תצורת VLAN ואבטחת רשת: מדריך מלא

אינפורמטק דיגיטל » Recursos » תצורת VLAN ואבטחת רשת: מדריך מלא

אם אתם מנהלים רשת ארגונית, אתם יודעים ששמירה על תפקוד מהיר ומאובטח אינה משימה קלה. ככל שצוותים, שירותים ויישומים גדלים, שידורים, צווארי בקבוק ובעיות אבטחה מתחילים לצוץ בכל מקום.

אחד הכלים החזקים ביותר להשגת סדר בכאוס הזה הוא רשתות VLAN (רשתות LAN וירטואליות) . רשתות VLAN, המתוכננות ותצורתן היטב, מאפשרות לפלח את הרשת, להפחית תעבורה מיותרת, לבודד מחלקות ולהגן על שירותים קריטיים... אך אם הן מיושמות בצורה גרועה, הן עלולות להפוך למסננת אבטחה או לסיוט אדמיניסטרטיבי.

מהו בעצם VLAN ולמה זה חשוב לאבטחה?

VLAN היא למעשה רשת לוגית נפרדת הפועלת על אותה תשתית פיזית: אותם מתגים, אותם כבלים, אותם נקודות גישה ל-Wi-Fi. באופן הגיוני, המכשירים ב-VLAN מתנהגים כאילו היו ברשת LAN נפרדת, גם אם הם ממוקמים בקומות שונות או בבניינים שונים.

זה מאפשר לקבוצה של מחשבים אישיים, שרתים, טלפוני IP, מדפסות או מצלמות IP ליצור תחום שידור משלהם , מבודד מקבוצות אחרות. חבילות שידור ושידור מרובה נשארות בתוך ה-VLAN שלהם במקום להציף את כל הרשת, מה שמשפר את הביצועים ומקל על השליטה מי יכול לראות את מי.

בסביבות עסקיות, מקובל ליצור רשתות VLAN עבור מחלקות שונות (חשבונאות, הנדסה, שיווק) , כדי להפריד בין תעבורת ניהול, עבור קול, עבור אורחים, עבור IoT, או אפילו VLAN גיבוי ייעודי. לכל אחד מהם יש ניתוב, אבטחה ואיכות שירות משלו.

יתר על כן, רשתות VLAN הן מרכיב מפתח באסטרטגיות פילוח ו-Zero Trust : רשתות אינן נחשבות עוד "אמינות לחלוטין", ומשטחי תקיפה מוגדרים. כשל או זיהום ב-VLAN אחד לא אמורים לגרום לארגון כולו לקרוס באפקט דומינו.

מושגים בסיסיים: יציאות גישה, רשתות טראנס ו-VLAN מקורי

כדי להבין באופן מלא את תצורת ואבטחת VLAN, שלושה מושגים הם קריטיים: יציאות גישה, יציאות רשת ראשית (trunk) ו-VLAN מקוריים . שליטה בשלושת המושגים הללו הופכת את כל השאר להרבה יותר קל.

יציאת גישה היא יציאת מתג שמעבירה תעבורה מרשת VLAN יחידה למכשיר קצה: מחשב, מדפסת, מצלמת IP, טלפון וכו'. התעבורה יוצאת מהמתג ועוברת למכשיר ללא תג 802.1Q. באופן פנימי, המתג יודע לאיזה VLAN המכשיר שייך, אך המכשיר אינו רואה את התג.

יציאת Trunk היא קישור בין התקני רשת (switch-switch, switch-router, switch-AP) שדרכו מספר רשתות VLAN עוברות בו זמנית . במקרה זה, המסגרות נושאות את תג 802.1Q המציין לאיזה VLAN הן שייכות. זה מאפשר להרחיב VLANs ברחבי הטופולוגיה ולרשתות לוגיות מרובות לעבור דרך אותו קישור פיזי.

VLAN מקורי הוא ה-VLAN המשמש לתעבורה לא מתויגת בקישור 802.1Q. כל מסגרת הנכנסת ליציאת trunk ללא תג מוקצית ל-VLAN מקורי זה. כברירת מחדל, במכשירים רבים, זהו VLAN 1, וכאן מתחילות בעיות אבטחה אם תצורה זו לא משתנה.

ארכיטקטורת רשת ועיצוב עם VLANs

ברשתות בינוניות וגדולות, טופולוגיה בת שלוש שכבות משמשת בדרך כלל : ליבה, הפצה וגישה. לכל שכבה תפקיד ספציפי, ולאופן שבו שכבות אלו משולבות עם רשתות VLAN יש חשיבות מעשית רבה.

שכבת הגישה מורכבת מהמתגים המחברים ישירות משתמשים ומכשירי קצה. למתגים אלו יש את מספר יציאות הגישה הרב ביותר והם המקום שבו מוגדרים רוב רשתות המשתמש, הקול, האינטרנט של הדברים ורשתות VLAN אחרות. כאן נדרשת תשומת הלב הרבה ביותר להקצאת יציאות ולנהלי אבטחה פיזית (מניעת חיבור כבלים לא מורשית).

שכבת ההפצה מורכבת ממתגים אשר צוברים תעבורה ממתגי גישה מרובים . זוהי בדרך כלל הנקודה בה מתרחש ניתוב בין רשתות VLAN, מוחלים רשימות ACL עדינות יותר, מסתיימים קישורי סיבים, מתווספים קישורים (EtherChannel) ומיושמים מדיניות מתקדמות יותר (QoS, בקרת סערה וכו').

שכבת הליבה מכילה את קישורי ההפצה ואת השער לאינטרנט או לרשתות חיצוניות. ברשתות גדולות מאוד, הליבה בדרך כלל מטפלת רק במיתוג במהירות גבוהה , עם מעט מאוד פונקציות נוספות, כדי להפחית השהייה ומורכבות.

בעת תכנון רשת עם VLANs, מומלץ להגדיר תחילה אילו קבוצות לוגיות נדרשות (לפי פונקציה, קריטיות, רמת אמון וכו') ולאחר מכן ליישם זאת בסכימת IP מתוכננת היטב (תת-רשתות, מסכות, VLSM, טווחים דינמיים וסטטיים) ובהקצאה ברורה של פורטים בכל מתג.

סוגי VLAN ושימושים נפוצים

התקן הנפוץ ביותר לתיוג מסגרות בקישורי Trunk הוא IEEE 802.1Q . הוא מוסיף 4 בתים לכותרת ה-Ethernet עם מזהה ה-VLAN ושדות אחרים, כך שהמתג יודע בדיוק לאיזה VLAN שייכת כל מסגרת מבלי לכסות את כל המסגרת.

בעת הגדרת רשתות VLAN עם 802.1Q על גבי מתגים, ניתן לסמן כל פורט כמתויג או לא מתויג עבור VLAN ספציפי. פורט יכול להיות מתויג במספר רשתות VLAN (אופייני ל-trunk) אך לא מתויג רק באחד מהם (זה שהמכשיר הקצה יראה אם ​​מדובר בפורט גישה).

בנוסף לרשתות VLAN סטנדרטיות מבוססות 802.1Q, קיימות שיטות נפוצות נוספות בסביבות ארגוניות: רשתות VLAN מבוססות פורטים, רשתות VLAN מבוססות MAC, רשתות VLAN לניהול, רשתות VLAN לבקרה, רשתות VLAN מקוריות מותאמות אישית, רשתות VLAN היברידיות ואפילו רשתות VX בסביבות מרכזי נתונים וענן בהן נדרשות מיליוני רשתות לוגיות. יש לשקול גם טכנולוגיות כגון 802.1X ורשתות VLAN דינמיות להקצאה ואבטחה מתקדמות.

רשת VLAN לניהול משמשת אך ורק לגישה מנהלית למתגים, נתבים, נקודות גישה, חומות אש ומערכות ניטור. בדרך כלל יש לה תת-רשת IP משלה ורשימות בקרת גישה (ACL) מחמירות המגבילות את מי שיכול להיכנס. ניהול התקנים מאותם רשתות VLAN כמו משתמשים הוא רעיון גרוע מאוד.

מה שנקרא VLAN בקרה מוקדש לתעבורת פרוטוקולי רשת פנימית: STP, פרוטוקולי ניתוב, CDP, LLDP, VTP וכו'. הפרדת תעבורה זו מתעבורת נתונים או ניהול מפחיתה רעש, משפרת את היציבות ומאפשרת יישום של אמצעי אבטחה ספציפיים.

VLAN 1, VLAN מקורי, ומדוע הם מהווים בעיית אבטחה

ברוב המתגים, VLAN 1 מוגדר כברירת מחדל וכ-VLAN מקורי בכל הפורטים. משמעות הדבר היא שאם לא יחול שינוי, כל התעבורה הלא מתויגת הנכנסת ל-trunk תנותב ל-VLAN 1, וכל הפורטים ייחשבו לחלק ממנו.

הבעיה היא שכל תוקף בעל ידע סביר יודע זאת. VLAN 1 הוא מטרה עיקרית ל- VLAN hopping , switch spoofing והתקפות אחרות המנצלות תצורות ברירת מחדל כדי לחדור ל-VLANs אחרים.

במתקפת זיוף מתגים, לדוגמה, התוקף מחבר את המכשיר שלו לפורט שבו DTP פעיל במצב דינמי ומנהל משא ומתן על קישור trunk עם המתג, ובכך מקבל גישה למספר VLAN שלעולם לא אמורים להגיע למארח.

בהתקפת תיוג כפול, שני תגים 802.1Q מעורבבים באותו מסגרת, תוך ניצול העובדה שה-VLAN המקורי נע ללא תגיות, כדי לנסות לקפוץ מ-VLAN אחד לאחר דרך trunk (trunk) שאינו מאובטח היטב.

מכל הסיבות הללו, המלצות האבטחה הנוכחיות ברורות: אין להשתמש ב-VLAN 1 עבור משתמשים , אין להשאיר אותו כ-VLAN המקורי ב-trunks, אין לתת לו כתובת IP לניהול, ואם אפשר, יש לבודד או אפילו לסנן אותו כך שלא יישא תעבורת ייצור.

שיטות עבודה מומלצות לתכנון והקצאת נמלים

אחת ההחלטות המרכזיות בעת הגדרת רשתות VLAN היא כיצד להקצות פורטים של מתג לכל VLAN ומה לעשות עם פורטים שאינם בשימוש. זה נראה טריוויאלי, אבל גם הביצועים וגם האבטחה תלויים בכך.

ביציאות גישה, מומלץ תמיד להשאיר רק VLAN אחד ללא תגיות (זה של אותו משתמש או מכשיר) ולסמן את השאר כלא כלואים. זה מונע מהממשק "לראות" VLANs שאינם שייכים לו, גם אם מישהו משנה בטעות את ההגדרות.

בקישורי Trunk, מומלץ להגדיר במפורש אילו רשתות VLAN מותרות (למשל, `switchport trunk allowed vlan 10, 20, 99`) במקום להעביר את כל רשתות ה-VLAN מהרשת. כל Trunk צריך לשאת רק את רשתות ה-VLAN שהוא באמת צריך.

עבור פורטים שאינם בשימוש, הנוהג הבטוח ביותר הוא לסגור אותם , להקצות אותם ל-VLAN מסוג "חור שחור" ללא שער או DHCP, ולוודא שהם אינם מסומנים כפורט trunk או ש-DTP מופעל. זה מונע ממישהו לחבר מכשיר ולהופיע פתאום ברשת הייצור.

בסביבות עם מספר רב של פורטים, חיוני לתעד היטב את מה שמחובר לכל ממשק , לתייג את הכבלים ולעדכן את דיאגרמות החיווט. בעיות רבות בקישוריות VLAN נובעות פשוט מהזזת כבלים מבלי לעדכן את התיעוד; מדריך חיווט מסייע במניעת שגיאות.

רשתות VLAN "לא-יציאה" ופורטים שאינם בשימוש

טכניקה פשוטה ויעילה מאוד להגנה על פורטים פנויים היא ליצור VLAN "ללא פלט" , כלומר, VLAN ללא DHCP, ניתוב ושירותים, ולהכניס לתוכו את כל פורטי הגישה שאינם בשימוש.

הרעיון הוא שגם אם מישהו יחבר מכשיר לאחד מאותם פורטים, אותו מארח לא יקבל כתובת IP, לא יהיה לו שער, לא יוכל להגיע למכשירים אחרים, והתעבורה שלו תישאר מבודדת לחלוטין. זהו סוג של לימבו רשתי.

בסביבות רבות, נעשה שימוש במזהה מזוהה, כגון VLAN 777, 999 או 4094 , למטרה זו. המתג מוגדר כך שלא יוצגו כל שאר רשתות ה-VLAN ביציאות אלו, לא מוגדר ממשק שכבה 3 עבור VLAN זה, והוא אינו מפורסם באף נתב.

בנוסף, מומלץ להשבית DTP בכל פורטי הגישה עם switchport nonegotiate , כך שלעולם לא ינסו להפוך אוטומטית ל-Trunks על ידי משא ומתן עם השכן.

רשתות VLAN עבור קול, נתונים והתקנים מיוחדים

ברשתות עם טלפוניית IP ותעבורת קול , נוהג מקובל להפריד את תעבורת הקול לרשת VLAN ספציפית, הנבדלת מזו של המחשבים האישיים. הסיבה לכך היא שתיים: דרישות איכות השירות ואבטחה.

תעבורת קול רגישה מאוד להשהייה, ריצוד ואובדן חבילות. אם היא מעורבבת באופן לא הבחנה עם הורדות כבדות, הזרמת וידאו או גיבויים, שיחות מתדרדרות במהירות. הפרדת קול ל-VLAN שלך מאפשרת לך לתעדף אותו באמצעות QoS וליישם מדיניות מדויקת יותר.

יתר על כן, לטלפוני IP יש בדרך כלל יכולות תיוג VLAN משלהם (802.1Q): הם מחוברים למחשב, כאשר היציאה לרשת משמשת כ-trunk (קול מתויג, נתונים לא מתויג) והיציאה למחשב משמשת כיציאת גישה. זה דורש תצורות יציאה מדויקות יותר כדי להימנע מפגיעויות אבטחה.

כמו כן, מומלץ להפריד מכשירי IoT, מערכות אוטומציה ביתיות, מצלמות IP, טלוויזיות, שקעים חכמים וכו', לרשתות VLAN ספציפיות. למכשירים אלה יש לעתים קרובות אבטחה ירודה וקושחה לא מתוחזקת כראוי, ועדיף לשמור אותם מחוץ לאותה רשת לוגית כמו מחשבי ניהול או שרתים קריטיים.

בעולם ה-WiFi, רוב נקודות הגישה המקצועיות מאפשרות לך לשייך SSID לכל VLAN . זה מרחיב את פילוח הרשת הקווית לרשת האלחוטית: VLAN ניהולי, VLAN ארגוני, VLAN IoT, VLAN אורח, לכל אחד SSID וכללים משלו.

ניתוב בין VLAN, רשימות ACL וחומות אש

מטבעם, רשתות VLAN אינן יכולות "לראות" אחת את השנייה בשכבה 2. אם אתם רוצים שהתקנים ברשתות VLAN שונות יתקשרו, עליכם לעבור לשכבה 3: ניתוב בין-VLAN. זה נעשה בדרך כלל בנתב, חומת אש או מתג בשכבה 3.

ישנן שתי גישות עיקריות. הראשונה היא להשתמש בנתב או בחומת אש תואמי 802.1Q המחוברים לרשת רשת (switch backbone). הנתב יוצר ממשקי משנה (אחד לכל VLAN), מקצה להם כתובות IP ופועל כשער. בנוסף, חומת האש אוכפת כללים מדויקים לגבי מי יכול לתקשר עם מי.

הגישה השנייה היא להשתמש במתג מנוהל בשכבה 3 בשכבת ההפצה או הליבה. ממשקי VLAN (SVIs) נוצרים במתג זה, ומשמשים כשערי גישה לכל תת-רשת. המתג עצמו מטפל בניתוב פנימי וב-ACLs המתאימים, ומוריד עומס עבודה מנתב הקצה.

בשני המקרים, חיוני ללוות את הניתוב הזה ברשימות בקרת גישה (ACL) או בכללי חומת אש מחמירים. קיומו של נתיב IP בין רשתות VLAN אינו אומר שכל התעבורה צריכה להיות מותרת. הסינון חייב להתבצע על סמך מקור, יעד, פורטים, פרוטוקולים וכיוון חיבור.

דוגמה אופיינית: VLAN אורח יכול לגשת רק לאינטרנט, VLAN IoT יכול לתקשר רק עם שרתים ספציפיים (כגון NTP, syslog או מתווך MQTT), VLAN הסטודנט אינו יכול לגשת ל-VLAN הניהול, VLAN הגיבוי יוזם רק חיבורים לשרת הגיבוי וכו'.

פרוטוקולי ניהול VLAN: VTP וחברה

ברשתות גדולות עם הרבה מתגים, יצירה ידנית של רשתות VLAN בכל מכשיר אינה מעשית ומועדת לשגיאות. מסיבה זו, פרוטוקולים כמו VTP (VLAN Trunking Protocol) במערכת האקולוגית של סיסקו מאפשרים הפצה מרכזית של רשימת ה-VLAN.

VTP מגדיר שלושה מצבי פעולה עבור מתג: שרת, לקוח ושקוף . שרתים יכולים ליצור, לשנות שם או למחוק VLAN ולשלוח מידע זה ללקוחות באותו תחום. לקוחות מקבלים ומחילים את השינויים, אך אינם משנים אותם. לקוחות שקופים אינם מעבדים את מסד הנתונים של VLAN; הם רק משדרים מחדש את המידע.

פרוטוקולים מסוג זה מפשטים מאוד את החיים, אך יש להם את האותיות הקטנות שלהם: שגיאה במתג שרת, סיסמת VTP שמנוהלת בצורה גרועה, או מתג ישן שהוכנס מחדש לרשת עם מסד נתונים מיושן, יכולים להרוס לפתע את תצורת ה-VLAN בכל רחבי הארגון.

לכן, בעיצובים עכשוויים רבים, עדיף להשתמש ב-VTP במצב שקוף או לא להשתמש בו כלל, לנהל VLANs באמצעות כלי אוטומציה (Ansible, תבניות, בקרים מרכזיים וכו') או עם עיצוב סטטי ומבוקר יותר.

אבטחה מתקדמת: VACL, PVLAN והגנה מפני התקפות

ככל שהרשת גדלה והקריטיות שלה עולה, רשתות VLAN לבדן אינן מספיקות. כדי לשלוט בתעבורה בצורה מדויקת יותר בתוך VLAN, ניתן להשתמש ב-VACL (רשימות ACL של VLAN או מפות VLAN) , המאפשרות סינון או ניתוב מחדש של תעבורה ברמת ה-VLAN, לא רק בממשקים ספציפיים.

VACL מוגדרים על ידי הגדרת מפות גישה לכל VLAN המשתמשות ברשימות גישת IP או MAC ומציינות מה לעשות עם תעבורה תואמת: לאפשר לה לעבור, לחסום אותה, לשלוח אותה ליציאת ניטור, להפנות אותה מחדש וכו'. לאחר מכן הן מוחלות באופן גלובלי על VLAN אחד או יותר במתג.

במקרים בהם רוצים לבודד מארחים בתוך אותה תת-רשת, קיימות רשתות VLAN פרטיות (PVLAN) . אלו מתחילות ב-VLAN ראשי, שבדרך כלל נמצא במקום בו נמצא השער, ולאחר מכן יוצרות רשתות VLAN משניות משויכות משני סוגים: מבודדות וקהילתיות.

רשתות VLAN משניות מבודדות מאפשרות לכל מארח לראות רק את השער, אך לא מארחים אחרים, גם אם הם נמצאים באותו VLAN משני מבודד. רשתות VLAN משניות קהילתיות מאפשרות לקבוצת מארחים לראות זה את זה ואת השער, אך לא קבוצות אחרות באותו VLAN ראשי.

בנוגע להתקפות ספציפיות, בנוסף למה שכבר נדון לגבי VLAN 1 ו-DTP, חיוני להפחית את מעבר ה-VLAN באמצעות תיוג כפול . לשם כך, מומלץ לשנות את ה-VLAN המקורי ל-VLAN שאינו בשימוש על ידי מארחים, להסיר את ה-VLAN המקורי מ-trunks במידת האפשר, להשבית את DTP, להגדיר במפורש פורטים כ-access או trunk, ולהשתמש בפקודות כדי להבטיח שה-VLAN המקורי תמיד מתויג, תוך התעלמות מתעבורה לא מתויגת.

אבחון ותחזוקה של רשתות עם VLAN

הגדרת רשת עם רשתות VLAN היא רק חצי מהעבודה; החצי השני הוא תחזוקה ופתרון בעיות מבלי לאבד את שפיותך. בעיות קישוריות VLAN אופייניות נובעות לעיתים קרובות מסיבות שכיחות למדי. לקבלת מדריכים ונהלים מעשיים, עיין במשאבים בנושא פתרון בעיות רשת.

מצד אחד, ישנן שגיאות פיזיות: כבלים שהועברו מפורט אחד לאחר מבלי לעדכן את התיעוד, פורטים שתצורתם נקבעה כגישה במקום בו אמור להיות trunk, או להיפך, קישורים מיותרים מוגדרים בצורה גרועה שמסתיימים בלולאות אם STP אינו מכוון כראוי.

מצד שני, ישנם כשלים לוגיים: רשתות VLAN שנוצרו בחלק מהמתגים אך לא באחרים, רשימות VLAN המותרות ב-trunke שתצורתם שגוי , טווחי DHCP שאינם תואמים למסכות, או שערים שהוגדרו באופן שגוי בהתקני הקצה.

כלי האבחון המרכזיים הם הפקודות הרגילות: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute וכו'. שילוב של אלה עם לכידת תעבורה בפורטים ספציפיים ומערכת ניטור טובה עוזר מאוד.

כמו כן, מומלץ לבדוק מעת לעת רשימות ACL, כללי חומת אש, PVLAN, VACL ותצורות ניהול כדי לוודא שלא נותרו פערים לאחר שינויים, הרחבות או הגירות בפרויקט.

תיעוד ברור (סכמות VLAN, טווחי IP, הקצאות פורטים, תיאור של מדיניות גישה בין-VLAN) ורישום שינויים קפדני חשובים כמעט כמו פקודות התצורה עצמן.

בעזרת פילוח מתוכנן היטב, רשתות VLAN מתויגות כראוי, ניהול VLAN מקורי זהיר, ניתוב בין-VLAN המוגן על ידי ACL והרגלי תחזוקה עקביים, רשת ארגונית יכולה להשיג קפיצת מדרגה משמעותית באבטחה, בביצועים ובשליטה מבלי להזדקק לבנייה מחדש של כל התשתית הפיזית.