- Sieci VLAN segmentują sieć fizyczną na odizolowane sieci logiczne, co zmniejsza ruch rozgłoszeniowy i poprawia wydajność.
- Prawidłowe użycie portów dostępowych, łączy i natywnych sieci VLAN jest kluczem do zapobiegania atakom polegającym na przeskakiwaniu między sieciami VLAN i podszywaniu się pod przełączniki.
- Routing między sieciami VLAN powinien być zawsze wspierany przez listy kontroli dostępu (ACL) lub zapory sieciowe, które dokładnie kontrolują, kto z kim może się komunikować.
- VACL, PVLAN i rygorystyczne zarządzanie nieużywanymi portami wzmacniają bezpieczeństwo i kontrolę w złożonych sieciach przedsiębiorstw.
Jeśli zarządzasz siecią korporacyjną, wiesz, że utrzymanie jej szybkiego i bezpiecznego działania nie jest łatwym zadaniem. Wraz z rozwojem zespołów, usług i aplikacji, transmisje, wąskie gardła i problemy z bezpieczeństwem zaczynają pojawiać się wszędzie.
Jednym z najpotężniejszych narzędzi porządkujących ten chaos są sieci VLAN (wirtualne sieci LAN) . Dobrze zaprojektowane i skonfigurowane, pozwalają segmentować sieć, redukować zbędny ruch, izolować działy i chronić kluczowe usługi… ale źle wdrożone, mogą stać się sito bezpieczeństwa lub koszmarem administracyjnym.
Czym właściwie jest sieć VLAN i dlaczego jest ważna dla bezpieczeństwa?
Sieć VLAN to w zasadzie oddzielna sieć logiczna , która działa w oparciu o tę samą infrastrukturę fizyczną: te same przełączniki, to samo okablowanie, te same punkty dostępu Wi-Fi. Logicznie rzecz biorąc, urządzenia w sieci VLAN zachowują się tak, jakby znajdowały się w oddzielnej sieci LAN, nawet jeśli znajdują się na różnych piętrach lub w różnych budynkach.
Umożliwia to grupie komputerów, serwerów, telefonów IP, drukarek lub kamer IP utworzenie własnej domeny rozgłoszeniowej , odizolowanej od innych grup. Pakiety rozgłoszeniowe i multicastowe pozostają w swojej sieci VLAN, zamiast zalewać nią całą sieć, co poprawia wydajność i ułatwia kontrolę nad tym, kto kogo widzi.
W środowiskach biznesowych powszechne jest tworzenie sieci VLAN dla różnych działów (księgowości, inżynierii, marketingu) , aby oddzielić ruch zarządzania, głosowy, dla gości, dla Internetu Rzeczy, a nawet dedykowaną zapasową sieć VLAN. Każda z nich ma własne reguły routingu, bezpieczeństwa i jakości usług.
Co więcej, sieci VLAN stanowią kluczowy element segmentacji i strategii Zero Trust : sieci nie są już uznawane za „w pełni godne zaufania”, a powierzchnie ataku są zdefiniowane. Awaria lub infekcja w jednej sieci VLAN nie powinna powodować efektu domina w całej organizacji.
Podstawowe koncepcje: porty dostępowe, łącza trunkingowe i natywna sieć VLAN
Aby w pełni zrozumieć konfigurację i bezpieczeństwo sieci VLAN, kluczowe są trzy koncepcje: porty dostępowe, porty trunkingowe i natywne sieci VLAN . Opanowanie tych trzech koncepcji znacznie ułatwia resztę.
Port dostępowy to port przełącznika, który przesyła ruch z pojedynczej sieci VLAN do urządzenia końcowego: komputera, drukarki, kamery IP, telefonu itp. Ruch opuszcza przełącznik i trafia do urządzenia bez znacznika 802.1Q. Wewnętrznie przełącznik wie, do której sieci VLAN należy urządzenie, ale urządzenie nie widzi znacznika.
Port trunkingowy to łącze między urządzeniami sieciowymi (przełącznik-przełącznik, przełącznik-router, przełącznik-punkt dostępowy), przez które jednocześnie przesyłane są wiele sieci VLAN . W tym przypadku ramki niosą znacznik 802.1Q wskazujący, do której sieci VLAN należą. Pozwala to na rozszerzanie sieci VLAN w całej topologii i przesyłanie wielu sieci logicznych przez to samo łącze fizyczne.
Natywna sieć VLAN to sieć VLAN używana do nieoznaczonego ruchu na łączu 802.1Q. Każda ramka wchodząca do portu trunkingowego bez znacznika jest przypisywana do tej natywnej sieci VLAN. Domyślnie na wielu urządzeniach jest to sieć VLAN 1 i to właśnie tutaj zaczynają się problemy z bezpieczeństwem, jeśli ta konfiguracja nie zostanie zmieniona.
Architektura i projektowanie sieci z wykorzystaniem sieci VLAN
W sieciach średnich i dużych powszechnie stosowana jest topologia trójwarstwowa : szkieletowa, dystrybucyjna i dostępowa. Każda warstwa pełni określoną rolę, a sposób ich połączenia z sieciami VLAN ma ogromne znaczenie praktyczne.
Warstwa dostępu składa się z przełączników, które bezpośrednio łączą użytkowników z urządzeniami końcowymi. Przełączniki te mają najwięcej portów dostępowych i to na nich zdefiniowano większość sieci VLAN dla użytkowników, usług głosowych, Internetu Rzeczy i innych sieci VLAN. To właśnie tutaj przypisanie portów i praktyki bezpieczeństwa fizycznego (zapobiegające nieautoryzowanemu podłączaniu kabli) wymagają największej uwagi.
Warstwa dystrybucji składa się z przełączników, które agregują ruch z wielu przełączników dostępowych . Zazwyczaj jest to punkt, w którym odbywa się routing między sieciami VLAN, stosowane są bardziej precyzyjne listy kontroli dostępu (ACL), kończone są łącza światłowodowe, dodawane są łącza (EtherChannel) oraz wdrażane są bardziej zaawansowane polityki (QoS, kontrola burz sieciowych itp.).
Warstwa rdzeniowa zawiera łącza dystrybucyjne i bramę do internetu lub sieci zewnętrznych. W bardzo dużych sieciach rdzeń zazwyczaj obsługuje jedynie szybkie przełączanie , z bardzo niewielką liczbą funkcji dodatkowych, co pozwala zmniejszyć opóźnienia i złożoność.
Podczas projektowania sieci z sieciami VLAN zaleca się najpierw zdefiniować, które grupy logiczne są potrzebne (ze względu na funkcję, krytyczność, poziom zaufania itp.), a następnie wdrożyć je w dobrze zaplanowanym schemacie IP (podsieci, maski, VLSM, zakresy dynamiczne i statyczne) oraz w przejrzystym przydziale portów na każdym przełączniku.
Typy sieci VLAN i ich typowe zastosowania
Najbardziej rozpowszechnionym standardem znakowania ramek na łączach trunkingowych jest IEEE 802.1Q . Dodaje on 4 bajty do nagłówka Ethernet z identyfikatorem sieci VLAN i innymi polami, dzięki czemu przełącznik dokładnie wie, do której sieci VLAN należy dana ramka, bez konieczności jej enkapsulacji.
Podczas konfigurowania sieci VLAN z protokołem 802.1Q na przełącznikach, każdy port można oznaczyć jako oznaczony lub nieoznaczony dla konkretnej sieci VLAN. Port może być oznaczony w kilku sieciach VLAN (typowo dla łącza trunk), ale nieoznaczony tylko w jednej z nich (tej, którą urządzenie końcowe będzie widzieć jako port dostępowy).
Oprócz standardowych sieci VLAN opartych na standardzie 802.1Q, w środowiskach korporacyjnych istnieją inne powszechnie stosowane rozwiązania: sieci VLAN oparte na portach, sieci VLAN oparte na adresach MAC, sieci VLAN zarządzania, sieci VLAN kontroli, niestandardowe sieci VLAN natywne, sieci VLAN hybrydowe, a nawet sieci VXLAN w centrach danych i środowiskach chmurowych, gdzie wymagane są miliony sieci logicznych. Należy również rozważyć technologie takie jak 802.1X i dynamiczne sieci VLAN, zapewniające zaawansowaną alokację i bezpieczeństwo.
Sieć VLAN do zarządzania służy wyłącznie do dostępu administracyjnego do przełączników, routerów, punktów dostępowych, zapór sieciowych i systemów monitorowania. Zazwyczaj ma własną podsieć IP i ścisłe listy kontroli dostępu (ACL), które ograniczają dostęp. Zarządzanie urządzeniami z tych samych sieci VLAN, co użytkownicy, to bardzo zły pomysł.
Tak zwana sieć VLAN kontrolna jest przeznaczona do obsługi wewnętrznego ruchu protokołów sieciowych: STP, protokołów routingu, CDP, LLDP, VTP itp. Oddzielenie tego ruchu od ruchu związanego z danymi lub zarządzaniem redukuje hałas, poprawia stabilność i umożliwia zastosowanie określonych środków bezpieczeństwa.
VLAN 1, natywna sieć VLAN i dlaczego stanowią problem bezpieczeństwa
W większości przełączników sieć VLAN 1 jest skonfigurowana jako domyślna i natywna sieć VLAN na wszystkich portach. Oznacza to, że jeśli pozostanie niezmieniona, cały nieoznaczony ruch wchodzący do łącza trunkingowego będzie kierowany do sieci VLAN 1, a wszystkie porty będą uznawane za jej część.
Problem w tym, że każdy w miarę bystry atakujący o tym wie. Sieć VLAN 1 jest głównym celem ataków typu VLAN hopping , podszywania się pod przełączniki i innych ataków wykorzystujących domyślne konfiguracje do infiltracji innych sieci VLAN.
Przykładowo, w ataku polegającym na podszywaniu się pod przełącznik, atakujący podłącza swoje urządzenie do portu, na którym protokół DTP jest aktywny w trybie dynamicznym, i negocjuje łącze magistralne z przełącznikiem, uzyskując dostęp do wielu sieci VLAN, które nigdy nie powinny dotrzeć do hosta.
W ataku polegającym na podwójnym tagowaniu dwa tagi 802.1Q są mieszane w tej samej ramce, wykorzystując fakt, że natywna sieć VLAN jest przesyłana bez tagów, aby spróbować przeskoczyć z jednej sieci VLAN do drugiej przez słabo zabezpieczone łącze.
Z tych wszystkich powodów aktualne zalecenia dotyczące bezpieczeństwa są jasne: nie należy używać sieci VLAN 1 dla użytkowników , nie należy pozostawiać jej jako natywnej sieci VLAN na łączach trunk, nie należy nadawać jej adresu IP do zarządzania, a jeśli to możliwe, należy ją odizolować lub nawet filtrować, aby nie przenosiła ruchu produkcyjnego.
Najlepsze praktyki w zakresie projektowania i alokacji portów
Jedną z kluczowych decyzji podczas konfigurowania sieci VLAN jest sposób przypisywania portów przełączników do poszczególnych sieci VLAN oraz sposób postępowania z nieużywanymi portami. Wydaje się to banalne, ale od tego zależy zarówno wydajność, jak i bezpieczeństwo.
Na portach dostępowych warto zawsze pozostawiać tylko jedną sieć VLAN nieoznaczoną (tę dla danego użytkownika lub urządzenia) i oznaczać pozostałe jako wykluczone. Dzięki temu interfejs nie będzie „widział” sieci VLAN, które do niego nie należą, nawet jeśli ktoś przypadkowo zmieni ustawienia.
W przypadku łączy trunkingowych zaleca się jawne skonfigurowanie dozwolonych sieci VLAN (np. „switchport trunk permitted vlan 10, 20, 99”) zamiast przekazywania wszystkich sieci VLAN z sieci. Każde łącze trunkingowe powinno obsługiwać tylko te sieci VLAN, których faktycznie potrzebuje.
W przypadku nieużywanych portów najbezpieczniej jest je wyłączyć , przypisać do „czarnej dziury” VLAN bez bramy ani DHCP i upewnić się, że nie są oznaczone jako port trunkingowy ani nie mają włączonego DTP. Zapobiega to przypadkowemu podłączeniu urządzenia i jego nagłemu pojawieniu się w sieci produkcyjnej.
W środowiskach z dużą liczbą portów kluczowe jest dokładne udokumentowanie tego, co jest podłączone do każdego interfejsu , opisanie okablowania i aktualizowanie schematów połączeń. Wiele problemów z łącznością VLAN wynika po prostu z przenoszenia kabli bez aktualizacji dokumentacji; przewodnik po okablowaniu pomaga zapobiegać błędom.
Sieci VLAN „niewyjściowe” i nieużywane porty
Prostą i bardzo skuteczną techniką ochrony wolnych portów jest utworzenie sieci VLAN „bez wyjścia” , czyli sieci VLAN bez DHCP, routingu i usług, a następnie umieszczenie w niej wszystkich nieużywanych portów dostępowych.
Chodzi o to, że nawet jeśli ktoś podłączy urządzenie do jednego z tych portów, host ten nie otrzyma adresu IP, nie będzie miał bramy, nie będzie mógł nawiązać połączenia z innymi urządzeniami, a jego ruch pozostanie całkowicie odizolowany. To swego rodzaju sieć w zawieszeniu.
W wielu środowiskach do tego celu używany jest rozpoznawalny identyfikator, taki jak VLAN 777, 999 lub 4094. Przełącznik jest skonfigurowany tak, aby wykluczać wszystkie inne sieci VLAN z tych portów, nie zdefiniowano dla nich interfejsu warstwy 3 i nie są one reklamowane na żadnym routerze.
Dodatkowo zaleca się wyłączenie protokołu DTP na wszystkich portach dostępowych z opcją switchport nonegotiate , tak aby nigdy nie próbowały one automatycznie stać się łączami trunkingowymi poprzez negocjacje z sąsiadem.
Sieci VLAN dla urządzeń głosowych, danych i specjalnych
W sieciach z telefonią IP i ruchem głosowym , powszechną praktyką jest rozdzielanie ruchu głosowego do określonej sieci VLAN, odrębnej od ruchu komputerów. Powód jest dwojaki: wymagania dotyczące jakości usług i bezpieczeństwo.
Ruch głosowy jest bardzo wrażliwy na opóźnienia, wahania i utratę pakietów. Jeśli jest on mieszany z intensywnymi pobraniami, strumieniowaniem wideo lub kopiami zapasowymi, jakość połączeń szybko spada. Oddzielenie głosu w sieci VLAN pozwala na priorytetyzację za pomocą QoS i stosowanie bardziej precyzyjnych reguł.
Co więcej, telefony IP zazwyczaj posiadają własne funkcje tagowania VLAN (802.1Q): są kaskadowane z komputerem, przy czym port do sieci pełni funkcję łącza trunkingowego (oznaczone głosy, nieoznaczone dane), a port do komputera pełni funkcję portu dostępowego. Wymaga to bardziej precyzyjnej konfiguracji portów , aby uniknąć luk w zabezpieczeniach.
Dobrym pomysłem jest również rozdzielenie urządzeń IoT, systemów automatyki domowej, kamer IP, telewizorów, inteligentnych gniazdek itp. do określonych sieci VLAN. Urządzenia te często mają słabe zabezpieczenia i źle utrzymane oprogramowanie sprzętowe, dlatego najlepiej trzymać je poza tą samą siecią logiczną, co komputery zarządzające lub serwery krytyczne.
W świecie Wi-Fi większość profesjonalnych punktów dostępowych pozwala na przypisanie identyfikatora SSID do każdej sieci VLAN . Rozszerza to segmentację sieci przewodowej na sieć bezprzewodową: sieć VLAN zarządzania, sieć VLAN korporacyjna, sieć VLAN IoT, sieć VLAN dla gości – każda z własnym identyfikatorem SSID i regułami.
Trasowanie między sieciami VLAN, listami kontroli dostępu i zaporami sieciowymi
Sieci VLAN z założenia nie „widzą” się nawzajem na warstwie 2. Aby umożliwić komunikację między urządzeniami w różnych sieciach VLAN, należy przejść do warstwy 3: routingu między sieciami VLAN. Zazwyczaj odbywa się to na routerze, zaporze sieciowej lub przełączniku warstwy 3.
Istnieją dwa główne podejścia. Pierwsze polega na użyciu routera lub zapory sieciowej zgodnej ze standardem 802.1Q podłączonej do szkieletu przełącznika. Router tworzy podinterfejsy (po jednym na każdą sieć VLAN), przypisuje im adresy IP i pełni funkcję bramy. Zapora sieciowa dodatkowo egzekwuje szczegółowe reguły dotyczące tego, kto z kim może się komunikować.
Drugie podejście polega na użyciu zarządzanego przełącznika warstwy 3 w warstwie dystrybucyjnej lub rdzeniowej. Na tym przełączniku tworzone są interfejsy VLAN (SVI), pełniące funkcję bram dla każdej podsieci. Sam przełącznik obsługuje routing wewnętrzny i odpowiadające mu listy kontroli dostępu (ACL), odciążając router brzegowy.
W obu przypadkach konieczne jest uzupełnienie routingu listami kontroli dostępu (ACL) lub ścisłymi regułami zapory sieciowej. Istnienie ścieżki IP między sieciami VLAN nie oznacza, że cały ruch powinien być dozwolony. Filtrowanie musi odbywać się na podstawie źródła, celu, portów, protokołów i kierunku połączenia.
Typowy przykład: gościnna sieć VLAN może mieć dostęp tylko do Internetu, sieć VLAN IoT może komunikować się tylko z określonymi serwerami (takimi jak NTP, syslog lub broker MQTT), studencka sieć VLAN nie może uzyskać dostępu do zarządzającej sieci VLAN, zapasowa sieć VLAN inicjuje połączenia tylko z serwerem zapasowym itd.
Protokoły zarządzania sieciami VLAN: VTP i firmowy
W dużych sieciach z wieloma przełącznikami ręczne tworzenie sieci VLAN na każdym urządzeniu jest niepraktyczne i podatne na błędy. Z tego powodu protokoły takie jak VTP (VLAN Trunking Protocol) w ekosystemie Cisco umożliwiają scentralizowaną dystrybucję listy sieci VLAN.
Protokół VTP definiuje trzy tryby pracy przełącznika: serwer, klient i transparentny . Serwery mogą tworzyć, zmieniać nazwy lub usuwać sieci VLAN i wysyłać te informacje do klientów w tej samej domenie. Klienci odbierają i stosują zmiany, ale ich nie modyfikują. Klienci transparentni nie przetwarzają bazy danych sieci VLAN, a jedynie retransmitują informacje.
Tego typu protokoły znacznie ułatwiają życie, ale mają swoje ograniczenia: błąd w przełączniku serwera, źle zarządzane hasło VTP lub stary przełącznik przywrócony do sieci z nieaktualną bazą danych może nagle zniszczyć konfigurację sieci VLAN w całej organizacji.
Dlatego w wielu współczesnych projektach preferowane jest używanie protokołu VTP w trybie transparentnym lub nieużywanie go wcale, a do zarządzania sieciami VLAN używa się narzędzi automatyzacji (Ansible, szablony, scentralizowane kontrolery itp.) lub stosuje się bardziej statyczną i kontrolowaną konstrukcję.
Zaawansowane zabezpieczenia: VACL, PVLAN i łagodzenie ataków
Wraz z rozwojem sieci i wzrostem jej krytyczności, same sieci VLAN przestają wystarczać. Aby precyzyjniej kontrolować ruch w sieci VLAN, można zastosować listy VACL (listy kontroli dostępu VLAN lub mapy VLAN) , które umożliwiają filtrowanie lub przekierowywanie ruchu na poziomie sieci VLAN, a nie tylko na określonych interfejsach.
Listy VACL konfiguruje się poprzez definiowanie map dostępu dla każdej sieci VLAN , które korzystają z list dostępu IP lub MAC, i określają, co należy zrobić z pasującym ruchem: przepuścić go, zablokować, wysłać do portu monitorującego, przekierować itd. Następnie są one stosowane globalnie do jednej lub większej liczby sieci VLAN na przełączniku.
W przypadku, gdy chcesz odizolować hosty w tej samej podsieci, istnieją prywatne sieci VLAN (PVLAN) . Zaczynają się one od głównej sieci VLAN, która zazwyczaj znajduje się w miejscu, gdzie znajduje się brama, a następnie tworzą powiązane drugorzędne sieci VLAN dwóch typów: izolowane i społecznościowe.
Izolowane drugorzędne sieci VLAN pozwalają każdemu hostowi widzieć tylko bramę, ale nie inne hosty, nawet jeśli znajdują się w tej samej izolowanej drugorzędnej sieci VLAN. Społeczne drugorzędne sieci VLAN pozwalają grupie hostów widzieć siebie nawzajem i bramę, ale nie inne grupy w tej samej głównej sieci VLAN.
Jeśli chodzi o konkretne ataki, oprócz omówienia już kwestii VLAN 1 i DTP, kluczowe jest ograniczenie przeskoków między sieciami VLAN poprzez podwójne tagowanie . W tym celu zaleca się zmianę natywnej sieci VLAN na sieć VLAN nieużywaną przez hosty, usunięcie natywnej sieci VLAN z łączy trunkingowych, jeśli to możliwe, wyłączenie DTP, jawne zdefiniowanie portów jako dostępu lub łącza trunkingowego oraz użycie poleceń, aby upewnić się, że natywna sieć VLAN jest zawsze tagowana, odrzucając ruch nieotagowany.
Diagnostyka i konserwacja sieci z sieciami VLAN
Konfiguracja sieci z sieciami VLAN to tylko połowa zadania; druga połowa to jej utrzymanie i rozwiązywanie problemów bez utraty zmysłów. Typowe problemy z łącznością VLAN często mają dość powszechne przyczyny. Aby uzyskać praktyczne wskazówki i procedury, zapoznaj się z materiałami dotyczącymi rozwiązywania problemów z siecią.
Z jednej strony występują błędy fizyczne: kable przenoszone z jednego portu do drugiego bez aktualizacji dokumentacji, porty skonfigurowane jako dostępowe tam, gdzie powinien być dostęp do łącza trunkingowego lub odwrotnie, źle zdefiniowane łącza redundantne, które kończą się pętlami, jeśli protokół STP nie jest odpowiednio dostrojony.
Z drugiej strony występują błędy logiczne: sieci VLAN utworzone na niektórych przełącznikach, ale nie na innych, listy sieci VLAN dozwolone na łączach, które są nieprawidłowo skonfigurowane , zakresy DHCP, które nie pasują do masek lub bramy, które są nieprawidłowo ustawione na urządzeniach końcowych.
Podstawowymi narzędziami diagnostycznymi są typowe polecenia: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute itp. Połączenie ich z przechwytywaniem ruchu na określonych portach i dobrym systemem monitorowania jest bardzo pomocne.
Zaleca się również okresowe przeglądanie list kontroli dostępu, reguł zapór sieciowych, list PVLAN, list VACL i konfiguracji zarządzania, aby mieć pewność, że po zmianach, rozbudowach lub migracjach projektu nie pozostały żadne luki.
Przejrzysta dokumentacja (schematy sieci VLAN, zakresy adresów IP, przydział portów, opis zasad dostępu między sieciami VLAN) i dokładne rejestrowanie zmian są niemal tak samo ważne, jak same polecenia konfiguracyjne.
Dzięki przemyślanej segmentacji, właściwie oznakowanym sieciom VLAN, ostrożnemu zarządzaniu natywnymi sieciami VLAN, routingowi między sieciami VLAN chronionemu listą kontroli dostępu (ACL) i spójnym nawykom konserwacyjnym sieć przedsiębiorstwa może znacznie zwiększyć bezpieczeństwo, wydajność i kontrolę bez konieczności przebudowywania całej infrastruktury fizycznej.
