- VLAN-сети разделяют физическую сеть на изолированные логические сети, что снижает широковещательный трафик и повышает производительность.
- Правильное использование портов доступа, транковых соединений и собственных VLAN имеет решающее значение для предотвращения атак с использованием перехвата VLAN и подмены коммутаторов.
- Маршрутизация между VLAN всегда должна сопровождаться списками контроля доступа (ACL) или межсетевыми экранами, которые точно определяют, кто с кем может взаимодействовать.
- VACL, PVLAN и тщательное управление неиспользуемыми портами повышают безопасность и контроль в сложных корпоративных сетях.
Если вы управляете корпоративной сетью, вы знаете, что поддерживать её быструю и безопасную работу — непростая задача. По мере роста команд, сервисов и приложений, повсюду начинают возникать проблемы с широковещательной рассылкой, узкие места и уязвимости в системе безопасности.
Одним из самых мощных инструментов для наведения порядка в этом хаосе являются виртуальные локальные сети (VLAN) . При правильном проектировании и настройке они позволяют сегментировать сеть, сокращать ненужный трафик, изолировать отделы и защищать критически важные сервисы… но при плохой реализации они могут превратиться в решето безопасности или административный кошмар.
Что именно представляет собой VLAN и почему это важно для безопасности?
Виртуальная локальная сеть (VLAN) — это, по сути, отдельная логическая сеть , работающая на той же физической инфраструктуре: тех же коммутаторах, тех же кабелях, тех же точках доступа Wi-Fi. Логически устройства в VLAN ведут себя так, как если бы они находились в отдельной локальной сети (LAN), даже если они расположены на разных этажах или в разных зданиях.
Это позволяет группе ПК, серверов, IP-телефонов, принтеров или IP-камер формировать собственный широковещательный домен , изолированный от других групп. Широковещательные и многоадресные пакеты остаются в пределах своей VLAN, а не распространяются по всей сети, что повышает производительность и упрощает контроль над тем, кто кого видит.
В корпоративной среде часто создают VLAN для разных отделов (бухгалтерия, инженерия, маркетинг) , чтобы разделить трафик управления, голосовой трафик, трафик гостей, трафик IoT или даже выделить резервный VLAN. Каждый из них имеет свои собственные правила маршрутизации, безопасности и качества обслуживания.
Кроме того, VLAN являются ключевым компонентом сегментации и стратегий «нулевого доверия» : сети больше не считаются «полностью заслуживающими доверия», и определяются поверхности атаки. Сбой или заражение в одной VLAN не должны приводить к краху всей организации по принципу домино.
Основные понятия: порты доступа, транки и собственные VLAN.
Для полного понимания конфигурации и безопасности VLAN крайне важны три понятия: порты доступа, транковые порты и собственные VLAN . Освоение этих трех понятий значительно упростит все остальное.
Порт доступа — это порт коммутатора, который передает трафик из одной VLAN к конечному устройству: ПК, принтеру, IP-камере, телефону и т. д. Трафик покидает коммутатор и направляется к устройству без метки 802.1Q. Внутри коммутатора известно, к какой VLAN принадлежит устройство, но устройство не видит метку.
Транковый порт — это канал связи между сетевыми устройствами (коммутатор-коммутатор, коммутатор-маршрутизатор, коммутатор-точка доступа), по которому одновременно передаются несколько VLAN . В этом случае кадры несут тег 802.1Q, указывающий, к какому VLAN они принадлежат. Это позволяет расширять VLAN по всей топологии и передавать данные по одному и тому же физическому каналу нескольким логическим сетям.
Собственный VLAN — это VLAN, используемый для немаркированного трафика в канале 802.1Q. Каждому кадру, поступающему в транковый порт без метки, назначается этот собственный VLAN. По умолчанию на многих устройствах это VLAN 1, и именно здесь начинаются проблемы безопасности, если эта конфигурация не изменена.
Архитектура и проектирование сети с использованием VLAN.
В средних и крупных сетях обычно используется трехуровневая топология : ядро, распределение и доступ. Каждый уровень выполняет свою специфическую роль, и то, как эти уровни сочетаются с VLAN, имеет большое практическое значение.
Уровень доступа состоит из коммутаторов, которые напрямую соединяют пользователей и конечные устройства. Эти коммутаторы имеют наибольшее количество портов доступа, и именно здесь определяется большинство пользовательских, голосовых, IoT и других VLAN. Именно здесь особое внимание следует уделять назначению портов и мерам физической безопасности (предотвращению несанкционированного подключения кабелей).
Уровень распределения состоит из коммутаторов, которые агрегируют трафик от нескольких коммутаторов доступа . Как правило, именно здесь происходит маршрутизация между VLAN, применяются более точные списки контроля доступа (ACL), осуществляется оконечная обработка оптоволоконных линий, добавляются каналы связи (EtherChannel) и реализуются более сложные политики (QoS, защита от штормов и т. д.).
В ядре сети размещаются каналы распределения и шлюз к интернету или внешним сетям. В очень больших сетях ядро обычно отвечает только за высокоскоростную коммутацию , выполняя лишь несколько дополнительных функций, чтобы уменьшить задержку и сложность.
При проектировании сети с использованием VLAN целесообразно сначала определить, какие логические группы необходимы (по функциям, критичности, уровню доверия и т. д.), а затем реализовать это в хорошо спланированной IP-схеме (подсети, маски, VLSM, динамические и статические диапазоны) и в четком распределении портов на каждом коммутаторе.
Типы VLAN и их распространенное использование
Наиболее распространенным стандартом для маркировки кадров на магистральных каналах связи является IEEE 802.1Q . Он добавляет 4 байта к заголовку Ethernet с идентификатором VLAN и другими полями, поэтому коммутатор точно знает, к какому VLAN принадлежит каждый кадр, без инкапсуляции всего кадра.
При настройке VLAN с использованием 802.1Q на коммутаторах каждый порт может быть помечен как помеченный или непомеченный для конкретного VLAN. Порт может быть помечен в нескольких VLAN (типично для транка), но непомечен только в одном из них (том, который будет виден конечному устройству, если это порт доступа).
Помимо стандартных VLAN на основе 802.1Q, в корпоративной среде широко используются и другие подходы: VLAN на основе портов, VLAN на основе MAC-адресов, VLAN управления, VLAN контроля, пользовательские VLAN, гибридные VLAN и даже VXLAN в центрах обработки данных и облачных средах, где требуются миллионы логических сетей. Также следует рассмотреть такие технологии, как 802.1X и динамические VLAN для расширенного распределения и обеспечения безопасности.
Управляющая VLAN используется исключительно для административного доступа к коммутаторам, маршрутизаторам, точкам доступа, межсетевым экранам и системам мониторинга. Обычно она имеет собственную IP-подсеть и строгие списки контроля доступа (ACL), ограничивающие доступ. Управление устройствами из тех же VLAN, что и пользователи, — крайне нежелательная идея.
Так называемая управляющая VLAN предназначена для внутреннего трафика сетевых протоколов: STP, протоколов маршрутизации, CDP, LLDP, VTP и т. д. Отделение этого трафика от трафика данных или управления снижает уровень шума, повышает стабильность и позволяет применять специальные меры безопасности.
VLAN 1, нативный VLAN и почему они представляют собой проблему безопасности.
На большинстве коммутаторов VLAN 1 настроен как VLAN по умолчанию и собственный VLAN на всех портах. Это означает, что, если оставить его без изменений, весь немаркированный трафик, поступающий в магистральный канал, будет маршрутизироваться в VLAN 1, и все порты будут считаться его частью.
Проблема в том, что любой достаточно опытный злоумышленник это знает. VLAN 1 — это основная цель для атак типа VLAN hopping , switch spoofing и других атак, использующих стандартные конфигурации для проникновения в другие VLAN.
Например, при атаке с подменой коммутатора злоумышленник подключает свое устройство к порту, где DTP активен в динамическом режиме, и устанавливает транковое соединение с коммутатором, получая доступ к нескольким VLAN, которые никогда не должны достигать хоста.
При атаке с двойной маркировкой в одном кадре смешиваются две маркировки 802.1Q, используя тот факт, что собственный VLAN передается без маркировки, чтобы попытаться перейти из одного VLAN в другой через плохо защищенный канал связи.
По всем этим причинам текущие рекомендации по безопасности ясны: не используйте VLAN 1 для пользователей , не оставляйте его в качестве основного VLAN на транковых соединениях, не присваивайте ему управляющий IP-адрес и, по возможности, изолируйте или даже фильтруйте его, чтобы он не использовался для передачи производственного трафика.
Передовые методы проектирования и распределения портовых ресурсов.
Одно из ключевых решений при настройке VLAN — это назначение портов коммутатора каждой VLAN и использование неиспользуемых портов. На первый взгляд это кажется тривиальным, но от этого зависят как производительность, так и безопасность.
На портах доступа рекомендуется всегда оставлять без тегов только одну VLAN (ту, которая принадлежит данному пользователю или устройству), а остальные помечать как исключенные. Это предотвратит «видение» интерфейсом VLAN, которые ему не принадлежат, даже если кто-то случайно изменит настройки.
В транковых каналах рекомендуется явно указывать, какие VLAN разрешены (например, `switchport trunk allowed vlan 10, 20, 99`), вместо того, чтобы передавать все VLAN из сети. Каждый транк должен передавать только те VLAN, которые ему действительно необходимы.
Для неиспользуемых портов наиболее безопасной практикой является их отключение , назначение их в VLAN типа «черная дыра» без шлюза или DHCP, а также обеспечение того, чтобы они не были помечены как транковые порты и на них не был включен DTP. Это предотвратит внезапное появление подключенного устройства в рабочей сети.
В средах с большим количеством портов крайне важно тщательно документировать, что подключено к каждому интерфейсу , маркировать кабели и поддерживать схемы подключения в актуальном состоянии. Многие проблемы с подключением VLAN возникают просто из-за перемещения кабелей без обновления документации; схема подключения помогает предотвратить ошибки.
VLAN-сети, не предназначенные для выхода, и неиспользуемые порты
Простой и очень эффективный способ защиты свободных портов — создание VLAN без исходящих портов , то есть VLAN без DHCP, маршрутизации и служб, и размещение в ней всех неиспользуемых портов доступа.
Идея заключается в том, что даже если кто-то подключит устройство к одному из этих портов, этот хост не получит IP-адрес, не будет иметь шлюза, не сможет связаться с другими устройствами, и его трафик останется полностью изолированным. Это своего рода сетевое небытие.
Во многих средах для этой цели используется узнаваемый идентификатор, например, VLAN 777, 999 или 4094. Коммутатор настроен таким образом, чтобы исключать все остальные VLAN из этих портов, для этого VLAN не определен интерфейс уровня 3, и он не анонсируется ни одним маршрутизатором.
Кроме того, рекомендуется отключить DTP на всех портах доступа с параметром switchport nonegotiate , чтобы они никогда не пытались автоматически стать транковыми портами путем согласования с соседним портом.
Виртуальные локальные сети (VLAN) для голосовой связи, передачи данных и специальных устройств.
В сетях с IP-телефонией и голосовым трафиком стандартной практикой является выделение голосового трафика в отдельную виртуальную локальную сеть (VLAN), отличную от сети ПК. Причина этого двояка: требования к качеству обслуживания и безопасность.
Голосовой трафик крайне чувствителен к задержкам, дрожанию и потере пакетов. Если он беспорядочно смешивается с большими объемами загрузки, потоковым видео или резервным копированием, качество связи быстро ухудшается. Разделение голосового трафика на VLAN позволяет расставлять приоритеты с помощью QoS и применять более точные политики.
Кроме того, IP-телефоны обычно имеют собственные возможности маркировки VLAN (802.1Q): они подключаются к ПК каскадно, при этом порт, ведущий в сеть, выступает в качестве транка (сигнал с метками, данные без меток), а порт, ведущий к ПК, — в качестве порта доступа. Это требует более точной настройки портов во избежание уязвимостей в системе безопасности.
Также целесообразно разделить устройства IoT, системы домашней автоматизации, IP-камеры, телевизоры, умные розетки и т. д. на отдельные VLAN. Эти устройства часто имеют слабую защиту и плохо поддерживаемое программное обеспечение, поэтому лучше держать их вне той же логической сети, что и управляющие ПК или критически важные серверы.
В мире Wi-Fi большинство профессиональных точек доступа позволяют привязывать SSID к каждой VLAN . Это расширяет сегментацию проводной сети на беспроводную: VLAN управления, корпоративная VLAN, VLAN для IoT, гостевая VLAN, каждая со своим SSID и правилами.
Маршрутизация между VLAN, списки контроля доступа (ACL) и межсетевые экраны.
По своей конструкции VLAN не могут «видеть» друг друга на уровне 2. Если вы хотите, чтобы устройства в разных VLAN взаимодействовали, вам необходимо перейти на уровень 3: маршрутизация между VLAN. Обычно это делается в маршрутизаторе, межсетевом экране или коммутаторе уровня 3.
Существует два основных подхода. Первый — использование маршрутизатора или межсетевого экрана, совместимого с 802.1Q, подключенного к магистральной коммутационной сети. Маршрутизатор создает субинтерфейсы (по одному на каждую VLAN), назначает им IP-адреса и выступает в качестве шлюза. Межсетевой экран , кроме того, обеспечивает соблюдение детальных правил, определяющих, кто с кем может взаимодействовать.
Второй подход заключается в использовании управляемого коммутатора уровня 3 на уровне распределения или ядра сети. На этом коммутаторе создаются интерфейсы VLAN (SVI), выступающие в качестве шлюзов для каждой подсети. Сам коммутатор обрабатывает внутреннюю маршрутизацию и соответствующие списки контроля доступа (ACL), разгружая от этого граничный маршрутизатор.
В обоих случаях крайне важно дополнить маршрутизацию списками контроля доступа (ACL) или строгими правилами брандмауэра. Наличие IP-пути между VLAN не означает, что весь трафик должен быть разрешен. Фильтрация должна осуществляться на основе источника, назначения, портов, протоколов и направления соединения.
Типичный пример: гостевая VLAN может получить доступ только к Интернету, IoT VLAN может взаимодействовать только с определенными серверами (такими как NTP, syslog или брокер MQTT), студенческая VLAN не может получить доступ к управляющей VLAN, резервная VLAN инициирует соединения только с резервным сервером и т. д.
Протоколы управления VLAN: VTP и корпоративный.
В больших сетях с множеством коммутаторов ручное создание VLAN на каждом устройстве нецелесообразно и чревато ошибками. По этой причине протоколы, такие как VTP (VLAN Trunking Protocol) в экосистеме Cisco, позволяют централизованно распределять списки VLAN.
VTP определяет три режима работы коммутатора: серверный, клиентский и прозрачный . Серверы могут создавать, переименовывать или удалять VLAN и отправлять эту информацию клиентам в том же домене. Клиенты получают и применяют изменения, но не модифицируют их. Прозрачные клиенты не обрабатывают базу данных VLAN; они только повторно передают информацию.
Протоколы такого типа значительно упрощают жизнь, но у них есть свои нюансы: ошибка в коммутаторе сервера, неправильно управляемый пароль VTP или повторное подключение старого коммутатора к сети с устаревшей базой данных могут внезапно нарушить конфигурацию VLAN во всей организации.
Поэтому во многих современных проектах предпочтительнее использовать VTP в прозрачном режиме или вообще не использовать его, управляя VLAN с помощью инструментов автоматизации (Ansible, шаблоны, централизованные контроллеры и т. д.) или с помощью более статической и контролируемой архитектуры.
Расширенные возможности безопасности: VACL, PVLAN и защита от атак.
По мере роста сети и повышения ее критичности одних только VLAN недостаточно. Для более детального управления трафиком внутри VLAN можно использовать VACL (VLAN ACL или карты VLAN) , позволяющие фильтровать или перенаправлять трафик на уровне VLAN, а не только на отдельных интерфейсах.
Списки контроля доступа (VACL) настраиваются путем определения карт доступа для каждой VLAN , которые используют списки доступа по IP или MAC-адресам и указывают, что делать с соответствующим трафиком: пропускать, блокировать, отправлять на порт мониторинга, перенаправлять и т. д. Затем они применяются глобально к одной или нескольким VLAN на коммутаторе.
Для случаев, когда необходимо изолировать хосты в пределах одной подсети, существуют частные VLAN (PVLAN) . Они начинаются с основного VLAN, обычно расположенного там же, где находится шлюз, а затем создают связанные с ним дополнительные VLAN двух типов: изолированные и общие.
Изолированные вторичные VLAN позволяют каждому хосту видеть только шлюз, но не другие хосты, даже если они находятся в одном изолированном вторичном VLAN. Общие вторичные VLAN позволяют группе хостов видеть друг друга и шлюз, но не другие группы в том же основном VLAN.
Что касается конкретных атак, помимо уже обсуждавшихся VLAN 1 и DTP, крайне важно предотвратить переключение между VLAN с помощью двойной маркировки . Для этого рекомендуется изменить собственный VLAN на VLAN, не используемый хостами, по возможности удалить собственный VLAN из транковых соединений, отключить DTP, явно определить порты как порты доступа или транковые порты и использовать команды для обеспечения постоянной маркировки собственного VLAN, отбрасывая немаркированный трафик.
Диагностика и техническое обслуживание сетей с VLAN.
Настройка сети с использованием VLAN — это только половина дела; другая половина — это её обслуживание и устранение неполадок, не теряя при этом самообладания. Типичные проблемы с подключением к VLAN часто имеют довольно распространённые причины. Для получения практических руководств и процедур обратитесь к ресурсам по устранению неполадок в сети.
С одной стороны, существуют физические ошибки: кабели, переставленные с одного порта на другой без обновления документации, порты, настроенные как порты доступа там, где должен быть магистральный порт, или наоборот, плохо определенные резервные каналы связи, которые приводят к образованию петель, если протокол STP настроен неправильно.
С другой стороны, встречаются логические ошибки: VLAN создаются на одних коммутаторах, но не на других, списки разрешенных VLAN на транках настроены неправильно , диапазоны DHCP не соответствуют маскам, или шлюзы неправильно настроены на конечных устройствах.
В качестве основных инструментов диагностики используются стандартные команды: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute и т. д. Сочетание этих команд с захватом трафика на конкретных портах и хорошей системой мониторинга значительно помогает.
Также рекомендуется периодически проверять списки контроля доступа (ACL), правила брандмауэра, PVLAN, списки контроля доступа к виртуальным сетям (VACL) и конфигурации управления , чтобы убедиться в отсутствии пробелов, оставшихся после изменений проекта, расширения или миграции.
Четкая документация (схемы VLAN, диапазоны IP-адресов, назначение портов, описание политик доступа между VLAN) и тщательное ведение журнала изменений почти так же важны, как и сами команды конфигурации.
Благодаря продуманной сегментации, правильно обозначенным VLAN, грамотному управлению собственными VLAN, маршрутизации между VLAN с защитой ACL и последовательному техническому обслуживанию, корпоративная сеть может значительно повысить безопасность, производительность и управляемость без необходимости перестройки всей физической инфраструктуры.
