switch yang sama, kabel yang sama, titik akses Wi-Fi yang sama. Secara logis, perangkat pada VLAN berperilaku seolah-olah berada di LAN terpisah, meskipun terletak di lantai yang berbeda atau di gedung yang berbeda.

Hal ini memungkinkan sekelompok PC, server, telepon IP, printer, atau kamera IP untuk membentuk domain siaran mereka sendiri , terisolasi dari kelompok lain. Paket siaran dan multicast tetap berada di dalam VLAN mereka dan tidak membanjiri seluruh jaringan, sehingga meningkatkan kinerja dan mempermudah pengendalian siapa yang dapat melihat siapa.

Dalam lingkungan bisnis, umum untuk membuat VLAN untuk departemen yang berbeda (akuntansi, teknik, pemasaran) , untuk memisahkan lalu lintas manajemen, untuk suara, untuk tamu, untuk IoT, atau bahkan VLAN cadangan khusus. Masing-masing memiliki aturan perutean, keamanan, dan kualitas layanan sendiri.

Selain itu, VLAN merupakan komponen kunci dari strategi segmentasi dan Zero Trust : jaringan tidak lagi dianggap "sepenuhnya dapat dipercaya," dan permukaan serangan didefinisikan. Kegagalan atau infeksi di satu VLAN seharusnya tidak menyebabkan seluruh organisasi runtuh dalam efek domino.

Konsep dasar: port akses, trunk, dan VLAN native

Untuk memahami konfigurasi dan keamanan VLAN secara menyeluruh, tiga konsep sangat penting: port akses, port trunk, dan VLAN native . Menguasai ketiga konsep ini akan membuat segalanya jauh lebih mudah.

Port akses adalah port switch yang membawa lalu lintas dari satu VLAN ke perangkat akhir: PC, printer, kamera IP, telepon, dll. Lalu lintas meninggalkan switch dan menuju ke perangkat tanpa tag 802.1Q. Secara internal, switch mengetahui VLAN mana yang dimiliki perangkat tersebut, tetapi perangkat tidak melihat tag tersebut.

Port trunk adalah penghubung antar perangkat jaringan (switch-switch, switch-router, switch-AP) yang dilalui oleh beberapa VLAN secara bersamaan . Dalam hal ini, frame membawa tag 802.1Q yang menunjukkan VLAN mana yang menjadi miliknya. Hal ini memungkinkan VLAN untuk diperluas di seluruh topologi dan beberapa jaringan logis untuk melewati tautan fisik yang sama.

VLAN native adalah VLAN yang digunakan untuk lalu lintas tanpa tag pada tautan 802.1Q. Setiap frame yang masuk ke port trunk tanpa tag akan ditetapkan ke VLAN native ini. Secara default, pada banyak perangkat, VLAN native adalah VLAN 1, dan di sinilah masalah keamanan dimulai jika konfigurasi ini tidak diubah.

Arsitektur dan desain jaringan dengan VLAN

Pada jaringan berukuran sedang dan besar, topologi tiga lapis umumnya digunakan : inti (core), distribusi, dan akses. Setiap lapisan memiliki peran spesifik, dan bagaimana lapisan-lapisan ini dikombinasikan dengan VLAN sangat penting secara praktis.

Lapisan akses terdiri dari switch yang secara langsung menghubungkan pengguna dan perangkat akhir. Switch ini memiliki port akses terbanyak dan merupakan tempat sebagian besar VLAN pengguna, suara, IoT, dan lainnya didefinisikan. Di sinilah penugasan port dan praktik keamanan fisik (mencegah penyambungan kabel tanpa izin) memerlukan perhatian paling besar.

Lapisan distribusi terdiri dari switch yang menggabungkan lalu lintas dari beberapa switch akses . Biasanya, di sinilah terjadi routing antar VLAN, ACL yang lebih detail diterapkan, tautan fiber diakhiri, tautan (EtherChannel) ditambahkan, dan kebijakan yang lebih canggih (QoS, kontrol storm, dll.) diimplementasikan.

Lapisan inti menampung tautan distribusi dan gerbang ke internet atau jaringan eksternal. Pada jaringan yang sangat besar, inti biasanya hanya menangani pengalihan berkecepatan tinggi , dengan sangat sedikit fungsi tambahan, untuk mengurangi latensi dan kompleksitas.

Saat mendesain jaringan dengan VLAN, disarankan untuk terlebih dahulu menentukan grup logis mana yang dibutuhkan (berdasarkan fungsi, tingkat kekritisan, tingkat kepercayaan, dll.) dan kemudian mengimplementasikannya dalam skema IP yang terencana dengan baik (subnet, mask, VLSM, rentang dinamis dan statis) dan dalam alokasi port yang jelas pada setiap switch.

Jenis-jenis VLAN dan penggunaan umumnya

Standar yang paling umum digunakan untuk memberi tag pada frame di tautan trunk adalah IEEE 802.1Q . Standar ini menambahkan 4 byte ke header Ethernet dengan ID VLAN dan bidang lainnya, sehingga switch mengetahui dengan tepat VLAN mana yang dimiliki setiap frame tanpa perlu mengenkapsulasi seluruh frame.

Saat mengkonfigurasi VLAN dengan 802.1Q pada switch, setiap port dapat ditandai sebagai tagged atau untagged untuk VLAN tertentu. Sebuah port dapat diberi tag di beberapa VLAN (biasanya pada trunk) tetapi hanya boleh diberi untagged di salah satunya (yang akan dilihat oleh perangkat akhir jika itu adalah port akses).

Selain VLAN berbasis 802.1Q standar, terdapat modalitas lain yang umum digunakan di lingkungan perusahaan: VLAN berbasis port, VLAN berbasis MAC, VLAN manajemen, VLAN kontrol, VLAN native kustom, VLAN hybrid, dan bahkan VXLAN di lingkungan pusat data dan cloud yang membutuhkan jutaan jaringan logis. Teknologi seperti 802.1X dan VLAN dinamis untuk alokasi dan keamanan tingkat lanjut juga perlu dipertimbangkan.

VLAN manajemen digunakan secara eksklusif untuk akses administratif ke switch, router, access point, firewall, dan sistem pemantauan. Biasanya memiliki subnet IP sendiri dan daftar kontrol akses (ACL) yang ketat yang membatasi siapa yang dapat masuk. Mengelola perangkat dari VLAN yang sama dengan pengguna adalah ide yang sangat buruk.

VLAN kontrol, yang disebut demikian, dikhususkan untuk lalu lintas protokol jaringan internal: STP, protokol routing, CDP, LLDP, VTP, dll. Memisahkan lalu lintas ini dari lalu lintas data atau manajemen mengurangi gangguan, meningkatkan stabilitas, dan memungkinkan penerapan langkah-langkah keamanan tertentu.

VLAN 1, VLAN native, dan mengapa keduanya menjadi masalah keamanan

Pada sebagian besar switch, VLAN 1 dikonfigurasi sebagai VLAN default dan native pada semua port. Ini berarti bahwa, jika dibiarkan tidak berubah, semua traffic tanpa tag yang masuk ke trunk akan dirutekan ke VLAN 1, dan semua port akan dianggap sebagai bagian darinya.

Masalahnya adalah penyerang yang cukup berpengalaman mengetahui hal ini. VLAN 1 merupakan target utama untuk VLAN hopping , switch spoofing, dan serangan lain yang memanfaatkan konfigurasi default untuk menyusup ke VLAN lain.

Dalam serangan spoofing switch, misalnya, penyerang menghubungkan perangkat mereka ke port tempat DTP aktif dalam mode dinamis dan menegosiasikan tautan trunk dengan switch, sehingga mendapatkan akses ke beberapa VLAN yang seharusnya tidak pernah mencapai host.

Dalam serangan double tagging, dua tag 802.1Q dicampur dalam frame yang sama, memanfaatkan fakta bahwa VLAN native tidak diberi tag, untuk mencoba berpindah dari satu VLAN ke VLAN lain melalui trunk yang keamanannya lemah.

Karena semua alasan ini, rekomendasi keamanan saat ini jelas: jangan gunakan VLAN 1 untuk pengguna , jangan biarkan sebagai VLAN asli pada trunk, jangan berikan alamat IP manajemen, dan jika memungkinkan, isolasi atau bahkan saring agar tidak membawa lalu lintas produksi.

Praktik terbaik untuk desain dan alokasi pelabuhan

Salah satu keputusan kunci saat mengkonfigurasi VLAN adalah bagaimana menetapkan port switch ke setiap VLAN dan apa yang harus dilakukan dengan port yang tidak terpakai. Hal ini tampak sepele, tetapi kinerja dan keamanan bergantung padanya.

Pada port akses, sebaiknya selalu sisakan hanya satu VLAN yang tidak diberi tag (VLAN untuk pengguna atau perangkat tersebut) dan tandai sisanya sebagai dikecualikan. Ini mencegah antarmuka "melihat" VLAN yang bukan miliknya, bahkan jika seseorang secara tidak sengaja mengubah pengaturan.

Pada tautan trunk, disarankan untuk secara eksplisit mengkonfigurasi VLAN mana yang diizinkan (misalnya, `switchport trunk allowed vlan 10, 20, 99`) daripada meneruskan semua VLAN dari jaringan. Setiap trunk hanya boleh membawa VLAN yang benar-benar dibutuhkannya.

Untuk port yang tidak digunakan, praktik paling aman adalah mematikannya , menetapkannya ke VLAN "lubang hitam" tanpa gateway atau DHCP, dan memastikan port tersebut tidak ditandai sebagai port trunk atau mengaktifkan DTP. Hal ini mencegah seseorang menghubungkan perangkat dan tiba-tiba muncul di jaringan produksi.

Dalam lingkungan dengan jumlah port yang banyak, sangat penting untuk mendokumentasikan secara menyeluruh apa yang terhubung ke setiap antarmuka , memberi label pada kabel, dan selalu memperbarui diagram pengkabelan. Banyak masalah konektivitas VLAN hanya disebabkan oleh kabel yang dipindahkan tanpa memperbarui dokumentasi; panduan pengkabelan membantu mencegah kesalahan.

VLAN "non-exit" dan port yang tidak digunakan

Teknik sederhana dan sangat efektif untuk melindungi port yang tidak terpakai adalah dengan membuat VLAN "tanpa output" , yaitu VLAN tanpa DHCP, routing, dan layanan, lalu memasukkan semua port akses yang tidak digunakan ke dalamnya.

Idenya adalah, bahkan jika seseorang menghubungkan perangkat ke salah satu port tersebut, host tersebut tidak akan mendapatkan alamat IP, tidak akan memiliki gateway, tidak akan dapat menjangkau perangkat lain, dan lalu lintasnya akan tetap sepenuhnya terisolasi. Ini semacam kondisi limbo jaringan.

Di banyak lingkungan, ID yang mudah dikenali, seperti VLAN 777, 999, atau 4094 , digunakan untuk tujuan ini. Switch dikonfigurasi untuk mengecualikan semua VLAN lain dari port tersebut, tidak ada antarmuka Layer 3 yang didefinisikan untuk VLAN tersebut, dan VLAN tersebut tidak diiklankan pada router mana pun.

Selain itu, disarankan agar DTP dinonaktifkan pada semua port akses dengan switchport nonegotiate , sehingga port tersebut tidak pernah mencoba untuk secara otomatis menjadi trunk dengan melakukan negosiasi dengan port tetangga.

VLAN untuk suara, data, dan perangkat khusus.

Dalam jaringan dengan telepon IP dan lalu lintas suara , praktik standar adalah memisahkan lalu lintas suara ke dalam VLAN khusus, yang berbeda dari VLAN PC. Alasannya ada dua: persyaratan kualitas layanan dan keamanan.

Lalu lintas suara sangat sensitif terhadap latensi, jitter, dan kehilangan paket. Jika dicampur secara sembarangan dengan unduhan berat, streaming video, atau pencadangan, kualitas panggilan akan cepat menurun. Memisahkan suara ke dalam VLAN Anda memungkinkan Anda untuk memprioritaskannya dengan QoS dan menerapkan kebijakan yang lebih tepat.

Selain itu, telepon IP biasanya memiliki kemampuan penandaan VLAN sendiri (802.1Q): telepon tersebut dihubungkan secara berurutan dengan PC, dengan port ke jaringan bertindak sebagai trunk (suara berlabel, data tidak berlabel) dan port ke PC bertindak sebagai port akses. Hal ini memerlukan konfigurasi port yang lebih tepat untuk menghindari kerentanan keamanan.

Sebaiknya perangkat IoT, sistem otomatisasi rumah, kamera IP, televisi, colokan pintar , dan lain-lain, dipisahkan ke dalam VLAN khusus. Perangkat-perangkat ini seringkali memiliki keamanan yang buruk dan firmware yang kurang terawat, dan sebaiknya dijauhkan dari jaringan logis yang sama dengan PC manajemen atau server penting.

Dalam dunia WiFi, sebagian besar titik akses profesional memungkinkan Anda untuk mengaitkan SSID dengan setiap VLAN . Hal ini memperluas segmentasi jaringan kabel ke jaringan nirkabel: VLAN manajemen, VLAN perusahaan, VLAN IoT, VLAN tamu, masing-masing dengan SSID dan aturannya sendiri.

Perutean antara VLAN, ACL, dan firewall

Sesuai desainnya, VLAN tidak dapat "saling melihat" pada Layer 2. Jika Anda ingin perangkat pada VLAN yang berbeda berkomunikasi, Anda harus naik ke Layer 3: routing antar-VLAN. Hal ini biasanya dilakukan pada router, firewall, atau switch Layer 3.

Ada dua pendekatan utama. Yang pertama adalah menggunakan router atau firewall yang kompatibel dengan 802.1Q yang terhubung ke jaringan switch utama. Router membuat subinterface (satu per VLAN), menetapkan alamat IP ke subinterface tersebut, dan bertindak sebagai gateway. Selain itu, firewall memberlakukan aturan yang lebih rinci mengenai siapa yang dapat berkomunikasi dengan siapa.

Pendekatan kedua adalah menggunakan switch terkelola Layer 3 pada lapisan distribusi atau inti. Antarmuka VLAN (SVI) dibuat pada switch ini, bertindak sebagai gateway untuk setiap subnet. Switch itu sendiri menangani routing internal dan ACL yang sesuai, mengurangi beban kerja dari router tepi.

Dalam kedua kasus tersebut, sangat penting untuk menyertai perutean ini dengan daftar kontrol akses (ACL) atau aturan firewall yang ketat. Keberadaan jalur IP antar VLAN tidak berarti semua lalu lintas harus diizinkan. Pemfilteran harus dilakukan berdasarkan sumber, tujuan, port, protokol, dan arah koneksi.

Contoh tipikal: VLAN tamu hanya dapat mengakses internet, VLAN IoT hanya dapat berkomunikasi dengan server tertentu (seperti NTP, syslog, atau broker MQTT), VLAN siswa tidak dapat mengakses VLAN manajemen, VLAN cadangan hanya memulai koneksi ke server cadangan, dan lain sebagainya.

Protokol manajemen VLAN: VTP dan perusahaan

Pada jaringan besar dengan banyak switch, membuat VLAN secara manual pada setiap perangkat tidak praktis dan rawan kesalahan. Karena alasan ini, protokol seperti VTP (VLAN Trunking Protocol) dalam ekosistem Cisco memungkinkan distribusi terpusat dari daftar VLAN.

VTP mendefinisikan tiga mode operasi untuk switch: server, klien, dan transparan . Server dapat membuat, mengganti nama, atau menghapus VLAN dan mengirimkan informasi ini ke klien dalam domain yang sama. Klien menerima dan menerapkan perubahan, tetapi tidak memodifikasinya. Klien transparan tidak memproses basis data VLAN; mereka hanya mengirim ulang informasi tersebut.

Protokol-protokol semacam ini sangat menyederhanakan pekerjaan, tetapi ada beberapa hal yang perlu diperhatikan: kesalahan pada switch server, kata sandi VTP yang dikelola dengan buruk, atau switch lama yang dimasukkan kembali ke jaringan dengan basis data yang sudah usang dapat tiba-tiba menghancurkan konfigurasi VLAN di seluruh organisasi.

Oleh karena itu, dalam banyak desain saat ini, lebih disukai untuk menggunakan VTP dalam mode transparan atau tidak menggunakannya sama sekali, mengelola VLAN dengan alat otomatisasi (Ansible, template, pengontrol terpusat, dll.) atau dengan desain yang lebih statis dan terkontrol.

Keamanan tingkat lanjut: VACL, PVLAN, dan mitigasi serangan

Seiring pertumbuhan jaringan dan meningkatnya tingkat kepentingannya, VLAN saja tidak cukup. Untuk mengontrol lalu lintas secara lebih rinci di dalam VLAN, VACL (VLAN ACL atau VLAN map) dapat digunakan , memungkinkan lalu lintas untuk difilter atau dialihkan pada tingkat VLAN, bukan hanya pada antarmuka tertentu.

VACL dikonfigurasi dengan mendefinisikan peta akses per VLAN yang menggunakan daftar akses IP atau MAC dan menentukan apa yang harus dilakukan dengan lalu lintas yang cocok: membiarkannya lewat, memblokirnya, mengirimkannya ke port pemantauan, mengalihkannya, dll. Kemudian, VACL diterapkan secara global ke satu atau lebih VLAN pada switch.

Untuk kasus di mana Anda ingin mengisolasi host dalam subnet yang sama, ada VLAN pribadi (PVLAN) . Ini dimulai dengan VLAN utama, yang biasanya merupakan lokasi gateway, dan kemudian membuat VLAN sekunder terkait yang terdiri dari dua jenis: terisolasi dan komunitas.

VLAN sekunder terisolasi memungkinkan setiap host hanya melihat gateway, tetapi tidak host lain, meskipun mereka berada di VLAN sekunder terisolasi yang sama. VLAN sekunder komunitas memungkinkan sekelompok host untuk saling melihat satu sama lain dan gateway, tetapi tidak kelompok lain di VLAN utama yang sama.

Mengenai serangan spesifik, selain yang telah dibahas tentang VLAN 1 dan DTP, sangat penting untuk mengurangi VLAN hopping melalui double tagging . Untuk melakukan ini, disarankan untuk mengubah VLAN native ke VLAN yang tidak digunakan oleh host, menghapus VLAN native dari trunk jika memungkinkan, menonaktifkan DTP, secara eksplisit mendefinisikan port sebagai akses atau trunk, dan menggunakan perintah untuk memastikan bahwa VLAN native selalu diberi tag, membuang lalu lintas yang tidak diberi tag.

Diagnosis dan pemeliharaan jaringan dengan VLAN

Menyiapkan jaringan dengan VLAN hanyalah setengah dari pekerjaan; setengah lainnya adalah memeliharanya dan memecahkan masalah tanpa kehilangan akal sehat. Masalah konektivitas VLAN yang umum seringkali memiliki penyebab yang cukup sama. Untuk panduan dan prosedur praktis, konsultasikan sumber daya tentang pemecahan masalah jaringan.

Di satu sisi, terdapat kesalahan fisik: kabel dipindahkan dari satu port ke port lain tanpa memperbarui dokumentasi, port dikonfigurasi sebagai akses padahal seharusnya trunk, atau sebaliknya, tautan redundan yang didefinisikan dengan buruk yang berakhir dalam loop jika STP tidak disetel dengan benar.

Di sisi lain, terdapat kegagalan logis: VLAN yang dibuat pada beberapa switch tetapi tidak pada switch lainnya, daftar VLAN yang diizinkan pada trunk yang dikonfigurasi secara tidak benar , rentang DHCP yang tidak sesuai dengan mask, atau gateway yang diatur secara tidak benar pada perangkat akhir.

Alat diagnostik utama adalah perintah-perintah umum: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , dll. Menggabungkan ini dengan pengambilan data lalu lintas pada port tertentu dan sistem pemantauan yang baik sangat membantu.

Disarankan juga untuk secara berkala meninjau ACL, aturan firewall, PVLAN, VACL, dan konfigurasi manajemen untuk memastikan tidak ada celah yang terlewat setelah perubahan proyek, perluasan, atau migrasi.

Dokumentasi yang jelas (skema VLAN, rentang IP, penugasan port, deskripsi kebijakan akses antar-VLAN) dan pencatatan perubahan yang teliti hampir sama pentingnya dengan perintah konfigurasi itu sendiri.

Dengan segmentasi yang dipikirkan dengan matang, VLAN yang diberi label dengan benar, manajemen VLAN asli yang bijaksana, perutean antar-VLAN yang dilindungi ACL, dan kebiasaan pemeliharaan yang konsisten, jaringan perusahaan dapat memperoleh peningkatan yang signifikan dalam hal keamanan, kinerja, dan kontrol tanpa perlu membangun kembali seluruh infrastruktur fisik.