- VLAN's segmenteren het fysieke netwerk in geïsoleerde logische netwerken, waardoor broadcastverkeer wordt verminderd en de prestaties worden verbeterd.
- Het correcte gebruik van toegangspoorten, trunks en native VLAN's is essentieel om VLAN-hopping en switch-spoofing-aanvallen te voorkomen.
- Inter-VLAN-routering moet altijd gepaard gaan met ACL's of firewalls die nauwkeurig bepalen wie met wie kan communiceren.
- VACL, PVLAN en een strikt beheer van ongebruikte poorten versterken de beveiliging en controle in complexe bedrijfsnetwerken.
Als u een bedrijfsnetwerk beheert, weet u dat het geen eenvoudige opgave is om alles snel en veilig draaiende te houden . Naarmate teams, services en applicaties groeien, duiken overal broadcasts, knelpunten en beveiligingsproblemen op.
Een van de krachtigste instrumenten om orde in deze chaos te scheppen, zijn VLAN's (Virtual LAN's) . Goed ontworpen en geconfigureerd, stellen ze je in staat het netwerk te segmenteren, onnodig verkeer te verminderen, afdelingen te isoleren en kritieke services te beschermen... maar slecht geïmplementeerd, kunnen ze een beveiligingslek of een administratieve nachtmerrie worden.
Wat is een VLAN precies en waarom is het belangrijk voor de beveiliging?
Een VLAN is in wezen een apart logisch netwerk dat op dezelfde fysieke infrastructuur draait: dezelfde switches, dezelfde bekabeling, dezelfde wifi-toegangspunten. Logischerwijs gedragen de apparaten op een VLAN zich alsof ze zich op een apart LAN bevinden, zelfs als ze zich op verschillende verdiepingen of in verschillende gebouwen bevinden.
Dit maakt het mogelijk voor een groep pc's, servers, IP-telefoons, printers of IP-camera's om een eigen broadcastdomein te vormen , geïsoleerd van andere groepen. Broadcast- en multicastpakketten blijven binnen hun VLAN in plaats van het hele netwerk te overspoelen, wat de prestaties verbetert en het gemakkelijker maakt om te bepalen wie wie kan zien.
In zakelijke omgevingen is het gebruikelijk om VLAN's aan te maken voor verschillende afdelingen (boekhouding, techniek, marketing) , om beheerverkeer te scheiden, voor spraak, voor gasten, voor IoT, of zelfs een dedicated back-up-VLAN. Elk VLAN heeft zijn eigen routerings-, beveiligings- en kwaliteitsregels.
Bovendien vormen VLAN's een essentieel onderdeel van segmentatie- en Zero Trust- strategieën : netwerken worden niet langer als "volledig betrouwbaar" beschouwd en aanvalsoppervlakken worden gedefinieerd. Een storing of infectie in één VLAN mag niet leiden tot een domino-effect waarbij de hele organisatie instort.
Basisconcepten: toegangspoorten, trunks en native VLAN
Om VLAN-configuratie en -beveiliging volledig te begrijpen, zijn drie concepten cruciaal: toegangspoorten, trunkpoorten en native VLAN's . Het beheersen van deze drie concepten maakt al het andere veel eenvoudiger.
Een accesspoort is een switchpoort die verkeer van één VLAN naar een eindapparaat transporteert: een pc, printer, IP-camera, telefoon, enzovoort. Het verkeer verlaat de switch en gaat naar het apparaat zonder 802.1Q-tag. Intern weet de switch tot welk VLAN het apparaat behoort, maar het apparaat ziet de tag niet.
Een trunkpoort is een verbinding tussen netwerkapparaten (switch-switch, switch-router, switch-AP) waarover meerdere VLAN's gelijktijdig worden verzonden . In dit geval dragen de frames de 802.1Q-tag die aangeeft tot welk VLAN ze behoren. Dit maakt het mogelijk om VLAN's door de hele topologie uit te breiden en meerdere logische netwerken over dezelfde fysieke verbinding te laten lopen.
De native VLAN is de VLAN die wordt gebruikt voor ongetagd verkeer op een 802.1Q-link. Elk frame dat zonder tag een trunkpoort binnenkomt, wordt aan deze native VLAN toegewezen. Standaard is dit op veel apparaten VLAN 1, en dit is waar beveiligingsproblemen beginnen als deze configuratie niet wordt gewijzigd.
Netwerkarchitectuur en -ontwerp met VLAN's
In middelgrote en grote netwerken wordt doorgaans een drielaagse topologie gebruikt : core, distributie en access. Elke laag heeft een specifieke rol en de manier waarop deze lagen worden gecombineerd met VLAN's is van groot praktisch belang.
De toegangslaag bestaat uit de switches die gebruikers en eindapparaten rechtstreeks met elkaar verbinden. Deze switches hebben de meeste toegangspoorten en hier worden de meeste VLAN's voor gebruikers, spraak, IoT en andere toepassingen gedefinieerd. Daarom is het toewijzen van poorten en de fysieke beveiliging (om te voorkomen dat kabels onbevoegd worden aangesloten) hier van groot belang.
De distributielaag bestaat uit switches die verkeer van meerdere access switches samenvoegen . Dit is doorgaans het punt waar routering tussen VLAN's plaatsvindt, fijnere ACL's worden toegepast, glasvezelverbindingen worden afgesloten, verbindingen (EtherChannel) worden toegevoegd en geavanceerdere beleidsregels (QoS, storm control, enz.) worden geïmplementeerd.
De kernlaag bevat de distributieverbindingen en de gateway naar het internet of externe netwerken. In zeer grote netwerken verzorgt de kernlaag doorgaans alleen snelle switching , met slechts enkele extra functies, om latentie en complexiteit te verminderen.
Bij het ontwerpen van een netwerk met VLAN's is het raadzaam om eerst te bepalen welke logische groepen nodig zijn (op basis van functie, kritikaliteit, vertrouwensniveau, enz.) en dit vervolgens te implementeren in een goed doordacht IP-schema (subnetten, maskers, VLSM, dynamische en statische bereiken) en in een duidelijke toewijzing van poorten op elke switch.
VLAN-typen en veelvoorkomende toepassingen
De meest gangbare standaard voor het taggen van frames op trunk-links is IEEE 802.1Q . Deze voegt 4 bytes toe aan de Ethernet-header met de VLAN-ID en andere velden, zodat de switch precies weet tot welk VLAN elk frame behoort zonder het hele frame te hoeven inkapselen.
Bij het configureren van VLAN's met 802.1Q op switches kan elke poort worden gemarkeerd als getagd of ongetagd voor een specifiek VLAN. Een poort kan in meerdere VLAN's getagd zijn (typisch voor een trunk), maar slechts in één ervan ongetagd (de poort die het eindapparaat ziet als het een accesspoort is).
Naast de standaard 802.1Q-gebaseerde VLAN's bestaan er in bedrijfsomgevingen ook andere veelgebruikte modaliteiten: poortgebaseerde VLAN's, MAC-gebaseerde VLAN's, management-VLAN's, controle-VLAN's, aangepaste native VLAN's, hybride VLAN's en zelfs VXLAN's in datacenters en cloudomgevingen waar miljoenen logische netwerken nodig zijn. Technologieën zoals 802.1X en dynamische VLAN's voor geavanceerde toewijzing en beveiliging moeten ook worden overwogen.
Het management-VLAN wordt uitsluitend gebruikt voor administratieve toegang tot switches, routers, access points, firewalls en monitoringsystemen. Het heeft doorgaans een eigen IP-subnet en strikte toegangscontrolelijsten (ACL's) die bepalen wie toegang heeft. Het beheren van apparaten vanuit hetzelfde VLAN als gebruikers is ten zeerste af te raden.
Het zogenaamde controle-VLAN is bestemd voor intern netwerkprotocolverkeer: STP, routingprotocollen, CDP, LLDP, VTP, enz. Door dit verkeer te scheiden van data- of beheerverkeer wordt ruis verminderd, de stabiliteit verbeterd en kunnen specifieke beveiligingsmaatregelen worden toegepast.
VLAN 1, native VLAN, en waarom ze een beveiligingsprobleem vormen
Op de meeste switches is VLAN 1 geconfigureerd als het standaard en native VLAN op alle poorten. Dit betekent dat, indien niet gewijzigd, al het ongetagde verkeer dat een trunk binnenkomt, naar VLAN 1 wordt gerouteerd en alle poorten als onderdeel daarvan worden beschouwd.
Het probleem is dat elke enigszins bekwame aanvaller dit weet. VLAN 1 is een belangrijk doelwit voor VLAN-hopping , switch-spoofing en andere aanvallen die gebruikmaken van standaardconfiguraties om andere VLAN's te infiltreren.
Bij een switch-spoofingaanval sluit de aanvaller bijvoorbeeld zijn apparaat aan op een poort waar DTP actief is in dynamische modus en onderhandelt hij over een trunkverbinding met de switch, waardoor hij toegang krijgt tot meerdere VLAN's die een host nooit zouden mogen bereiken.
Bij een double tagging-aanval worden twee 802.1Q-tags in hetzelfde frame gemengd. Hierbij wordt misbruik gemaakt van het feit dat het native VLAN ongetagd wordt verzonden, om zo te proberen van het ene VLAN naar het andere te springen via een slecht beveiligde trunk.
Om al deze redenen zijn de huidige beveiligingsaanbevelingen duidelijk: gebruik VLAN 1 niet voor gebruikers , laat het niet als het standaard VLAN op trunks staan, geef het geen management-IP-adres en isoleer of filter het indien mogelijk zodat het geen productieverkeer transporteert.
Beste praktijken voor het ontwerp en de toewijzing van havens
Een van de belangrijkste beslissingen bij het configureren van VLAN's is hoe switchpoorten aan elk VLAN worden toegewezen en wat er met ongebruikte poorten moet gebeuren. Het lijkt triviaal, maar zowel de prestaties als de beveiliging hangen ervan af.
Op toegangspoorten is het verstandig om altijd slechts één VLAN ongetagd te laten (het VLAN voor die gebruiker of dat apparaat) en de rest als uitgesloten te markeren. Dit voorkomt dat de interface VLAN's "ziet" die er niet bij horen, zelfs als iemand per ongeluk de instellingen wijzigt.
Bij trunk-links wordt aanbevolen om expliciet te configureren welke VLAN's zijn toegestaan (bijv. `switchport trunk allowed vlan 10, 20, 99`) in plaats van alle VLAN's vanuit het netwerk door te geven. Elke trunk moet alleen de VLAN's transporteren die daadwerkelijk nodig zijn.
Voor ongebruikte poorten is het het veiligst om ze uit te schakelen , ze toe te wijzen aan een "black hole"-VLAN zonder gateway of DHCP, en ervoor te zorgen dat ze niet zijn gemarkeerd als trunkpoort of dat DTP is ingeschakeld. Dit voorkomt dat iemand een apparaat aansluit en plotseling toegang krijgt tot het productienetwerk.
In omgevingen met veel poorten is het essentieel om nauwkeurig te documenteren wat er op elke interface is aangesloten , de bekabeling te labelen en de bedradingsschema's actueel te houden. Veel problemen met VLAN-connectiviteit worden simpelweg veroorzaakt doordat kabels worden verplaatst zonder dat de documentatie wordt bijgewerkt; een bedradingsschema helpt fouten te voorkomen.
"Niet-uitgaande" VLAN's en ongebruikte poorten
Een eenvoudige en zeer effectieve techniek om vrije poorten te beschermen, is het creëren van een "no-output" VLAN , dat wil zeggen een VLAN zonder DHCP, routing en services, en alle toegangspoorten die niet in gebruik zijn daarin te plaatsen.
Het idee is dat zelfs als iemand een apparaat op een van die poorten aansluit, die host geen IP-adres krijgt, geen gateway heeft, geen andere apparaten kan bereiken en het verkeer volledig geïsoleerd blijft. Het is een soort netwerk-niemandsland.
In veel omgevingen wordt hiervoor een herkenbare ID gebruikt , zoals VLAN 777, 999 of 4094. De switch is geconfigureerd om alle andere VLAN's van die poorten uit te sluiten, er is geen Layer 3-interface voor die VLAN gedefinieerd en deze wordt niet geadverteerd op een router.
Daarnaast wordt aanbevolen om DTP uit te schakelen op alle toegangspoorten met switchport nonegotiate , zodat ze nooit automatisch proberen trunk te worden door te onderhandelen met de buurman.
VLAN's voor spraak, data en speciale apparaten.
In netwerken met IP-telefonie en spraakverkeer is het standaard om spraakverkeer in een specifiek VLAN te scheiden, los van dat van de pc's. De reden hiervoor is tweeledig: kwaliteitseisen en beveiliging.
Spraakverkeer is zeer gevoelig voor latentie, jitter en pakketverlies. Als het zonder onderscheid wordt gemengd met zware downloads, videostreaming of back-ups, verslechtert de kwaliteit van gesprekken snel. Door spraakverkeer in uw VLAN te scheiden, kunt u het prioriteren met QoS en nauwkeurigere beleidsregels toepassen.
Bovendien beschikken IP-telefoons doorgaans over eigen VLAN-taggingmogelijkheden (802.1Q): ze worden gekoppeld aan de pc, waarbij de poort naar het netwerk fungeert als trunk (getagde spraak, ongetagde data) en de poort naar de pc als toegangspoort. Dit vereist een nauwkeurigere poortconfiguratie om beveiligingslekken te voorkomen.
Het is ook verstandig om IoT-apparaten, domoticasystemen, IP-camera's, televisies, slimme stekkers , enzovoort, in aparte VLAN's onder te brengen. Deze apparaten hebben vaak een gebrekkige beveiliging en slecht onderhouden firmware, en het is het beste om ze buiten hetzelfde logische netwerk te houden als beheer-pc's of kritieke servers.
In de wifi-wereld bieden de meeste professionele access points de mogelijkheid om een SSID aan elk VLAN te koppelen . Dit breidt de segmentatie van het bekabelde netwerk uit naar het draadloze netwerk: management-VLAN, bedrijfs-VLAN, IoT-VLAN, gast-VLAN, elk met een eigen SSID en regels.
Routering tussen VLAN's, ACL's en firewalls
VLAN's kunnen elkaar per definitie niet "zien" op laag 2. Als je wilt dat apparaten op verschillende VLAN's met elkaar communiceren, moet je naar laag 3 gaan: inter-VLAN-routing. Dit gebeurt meestal in een router, firewall of switch op laag 3.
Er zijn twee belangrijke benaderingen. De eerste is het gebruik van een 802.1Q-compatibele router of firewall die is aangesloten op een switch-backbone. De router creëert subinterfaces (één per VLAN), wijst er IP-adressen aan toe en fungeert als gateway. De firewall handhaaft daarnaast gedetailleerde regels over wie met wie mag communiceren.
De tweede aanpak is het gebruik van een Layer 3 managed switch op de distributie- of corelaag. Op deze switch worden VLAN-interfaces (SVI's) aangemaakt die fungeren als gateways voor elk subnet. De switch zelf verzorgt de interne routing en de bijbehorende ACL's, waardoor de edge-router wordt ontlast.
In beide gevallen is het essentieel om deze routering te combineren met toegangscontrolelijsten (ACL's) of strikte firewallregels. Het bestaan van een IP-pad tussen VLAN's betekent niet dat al het verkeer moet worden toegestaan. Filtering moet plaatsvinden op basis van bron, bestemming, poorten, protocollen en verbindingsrichting.
Een typisch voorbeeld: het gast-VLAN heeft alleen toegang tot internet, het IoT-VLAN kan alleen communiceren met specifieke servers (zoals NTP, syslog of een MQTT-broker), het studenten-VLAN heeft geen toegang tot het beheer-VLAN, het back-up-VLAN initieert alleen verbindingen met de back-upserver, enzovoort.
VLAN-beheerprotocollen: VTP en bedrijfsprotocollen.
In grote netwerken met veel switches is het handmatig aanmaken van VLAN's op elk apparaat onpraktisch en foutgevoelig. Daarom maken protocollen zoals VTP (VLAN Trunking Protocol) in het Cisco-ecosysteem de gecentraliseerde distributie van de VLAN-lijst mogelijk.
VTP definieert drie werkingsmodi voor een switch: server, client en transparant . Servers kunnen VLAN's aanmaken, hernoemen of verwijderen en deze informatie naar clients binnen hetzelfde domein verzenden. Clients ontvangen en passen de wijzigingen toe, maar wijzigen ze niet. Transparante clients verwerken de VLAN-database niet; ze verzenden de informatie alleen door.
Dit soort protocollen vereenvoudigen het leven aanzienlijk, maar ze hebben wel hun addertjes onder het gras: een fout in een serverswitch, een slecht beheerd VTP-wachtwoord of een oude switch die opnieuw in het netwerk wordt opgenomen met een verouderde database, kan plotseling de VLAN-configuratie in de hele organisatie verstoren.
Daarom wordt er in veel huidige ontwerpen de voorkeur gegeven aan het gebruik van VTP in transparante modus of helemaal niet, waarbij VLAN's worden beheerd met automatiseringstools (Ansible, templates, gecentraliseerde controllers, enz.) of met een meer statisch en gecontroleerd ontwerp.
Geavanceerde beveiliging: VACL, PVLAN en aanvalsbeperking.
Naarmate het netwerk groeit en de kritische aard ervan toeneemt, schieten VLAN's alleen tekort. Om het verkeer binnen een VLAN nauwkeuriger te beheren, kunnen VACL's (VLAN ACL's of VLAN-maps) worden gebruikt . Hiermee kan verkeer op VLAN-niveau worden gefilterd of omgeleid, en niet alleen op specifieke interfaces.
VACL's worden geconfigureerd door per VLAN toegangskaarten te definiëren die gebruikmaken van IP- of MAC-toegangslijsten en specificeren wat er met overeenkomend verkeer moet gebeuren: doorlaten, blokkeren, naar een monitoringpoort sturen, omleiden, enzovoort. Ze worden vervolgens globaal toegepast op een of meer VLAN's op de switch.
Voor situaties waarin u hosts binnen hetzelfde subnet wilt isoleren, zijn er private VLAN's (PVLAN's) . Deze beginnen met een primaire VLAN, waar zich meestal de gateway bevindt, en creëren vervolgens bijbehorende secundaire VLAN's van twee typen: geïsoleerde en community-VLAN's.
Geïsoleerde secundaire VLAN's zorgen ervoor dat elke host alleen de gateway kan zien, maar geen andere hosts, zelfs niet als ze zich op dezelfde geïsoleerde secundaire VLAN bevinden. Gemeenschappelijke secundaire VLAN's zorgen ervoor dat een groep hosts elkaar en de gateway kan zien, maar geen andere groepen op dezelfde primaire VLAN.
Wat betreft specifieke aanvallen, is het, naast wat al is besproken over VLAN 1 en DTP, cruciaal om VLAN-hopping te beperken door middel van dubbele tagging . Om dit te doen, wordt aanbevolen om het native VLAN te wijzigen naar een VLAN dat niet door hosts wordt gebruikt, het native VLAN indien mogelijk van trunks te verwijderen, DTP uit te schakelen, poorten expliciet te definiëren als access of trunk, en commando's te gebruiken om ervoor te zorgen dat het native VLAN altijd getagd is en ongetagd verkeer wordt verworpen.
Diagnose en onderhoud van netwerken met VLAN's
Het opzetten van een netwerk met VLAN's is slechts de helft van het werk; de andere helft is het onderhouden ervan en het oplossen van problemen zonder gek te worden. Typische VLAN-verbindingsproblemen hebben vaak vrij gangbare oorzaken. Raadpleeg voor praktische handleidingen en procedures bronnen over het oplossen van netwerkproblemen.
Enerzijds zijn er fysieke fouten: kabels die van de ene poort naar de andere worden verplaatst zonder de documentatie bij te werken, poorten die als access zijn geconfigureerd terwijl ze als trunk zouden moeten dienen, of omgekeerd, slecht gedefinieerde redundante verbindingen die in lussen eindigen als STP niet correct is afgesteld.
Aan de andere kant zijn er logische fouten: VLAN's die op sommige switches wel maar op andere niet worden aangemaakt, VLAN-lijsten die zijn toegestaan op trunks maar onjuist zijn geconfigureerd , DHCP-bereiken die niet overeenkomen met de subnetmaskers, of gateways die onjuist zijn ingesteld op de eindapparaten.
De belangrijkste diagnostische hulpmiddelen zijn de gebruikelijke commando's: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , enz. Het combineren hiervan met verkeersanalyses op specifieke poorten en een goed monitoringsysteem is zeer nuttig.
Het is ook raadzaam om periodiek ACL's, firewallregels, PVLAN's, VACL's en beheerconfiguraties te controleren om er zeker van te zijn dat er geen hiaten zijn ontstaan na projectwijzigingen, uitbreidingen of migraties.
Duidelijke documentatie (VLAN-schema's, IP-bereiken, poorttoewijzingen, beschrijving van toegangsbeleid tussen VLAN's) en nauwgezette registratie van wijzigingen zijn bijna net zo belangrijk als de configuratieopdrachten zelf.
Met een doordachte segmentatie, correct gelabelde VLAN's, verstandig native VLAN-beheer, ACL-beveiligde inter-VLAN-routing en consistente onderhoudsgewoonten kan een bedrijfsnetwerk een aanzienlijke sprong voorwaarts maken op het gebied van beveiliging, prestaties en controle, zonder dat de gehele fysieke infrastructuur opnieuw hoeft te worden opgebouwd.
