- VLAN-er segmenterer det fysiske nettverket i isolerte logiske nettverk, noe som reduserer kringkastingstrafikk og forbedrer ytelsen.
- Riktig bruk av tilgangsporter, trunker og native VLAN-er er nøkkelen til å forhindre VLAN-hopping og switch-forfalskningsangrep.
- Ruting mellom VLAN bør alltid ledsages av tilgangskontrollister eller brannmurer som nøyaktig kontrollerer hvem som kan snakke med hvem.
- VACL, PVLAN og streng håndtering av ubrukte porter styrker sikkerhet og kontroll i komplekse bedriftsnettverk.
Hvis du administrerer et bedriftsnettverk, vet du at det ikke er lett å holde alt i gang raskt og sikkert . Etter hvert som team, tjenester og applikasjoner vokser, begynner kringkastinger, flaskehalser og sikkerhetsproblemer å dukke opp overalt.
Et av de kraftigste verktøyene for å bringe orden i dette kaoset er VLAN-er (virtuelle LAN-er) . Veldesignede og konfigurerte lar de deg segmentere nettverket, redusere unødvendig trafikk, isolere avdelinger og beskytte kritiske tjenester ... men dårlig implementert kan de bli en sikkerhetssil eller et administrativt mareritt.
Hva er egentlig et VLAN, og hvorfor er det viktig for sikkerheten?
Et VLAN er i hovedsak et separat logisk nettverk som kjører på den samme fysiske infrastrukturen: de samme svitsjene, den samme kablene, de samme Wi-Fi-tilgangspunktene. Logisk sett oppfører enhetene på et VLAN seg som om de var på et separat LAN, selv om de er plassert i forskjellige etasjer eller i forskjellige bygninger.
Dette gjør at en gruppe PC-er, servere, IP-telefoner, skrivere eller IP-kameraer kan danne sitt eget kringkastingsdomene , isolert fra andre grupper. Kringkastings- og multicast-pakker forblir innenfor VLAN-et i stedet for å oversvømme hele nettverket, noe som forbedrer ytelsen og gjør det enklere å kontrollere hvem som kan se hvem.
I forretningsmiljøer er det vanlig å opprette VLAN-er for ulike avdelinger (regnskap, ingeniørfag, markedsføring) , for å separere administrasjonstrafikk, for tale, for gjester, for IoT, eller til og med et dedikert backup-VLAN. Hvert av dem har sine egne regler for ruting, sikkerhet og tjenestekvalitet.
Videre er VLAN-er en nøkkelkomponent i segmentering og nulltillitsstrategier : nettverk antas ikke lenger å være "fullt pålitelige", og angrepsflater defineres. En feil eller infeksjon i ett VLAN bør ikke føre til at hele organisasjonen kollapser i en dominoeffekt.
Grunnleggende konsepter: tilgangsporter, trunker og innebygd VLAN
For å forstå VLAN-konfigurasjon og -sikkerhet fullt ut, er tre konsepter avgjørende: tilgangsporter, trunkporter og native VLAN-er . Å mestre disse tre konseptene gjør alt annet mye enklere.
En tilgangsport er en svitsjport som fører trafikk fra et enkelt VLAN til en sluttenhet: en PC, skriver, IP-kamera, telefon osv. Trafikken forlater svitsjen og går til enheten uten en 802.1Q-tag. Internt vet svitsjen hvilket VLAN enheten tilhører, men enheten ser ikke taggen.
En trunkport er en kobling mellom nettverksenheter (svitsj-svitsj, svitsj-ruter, svitsj-AP) som flere VLAN-er beveger seg gjennom samtidig . I dette tilfellet har rammene 802.1Q-taggen som indikerer hvilket VLAN de tilhører. Dette gjør at VLAN-er kan utvides gjennom hele topologien og flere logiske nettverk kan passere over den samme fysiske koblingen.
Det native VLAN-et er VLAN-et som brukes for umerket trafikk på en 802.1Q-lenke. Hver ramme som går inn i en trunk-port uten en tagg, tilordnes dette native VLAN-et. Som standard er det VLAN 1 på mange enheter, og det er her sikkerhetsproblemer begynner hvis denne konfigurasjonen ikke endres.
Nettverksarkitektur og design med VLAN-er
I mellomstore og store nettverk brukes ofte en trelagstopologi : kjerne, distribusjon og tilgang. Hvert lag har en spesifikk rolle, og hvordan disse lagene kombineres med VLAN-er er av stor praktisk betydning.
Tilgangslaget består av svitsjene som kobler brukere og sluttenheter direkte. Disse svitsjene har flest tilgangsporter, og det er her de fleste bruker-, tale-, IoT- og andre VLAN-er er definert. Det er her porttildeling og fysiske sikkerhetspraksiser (forebygging av uautorisert kabeltilkobling) krever mest oppmerksomhet.
Distribusjonslaget består av svitsjer som samler trafikk fra flere tilgangssvitsjer . Det er vanligvis punktet der ruting mellom VLAN-er skjer, finere tilgangskontrolllister brukes, fiberlenker termineres, lenker (EtherChannel) legges til og mer avanserte policyer (QoS, stormkontroll osv.) implementeres.
Kjernelaget huser distribusjonskoblingene og porten til internett eller eksterne nettverk. I svært store nettverk håndterer kjernen vanligvis bare høyhastighetssvitsjing , med svært få tilleggsfunksjoner, for å redusere ventetid og kompleksitet.
Når man designer et nettverk med VLAN-er, anbefales det å først definere hvilke logiske grupper som trengs (etter funksjon, kritikalitet, tillitsnivå osv.) og deretter implementere det i et godt planlagt IP-skjema (undernett, masker, VLSM, dynamiske og statiske områder) og i en tydelig portallokering på hver svitsj.
VLAN-typer og vanlige bruksområder
Den mest utbredte standarden for merking av rammer på trunk-lenker er IEEE 802.1Q . Den legger til 4 byte i Ethernet-headeren med VLAN-ID-en og andre felt, slik at svitsjen vet nøyaktig hvilket VLAN hver ramme tilhører uten å innkapsle hele rammen.
Når du konfigurerer VLAN-er med 802.1Q på svitsjer, kan hver port merkes som tagget eller utagget for et bestemt VLAN. En port kan være tagget i flere VLAN-er (typisk for en trunk), men bare utagget i ett av dem (den sluttenheten vil se hvis det er en tilgangsport).
I tillegg til standard 802.1Q-baserte VLAN-er, finnes det andre vanlige modaliteter i bedriftsmiljøer: portbaserte VLAN-er, MAC-baserte VLAN-er, administrasjons-VLAN-er, kontroll-VLAN-er, tilpassede native VLAN-er, hybride VLAN-er og til og med VXLAN-er i datasenter- og skymiljøer der millioner av logiske nettverk er nødvendig. Teknologier som 802.1X og dynamiske VLAN-er for avansert allokering og sikkerhet bør også vurderes.
Administrasjons -VLAN-et brukes utelukkende for administrativ tilgang til svitsjer, rutere, tilgangspunkter, brannmurer og overvåkingssystemer. Det har vanligvis sitt eget IP-subnett og strenge tilgangskontrolllister (ACL-er) som begrenser hvem som kan komme inn. Å administrere enheter fra de samme VLAN-ene som brukere er en veldig dårlig idé.
Det såkalte kontroll-VLAN-et er dedikert til intern nettverksprotokolltrafikk: STP, rutingsprotokoller, CDP, LLDP, VTP, osv. Å skille denne trafikken fra data- eller administrasjonstrafikk reduserer støy, forbedrer stabiliteten og muliggjør bruk av spesifikke sikkerhetstiltak.
VLAN 1, native VLAN, og hvorfor de er et sikkerhetsproblem
På de fleste svitsjer er VLAN 1 konfigurert som standard og native VLAN på alle porter. Dette betyr at hvis det ikke endres, vil all umerket trafikk som kommer inn i en trunk bli rutet inn i VLAN 1, og alle porter vil bli ansett som en del av det.
Problemet er at enhver noenlunde smart angriper vet dette. VLAN 1 er et hovedmål for VLAN-hopping , switch-spoofing og andre angrep som utnytter standardkonfigurasjoner for å infiltrere andre VLAN-er.
I et switch-forfalskningsangrep kobler for eksempel angriperen enheten sin til en port der DTP er aktiv i dynamisk modus og forhandler en trunk-kobling med svitsjen, og får dermed tilgang til flere VLAN-er som aldri skal nå en vert.
I et dobbelt taggingangrep blandes to 802.1Q-tagger i samme ramme, og utnytter det faktum at det native VLAN-et beveger seg utagget, for å prøve å hoppe fra ett VLAN til et annet gjennom en dårlig sikret trunk.
Av alle disse grunnene er gjeldende sikkerhetsanbefalinger klare: ikke bruk VLAN 1 for brukere , ikke la det være det opprinnelige VLAN-et på trunker, ikke gi det en IP-adresse for administrasjon, og om mulig, isoler eller filtrer det slik at det ikke bærer produksjonstrafikk.
Beste praksis for havnedesign og -tildeling
En av de viktigste avgjørelsene når man konfigurerer VLAN-er er hvordan man tilordner svitsjporter til hvert VLAN og hva man skal gjøre med ubrukte porter. Det virker trivielt, men både ytelse og sikkerhet avhenger av det.
På tilgangsporter er det lurt å alltid la bare ett VLAN være umerket (det for den brukeren eller enheten) og merke resten som ekskludert. Dette forhindrer at grensesnittet "ser" VLAN-er som ikke tilhører det, selv om noen ved et uhell endrer innstillinger.
I trunk-lenker anbefales det å eksplisitt konfigurere hvilke VLAN-er som er tillatt (f.eks. `switchport trunk allowed vlan 10, 20, 99`) i stedet for å sende alle VLAN-er fra nettverket. Hver trunk skal bare ha de VLAN-ene den faktisk trenger.
For ubrukte porter er den sikreste fremgangsmåten å stenge dem ned , tilordne dem til et «svart hull»-VLAN uten gateway eller DHCP, og sørge for at de ikke er merket som en trunk-port eller har DTP aktivert. Dette forhindrer at noen kobler til en enhet og plutselig dukker opp på produksjonsnettverket.
I miljøer med et høyt antall porter er det viktig å dokumentere grundig hva som er koblet til hvert grensesnitt , merke kablene og holde koblingsskjemaene oppdaterte. Mange VLAN-tilkoblingsproblemer skyldes rett og slett at kabler flyttes uten å oppdatere dokumentasjonen; en koblingsveiledning bidrar til å forhindre feil.
"Ikke-utgangs"-VLAN-er og ubrukte porter
En enkel og svært effektiv teknikk for å beskytte ledige porter er å opprette et "no-output" VLAN , det vil si et VLAN uten DHCP, ruting og tjenester, og legge alle tilgangsportene som ikke brukes inn i det.
Tanken er at selv om noen kobler en enhet til en av disse portene, vil ikke verten få en IP-adresse, ikke ha en gateway, ikke kunne nå andre enheter, og trafikken vil forbli fullstendig isolert. Det er en slags nettverkslimbo.
I mange miljøer brukes en gjenkjennelig ID, som VLAN 777, 999 eller 4094 , til dette formålet. Svitsjen er konfigurert til å ekskludere alle andre VLAN-er fra disse portene, det er ikke definert noe Layer 3-grensesnitt for det VLAN-et, og det annonseres ikke på noen ruter.
I tillegg anbefales det at DTP deaktiveres på alle tilgangsporter med switchport nonegotiate , slik at de aldri automatisk prøver å bli trunker ved å forhandle med naboen.
VLAN-er for tale, data og spesialenheter
I nettverk med IP-telefoni og taletrafikk er det standard praksis å separere taletrafikk i et spesifikt VLAN, atskilt fra PC-enes. Årsaken er todelt: krav til tjenestekvalitet og sikkerhet.
Taletrafikk er svært følsom for latens, jitter og pakketap. Hvis den blandes ukritisk med store nedlastinger, videostrømming eller sikkerhetskopier, forringes samtaler raskt. Ved å separere tale i VLAN-et ditt kan du prioritere den med QoS og bruke mer presise retningslinjer.
Videre har IP-telefoner vanligvis sine egne VLAN-taggingsmuligheter (802.1Q): de er kaskadert med PC-en, der porten til nettverket fungerer som en trunk (merket tale, umerkede data) og porten til PC-en fungerer som tilgangsport. Dette krever mer presise portkonfigurasjoner for å unngå sikkerhetsproblemer.
Det er også lurt å separere IoT-enheter, hjemmeautomatiseringssystemer, IP-kameraer, TV-er, smartplugger osv. i spesifikke VLAN-er. Disse enhetene har ofte dårlig sikkerhet og dårlig vedlikeholdt fastvare, og det er best å holde dem utenfor samme logiske nettverk som administrasjons-PC-er eller kritiske servere.
I WiFi-verdenen lar de fleste profesjonelle tilgangspunkter deg tilknytte en SSID til hvert VLAN . Dette utvider segmenteringen av det kablede nettverket til det trådløse nettverket: administrasjons-VLAN, bedrifts-VLAN, IoT-VLAN, gjeste-VLAN, hver med sin egen SSID og regler.
Ruting mellom VLAN-er, ACL-er og brannmurer
VLAN-er er utformet slik at de ikke kan «se» hverandre på lag 2. Hvis du vil at enheter på forskjellige VLAN-er skal kommunisere, må du gå opp til lag 3: ruting mellom VLAN-er. Dette gjøres vanligvis i en ruter, brannmur eller lag 3-svitsj.
Det finnes to hovedtilnærminger. Den første er å bruke en 802.1Q-kompatibel ruter eller brannmur koblet til en svitsj-backbone. Ruteren oppretter undergrensesnitt (ett per VLAN), tilordner IP-adresser til dem og fungerer som gateway. Brannmuren håndhever i tillegg finjusterte regler for hvem som kan kommunisere med hvem.
Den andre tilnærmingen er å bruke en administrert svitsj på lag 3 på distribusjons- eller kjernelaget. VLAN-grensesnitt (SVIs) opprettes på denne svitsjen, og fungerer som gatewayer for hvert delnett. Svitsjen håndterer selv intern ruting og de tilhørende ACL-ene, og avlaster dermed kantens ruter.
I begge tilfeller er det viktig å følge denne rutingen med tilgangskontrolllister (ACL-er) eller strenge brannmurregler. Eksistensen av en IP-bane mellom VLAN-er betyr ikke at all trafikk skal tillates. Filtrering må gjøres basert på kilde, destinasjon, porter, protokoller og tilkoblingsretning.
Et typisk eksempel: gjeste-VLAN-et har bare tilgang til Internett, IoT-VLAN-et kan bare kommunisere med spesifikke servere (som NTP, syslog eller en MQTT-megler), student-VLAN-et har ikke tilgang til administrasjons-VLAN-et, sikkerhetskopi-VLAN-et initierer bare tilkoblinger til sikkerhetskopiserveren, osv.
VLAN-administrasjonsprotokoller: VTP og selskap
I store nettverk med mange svitsjer er det upraktisk og utsatt for feil å opprette VLAN-er manuelt på hver enhet. Av denne grunn tillater protokoller som VTP (VLAN Trunking Protocol) i Cisco-økosystemet sentralisert distribusjon av VLAN-listen.
VTP definerer tre driftsmoduser for en svitsj: server, klient og transparent . Servere kan opprette, gi nytt navn til eller slette VLAN-er og sende denne informasjonen til klienter innenfor samme domene. Klienter mottar og bruker endringene, men endrer dem ikke. Transparente klienter behandler ikke VLAN-databasen; de sender bare informasjonen på nytt.
Denne typen protokoller forenkler livet betraktelig, men de har sin lille skrift: en feil i en serversvitsj, et dårlig administrert VTP-passord eller en gammel svitsj som er introdusert i nettverket på nytt med en utdatert database, kan plutselig ødelegge VLAN-konfigurasjonen i hele organisasjonen.
Derfor er det i mange nåværende design å foretrekke å bruke VTP i transparent modus eller ikke bruke det i det hele tatt, og administrere VLAN-er med automatiseringsverktøy (Ansible, maler, sentraliserte kontrollere osv.) eller med et mer statisk og kontrollert design.
Avansert sikkerhet: VACL, PVLAN og angrepsreduksjon
Etter hvert som nettverket vokser og kritiskheten øker, kommer VLAN-er alene til kort. For å kontrollere trafikken mer detaljert innenfor et VLAN, kan VACL-er (VLAN ACL-er eller VLAN-kart) brukes , slik at trafikk kan filtreres eller omdirigeres på VLAN-nivå, ikke bare på spesifikke grensesnitt.
VACL-er konfigureres ved å definere tilgangskart per VLAN som bruker IP- eller MAC-tilgangslister og spesifiserer hva som skal gjøres med samsvarende trafikk: slippe den gjennom, blokkere den, sende den til en overvåkingsport, omdirigere den osv. De brukes deretter globalt på ett eller flere VLAN-er på svitsjen.
For tilfeller der du vil isolere verter innenfor samme delnett, finnes det private VLAN-er (PVLAN-er) . Disse starter med et primært VLAN, som vanligvis er der gatewayen befinner seg, og oppretter deretter tilknyttede sekundære VLAN-er av to typer: isolerte og fellesskaps-VLAN-er.
Isolerte sekundære VLAN- er lar hver vert bare se gatewayen, men ikke andre verter, selv om de er på det samme isolerte sekundære VLAN-et. Sekundære VLAN- er i fellesskap lar en gruppe verter se hverandre og gatewayen, men ikke andre grupper på det samme primære VLAN-et.
Når det gjelder spesifikke angrep, er det, i tillegg til det som allerede er diskutert om VLAN 1 og DTP, avgjørende å redusere VLAN-hopping gjennom dobbel tagging . For å gjøre dette anbefales det å endre det native VLAN-et til et VLAN som ikke brukes av verter, fjerne det native VLAN-et fra trunks hvis mulig, deaktivere DTP, eksplisitt definere porter som access eller trunk, og bruke kommandoer for å sikre at det native VLAN-et alltid er tagget, slik at utagget trafikk forkastes.
Diagnostisering og vedlikehold av nettverk med VLAN-er
Å sette opp et nettverk med VLAN-er er bare halve jobben; den andre halvparten er å vedlikeholde det og feilsøke problemer uten å miste forstanden. Typiske VLAN-tilkoblingsproblemer har ofte ganske vanlige årsaker. For praktiske veiledninger og prosedyrer, se ressurser om nettverksfeilsøking.
På den ene siden er det fysiske feil: kabler flyttet fra en port til en annen uten å oppdatere dokumentasjonen, porter konfigurert som tilgang der en trunk skal være, eller omvendt, dårlig definerte redundante lenker som ender i løkker hvis STP ikke er riktig innstilt.
På den annen side finnes det logiske feil: VLAN-er opprettet på noen svitsjer, men ikke på andre, VLAN-lister tillatt på trunker som er feil konfigurert , DHCP-områder som ikke samsvarer med maskene, eller gatewayer som er feil angitt på sluttenhetene.
De viktigste diagnostiske verktøyene er de vanlige kommandoene: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , osv. Å kombinere disse med trafikkregistrering på spesifikke porter og et godt overvåkingssystem hjelper mye.
Det anbefales også å jevnlig gjennomgå tilgangskontrollister, brannmurregler, PVLAN, VACL-er og administrasjonskonfigurasjoner for å sikre at det ikke er noen hull igjen etter prosjektets endringer, utvidelser eller migreringer.
Tydelig dokumentasjon (VLAN-skjemaer, IP-områder, porttildelinger, beskrivelse av tilgangspolicyer mellom VLAN-er) og grundig endringslogging er nesten like viktig som selve konfigurasjonskommandoene.
Med gjennomtenkt segmentering, riktig merkede VLAN-er, forsvarlig innebygd VLAN-administrasjon, ACL-beskyttet ruting mellom VLAN-er og konsistente vedlikeholdsruter, kan et bedriftsnettverk få et betydelig sprang i sikkerhet, ytelse og kontroll uten å måtte gjenoppbygge hele den fysiske infrastrukturen.
