Konfigurácia VLAN a zabezpečenie siete: kompletný sprievodca

Informatec Digital » Zdroje » Konfigurácia VLAN a zabezpečenie siete: kompletný sprievodca

Ak spravujete firemnú sieť, viete, že udržať všetko v chode rýchlo a bezpečne nie je jednoduchá úloha. S rastom tímov, služieb a aplikácií sa všade začínajú objavovať vysielania, úzke miesta a bezpečnostné problémy.

Jedným z najsilnejších nástrojov na nastolenie poriadku v tomto chaose sú VLAN (virtuálne LAN) . Dobre navrhnuté a nakonfigurované umožňujú segmentovať sieť, znížiť zbytočnú prevádzku, izolovať oddelenia a chrániť kritické služby... ale pri nesprávnej implementácii sa môžu stať bezpečnostným sitom alebo administratívnou nočnou morou.

Čo presne je VLAN a prečo je dôležitá pre bezpečnosť?

VLAN je v podstate samostatná logická sieť , ktorá beží na rovnakej fyzickej infraštruktúre: rovnaké prepínače, rovnaká kabeláž, rovnaké prístupové body Wi-Fi. Logicky sa zariadenia vo VLAN správajú, akoby boli v samostatnej lokálnej sieti LAN, aj keď sa nachádzajú na rôznych poschodiach alebo v rôznych budovách.

To umožňuje skupine počítačov, serverov, IP telefónov, tlačiarní alebo IP kamier vytvoriť si vlastnú vysielaciu doménu , izolovanú od ostatných skupín. Vysielacie a multicastové pakety zostávajú v rámci ich VLAN namiesto zahlcovania celej siete, čo zlepšuje výkon a uľahčuje kontrolu nad tým, kto koho vidí.

V obchodnom prostredí je bežné vytvárať VLAN pre rôzne oddelenia (účtovníctvo, inžinierstvo, marketing) na oddelenie prevádzky pre správu, pre hlas, pre hostí, pre IoT alebo dokonca vyhradenú záložnú VLAN. Každá z nich má svoje vlastné pravidlá smerovania, zabezpečenia a kvality služieb.

Okrem toho sú siete VLAN kľúčovou súčasťou segmentácie a stratégií nulovej dôvery : siete sa už nepovažujú za „plne dôveryhodné“ a sú definované oblasti útoku. Porucha alebo infekcia v jednej sieti VLAN by nemala spôsobiť kolaps celej organizácie dominovým efektom.

Základné pojmy: prístupové porty, trunky a natívna VLAN

Pre úplné pochopenie konfigurácie a zabezpečenia VLAN sú kľúčové tri koncepty: prístupové porty, trunkové porty a natívne VLAN . Zvládnutie týchto troch konceptov všetko ostatné značne uľahčí.

Prístupový port je port prepínača, ktorý prenáša prevádzku z jednej siete VLAN do koncového zariadenia: počítača, tlačiarne, IP kamery, telefónu atď. Prevádzka opúšťa prepínač a smeruje k zariadeniu bez značky 802.1Q. Prepínač interne vie, do ktorej siete VLAN zariadenie patrí, ale zariadenie značku nevidí.

Kmeňový port je prepojenie medzi sieťovými zariadeniami (prepínač-prepínač, prepínač-smerovač, prepínač-AP), cez ktoré prechádza viacero sietí VLAN súčasne . V tomto prípade rámce nesú značku 802.1Q, ktorá označuje, do ktorej siete VLAN patria. To umožňuje rozšírenie sietí VLAN v celej topológii a prechod viacerých logických sietí cez to isté fyzické prepojenie.

Natívna VLAN je VLAN používaná pre neoznačenú prevádzku na linke 802.1Q. Každý rámec vstupujúci do kmeňového portu bez značky je priradený k tejto natívnej VLAN. Štandardne je na mnohých zariadeniach to VLAN 1 a tu začínajú problémy s bezpečnosťou, ak sa táto konfigurácia nezmení.

Architektúra a návrh siete s VLAN

V stredných a veľkých sieťach sa bežne používa trojvrstvová topológia : jadro, distribučná a prístupová. Každá vrstva má špecifickú úlohu a spôsob, akým sú tieto vrstvy kombinované s VLAN, má veľký praktický význam.

Prístupová vrstva pozostáva z prepínačov, ktoré priamo spájajú používateľov a koncové zariadenia. Tieto prepínače majú najviac prístupových portov a sú miestom, kde je definovaných najviac používateľských, hlasových, IoT a iných VLAN sietí. Tu si priradenie portov a postupy fyzického zabezpečenia (zabránenie neoprávnenému zapojeniu káblov) vyžadujú najväčšiu pozornosť.

Distribučná vrstva pozostáva z prepínačov, ktoré agregujú prevádzku z viacerých prístupových prepínačov . Zvyčajne je to bod, kde dochádza k smerovaniu medzi VLAN, aplikujú sa jemnejšie ACL, ukončujú sa optické linky, pridávajú sa linky (EtherChannel) a implementujú sa pokročilejšie politiky (QoS, kontrola búrky atď.).

Jadrová vrstva obsahuje distribučné linky a bránu do internetu alebo externých sietí. Vo veľmi veľkých sieťach jadro zvyčajne spracováva iba vysokorýchlostné prepínanie s veľmi malým počtom ďalších funkcií, aby sa znížila latencia a zložitosť.

Pri návrhu siete s VLAN je vhodné najprv definovať, ktoré logické skupiny sú potrebné (podľa funkcie, kritickosti, úrovne dôveryhodnosti atď.) a potom ich implementovať v dobre naplánovanej IP schéme (podsiete, masky, VLSM, dynamické a statické rozsahy) a v jasnej alokácii portov na každom prepínači.

Typy VLAN a bežné použitie

Najrozšírenejším štandardom pre označovanie rámcov na kmeňových linkách je IEEE 802.1Q . Pridáva 4 bajty do ethernetovej hlavičky s VLAN ID a ďalšími poľami, takže prepínač presne vie, do ktorej VLAN patrí každý rámec, bez toho, aby musel zapuzdrovať celý rámec.

Pri konfigurácii sietí VLAN s protokolom 802.1Q na prepínačoch je možné každý port označiť ako označený alebo neoznačený pre konkrétnu sieť VLAN. Port môže byť označený vo viacerých sieťach VLAN (typické pre trunk), ale neoznačený môže byť iba v jednej z nich (v tej, ktorú koncové zariadenie uvidí, ak ide o prístupový port).

Okrem štandardných VLAN založených na štandarde 802.1Q existujú v podnikových prostrediach aj iné bežne používané modality: VLAN založené na portoch, VLAN založené na MAC adresách, VLAN pre správu, VLAN pre riadenie, vlastné natívne VLAN, hybridné VLAN a dokonca aj VXLAN v dátových centrách a cloudových prostrediach, kde sú potrebné milióny logických sietí. Mali by sa zvážiť aj technológie ako 802.1X a dynamické VLAN pre pokročilú alokáciu a zabezpečenie.

Správcovská VLAN sa používa výlučne na administratívny prístup k prepínačom, smerovačom, prístupovým bodom, firewallom a monitorovacím systémom. Zvyčajne má vlastnú IP podsieť a prísne zoznamy kontroly prístupu (ACL), ktoré obmedzujú, kto má prístup. Správa zariadení z rovnakých VLAN ako používateľov je veľmi zlý nápad.

Takzvaná riadiaca VLAN je vyhradená pre prevádzku interných sieťových protokolov: STP, smerovacie protokoly, CDP, LLDP, VTP atď. Oddelenie tejto prevádzky od dátovej alebo riadiacej prevádzky znižuje šum, zlepšuje stabilitu a umožňuje aplikáciu špecifických bezpečnostných opatrení.

VLAN 1, natívna VLAN a prečo predstavujú bezpečnostný problém

Na väčšine prepínačov je VLAN 1 nakonfigurovaná ako predvolená a natívna VLAN na všetkých portoch. To znamená, že ak sa nezmení, všetka neoznačená prevádzka vstupujúca do kmeňa bude smerovaná do VLAN 1 a všetky porty budú považované za jej súčasť.

Problém je v tom, že každý rozumne zdatný útočník to vie. VLAN 1 je hlavným cieľom pre VLAN hopping , switch spoofing a iné útoky, ktoré zneužívajú predvolené konfigurácie na infiltráciu iných VLAN.

Napríklad pri útoku typu spoofing prepínača útočník pripojí svoje zariadenie k portu, kde je DTP aktívny v dynamickom režime, a vyjednáva s prepínačom trunk link , čím získa prístup k viacerým VLAN, ktoré by sa nikdy nemali dostať k hostiteľovi.

Pri útoku s dvojitým označovaním sa v tom istom rámci zmiešajú dva tagy 802.1Q, pričom sa využíva skutočnosť, že natívna VLAN sa prenáša bez označenia, a pokúša sa preskočiť z jednej VLAN do druhej cez slabo zabezpečený kmeň.

Z týchto dôvodov sú súčasné bezpečnostné odporúčania jasné: nepoužívajte VLAN 1 pre používateľov , nenechávajte ju ako natívnu VLAN na trunkoch, neprideľujte jej IP adresu pre správu a ak je to možné, izolujte ju alebo ju dokonca filtrujte, aby neprenášala produkčnú prevádzku.

Najlepšie postupy pre návrh a alokáciu prístavov

Jedným z kľúčových rozhodnutí pri konfigurácii VLAN je, ako priradiť porty prepínača ku každej VLAN a čo robiť s nepoužívanými portami. Zdá sa to triviálne, ale závisí od toho výkon aj bezpečnosť.

Na prístupových portoch je vhodné vždy nechať neoznačenú iba jednu VLAN (tú pre daného používateľa alebo zariadenie) a zvyšok označiť ako vylúčené. Tým sa zabráni rozhraniu „vidieť“ VLAN, ktoré k nemu nepatria, aj keď niekto omylom zmení nastavenia.

V trunkových linkách sa odporúča explicitne nakonfigurovať, ktoré VLAN sú povolené (napr. `switchport trunk allowed vlan 10, 20, 99`) namiesto posielania všetkých VLAN zo siete. Každý trunk by mal niesť iba tie VLAN, ktoré skutočne potrebuje.

V prípade nepoužívaných portov je najbezpečnejším postupom ich vypnúť , priradiť k „čiernej diere“ VLAN bez brány alebo DHCP a zabezpečiť, aby neboli označené ako trunk port alebo aby nemali povolený DTP. Tým sa zabráni niekomu pripojiť zariadenie a náhle sa objaviť v produkčnej sieti.

V prostrediach s vysokým počtom portov je nevyhnutné dôkladne zdokumentovať, čo je zapojené do každého rozhrania , označiť káble a udržiavať schémy zapojenia aktuálne. Mnohé problémy s pripojením k VLAN sú jednoducho spôsobené presunutím káblov bez aktualizácie dokumentácie; sprievodca zapojením pomáha predchádzať chybám.

„Nevýchodové“ VLAN a nepoužívané porty

Jednoduchá a veľmi účinná technika na ochranu voľných portov je vytvoriť VLAN „bez výstupu“ , teda VLAN bez DHCP, smerovania a služieb, a umiestniť do nej všetky nepoužívané prístupové porty.

Myšlienka je taká, že aj keď niekto pripojí zariadenie k jednému z týchto portov, tento hostiteľ nedostane IP adresu, nebude mať bránu, nebude sa môcť spojiť s inými zariadeniami a jeho prevádzka zostane úplne izolovaná. Je to akýsi sieťový limbu.

V mnohých prostrediach sa na tento účel používa rozpoznateľné ID, napríklad VLAN 777, 999 alebo 4094. Prepínač je nakonfigurovaný tak, aby z týchto portov vylúčil všetky ostatné siete VLAN, pre túto sieť VLAN nie je definované žiadne rozhranie vrstvy 3 a nie je inzerovaná na žiadnom smerovači.

Okrem toho sa odporúča, aby bol DTP vypnutý na všetkých prístupových portoch s parametrom switchport nonegotiate , aby sa nikdy nepokúšali automaticky stať trunkami vyjednávaním so susedom.

VLAN pre hlas, dáta a špeciálne zariadenia

V sieťach s IP telefóniou a hlasovou prevádzkou je štandardnou praxou oddeliť hlasovú prevádzku do špecifickej VLAN, odlišnej od VLAN počítačov. Dôvod je dvojaký: požiadavky na kvalitu služieb a bezpečnosť.

Hlasová prevádzka je veľmi citlivá na latenciu, jitter a stratu paketov. Ak sa bez rozdielu mieša s intenzívnym sťahovaním, streamovaním videa alebo zálohovaním, hovory sa rýchlo zhoršujú. Oddelenie hlasu do VLAN vám umožňuje uprednostniť ho pomocou QoS a uplatňovať presnejšie pravidlá.

Okrem toho majú IP telefóny zvyčajne vlastné možnosti označovania VLAN (802.1Q): sú kaskádovo prepojené s počítačom, pričom port do siete funguje ako trunk (označený hlas, neoznačené dáta) a port do počítača funguje ako prístupový port. To si vyžaduje presnejšie konfigurácie portov , aby sa predišlo bezpečnostným zraniteľnostiam.

Je tiež dobrý nápad oddeliť zariadenia internetu vecí, systémy domácej automatizácie, IP kamery, televízory, inteligentné zásuvky atď. do špecifických sietí VLAN. Tieto zariadenia majú často slabé zabezpečenie a zle udržiavaný firmvér, a preto je najlepšie udržiavať ich mimo rovnakej logickej siete ako riadiace počítače alebo kritické servery.

Vo svete WiFi väčšina profesionálnych prístupových bodov umožňuje priradiť SSID ku každej VLAN . Tým sa segmentácia káblovej siete rozširuje na bezdrôtovú sieť: VLAN pre správu, firemná VLAN, IoT VLAN, hosťovská VLAN, každá s vlastným SSID a pravidlami.

Smerovanie medzi VLAN, ACL a firewallmi

VLAN sa navrhnuté tak, aby sa navzájom „nevideli“ na vrstve 2. Ak chcete, aby zariadenia na rôznych VLAN komunikovali, musíte prejsť na vrstvu 3: smerovanie medzi VLAN. Toto sa zvyčajne robí v smerovači, firewalle alebo prepínači vrstvy 3.

Existujú dva hlavné prístupy. Prvým je použitie routera alebo firewallu kompatibilného s 802.1Q pripojeného k chrbticovej sieti prepínača. Router vytvára podrozhrania (jedno na VLAN), priraďuje im IP adresy a funguje ako brána. Firewall navyše vynucuje podrobné pravidlá týkajúce sa toho, kto môže s kým komunikovať.

Druhým prístupom je použitie spravovaného prepínača vrstvy 3 na distribučnej alebo jadrovej vrstve. Na tomto prepínači sa vytvárajú rozhrania VLAN (SVI), ktoré fungujú ako brány pre každú podsieť. Samotný prepínač spracováva interné smerovanie a zodpovedajúce zoznamy ACL, čím odľahčuje prácu z okrajového smerovača.

V oboch prípadoch je nevyhnutné doplniť toto smerovanie zoznamami riadenia prístupu (ACL) alebo prísnymi pravidlami brány firewall. Existencia IP cesty medzi sieťami VLAN neznamená, že by mala byť povolená všetka prevádzka. Filtrovanie sa musí vykonávať na základe zdroja, cieľa, portov, protokolov a smeru pripojenia.

Typický príklad: hosťovská VLAN má prístup iba na internet, IoT VLAN môže komunikovať iba s konkrétnymi servermi (ako napríklad NTP, syslog alebo MQTT broker), študentská VLAN nemá prístup k riadiacej VLAN, záložná VLAN iba iniciuje pripojenia k záložnému serveru atď.

Protokoly správy VLAN: VTP a spoločnosť

Vo veľkých sieťach s mnohými prepínačmi je manuálne vytváranie VLAN na každom zariadení nepraktické a náchylné na chyby. Z tohto dôvodu protokoly ako VTP (VLAN Trunking Protocol) v ekosystéme Cisco umožňujú centralizovanú distribúciu zoznamu VLAN.

VTP definuje tri prevádzkové režimy prepínača: server, klient a transparentný . Servery môžu vytvárať, premenovávať alebo mazať VLAN a odosielať tieto informácie klientom v rámci tej istej domény. Klienti prijímajú a aplikujú zmeny, ale neupravujú ich. Transparentní klienti nespracovávajú databázu VLAN; iba prenášajú informácie.

Tieto typy protokolov výrazne zjednodušujú život, ale majú svoje zvláštnosti: chyba v prepínači servera, zle spravované heslo VTP alebo starý prepínač znovu zavedený do siete so zastaranou databázou môže náhle zničiť konfiguráciu VLAN v celej organizácii.

Preto sa v mnohých súčasných návrhoch uprednostňuje používanie VTP v transparentnom režime alebo jeho nepoužívanie vôbec, pričom sa VLAN spravujú pomocou automatizačných nástrojov (Ansible, šablóny, centralizované ovládače atď.) alebo pomocou statickejšieho a kontrolovanejšieho návrhu.

Pokročilé zabezpečenie: VACL, PVLAN a zmierňovanie útokov

S rastom siete a zvyšujúcou sa kritickosťou samotné siete VLAN zaostávajú. Na presnejšie riadenie prevádzky v rámci siete VLAN je možné použiť zoznamy VACL (zoznamy VLAN ACL alebo mapy VLAN) , ktoré umožňujú filtrovanie alebo presmerovanie prevádzky na úrovni siete VLAN, nielen na konkrétnych rozhraniach.

Listy VACL sa konfigurujú definovaním máp prístupu pre každú VLAN , ktoré používajú zoznamy prístupu IP alebo MAC a určujú, čo robiť so zodpovedajúcou prevádzkou: prepustiť ju, blokovať ju, poslať ju na monitorovací port, presmerovať ju atď. Potom sa aplikujú globálne na jednu alebo viacero sietí VLAN na prepínači.

Pre prípady, keď chcete izolovať hostiteľov v rámci tej istej podsiete, existujú súkromné ​​siete VLAN (PVLAN) . Tie začínajú primárnou sieťou VLAN, ktorá je zvyčajne miestom, kde sa nachádza brána, a potom vytvárajú pridružené sekundárne siete VLAN dvoch typov: izolované a komunitné.

Izolované sekundárne siete VLAN umožňujú každému hostiteľovi vidieť iba bránu, ale nie ostatných hostiteľov, aj keď sú na rovnakej izolovanej sekundárnej sieti VLAN. Komunitné sekundárne siete VLAN umožňujú skupine hostiteľov vidieť sa navzájom a bránu, ale nie ostatné skupiny na rovnakej primárnej sieti VLAN.

Pokiaľ ide o konkrétne útoky, okrem toho, čo už bolo spomenuté o VLAN 1 a DTP, je nevyhnutné zmierniť preskakovanie VLAN pomocou dvojitého označovania . Na tento účel sa odporúča zmeniť natívnu VLAN na VLAN, ktorú hostitelia nepoužívajú, odstrániť natívnu VLAN z kmeňových sietí, ak je to možné, vypnúť DTP, explicitne definovať porty ako prístupové alebo kmeňové a použiť príkazy na zabezpečenie toho, aby bola natívna VLAN vždy označená, čím sa zahodí neoznačená prevádzka.

Diagnostika a údržba sietí s VLAN

Nastavenie siete s VLAN je len polovica úlohy; druhou polovicou je jej údržba a riešenie problémov bez toho, aby ste stratili rozum. Typické problémy s pripojením k VLAN majú často pomerne bežné príčiny. Praktické návody a postupy nájdete v zdrojoch venovaných riešeniu problémov so sieťou.

Na jednej strane existujú fyzické chyby: káble presunuté z jedného portu do druhého bez aktualizácie dokumentácie, porty nakonfigurované ako prístupové tam, kde by mal byť trunk, alebo naopak, zle definované redundantné spojenia, ktoré končia v slučkách, ak STP nie je správne naladený.

Na druhej strane existujú logické zlyhania: VLAN vytvorené na niektorých prepínačoch, ale nie na iných, zoznamy VLAN povolené na nesprávne nakonfigurovaných trunkoch , rozsahy DHCP, ktoré nezodpovedajú maskám, alebo brány, ktoré sú nesprávne nastavené na koncových zariadeniach.

Kľúčovými diagnostickými nástrojmi sú bežné príkazy: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute atď. Kombinácia týchto príkazov so zachytávaním prevádzky na konkrétnych portoch a dobrým monitorovacím systémom veľmi pomáha.

Taktiež je vhodné pravidelne kontrolovať ACL, pravidlá firewallu, PVLAN, VACL a konfigurácie správy, aby sa zabezpečilo, že po zmenách, rozšíreniach alebo migráciách projektu nezostali žiadne medzery.

Jasná dokumentácia (schémy VLAN, rozsahy IP adries, priradenia portov, popis politík prístupu medzi VLAN) a dôkladné protokolovanie zmien sú takmer rovnako dôležité ako samotné konfiguračné príkazy.

Vďaka premyslenej segmentácii, správne označeným VLAN, rozumnej natívnej správe VLAN, smerovaniu medzi VLAN chránenému ACL a konzistentným postupom údržby môže podniková sieť dosiahnuť značný skok v oblasti bezpečnosti, výkonu a kontroly bez nutnosti prestavby celej fyzickej infraštruktúry.