Konfigurimi i VLAN dhe siguria e rrjetit: një udhëzues i plotë

Informatec Digital » Burime » Konfigurimi i VLAN dhe siguria e rrjetit: një udhëzues i plotë

Nëse menaxhoni një rrjet të korporatës, e dini që mbajtja e gjithçkaje në funksion të shpejtë dhe të sigurt nuk është një detyrë e lehtë. Ndërsa ekipet, shërbimet dhe aplikacionet rriten, transmetimet, pengesat dhe problemet e sigurisë fillojnë të shfaqen kudo.

Një nga mjetet më të fuqishme për të sjellë rregull në këtë kaos janë VLAN-et (Virtual LAN) . Të projektuara dhe të konfiguruara mirë, ato ju lejojnë të segmentoni rrjetin, të zvogëloni trafikun e panevojshëm, të izoloni departamentet dhe të mbroni shërbimet kritike… por të zbatuara dobët, ato mund të shndërrohen në një sitë sigurie ose një makth administrativ.

Çfarë është saktësisht një VLAN dhe pse është i rëndësishëm për sigurinë?

Një VLAN është në thelb një rrjet logjik i veçantë që funksionon në të njëjtën infrastrukturë fizike: të njëjtat ndërprerës, të njëjtat kabllo, të njëjtat pika aksesi Wi-Fi. Logjikisht, pajisjet në një VLAN sillen sikur të ishin në një LAN të veçantë, edhe nëse ndodhen në kate të ndryshme ose në ndërtesa të ndryshme.

Kjo i lejon një grupi PC-sh, serverash, telefonash IP, printerësh ose kamerash IP të formojnë domenin e tyre të transmetimit , të izoluar nga grupet e tjera. Paketat e transmetimit dhe ato multicast mbeten brenda VLAN-it të tyre në vend që të përmbytin të gjithë rrjetin, duke përmirësuar performancën dhe duke e bërë më të lehtë kontrollin se kush mund të shohë kë.

Në mjediset e biznesit, është e zakonshme të krijohen VLAN-e për departamente të ndryshme (kontabilitet, inxhinieri, marketing) , për të ndarë trafikun e menaxhimit, për zërin, për mysafirët, për IoT, apo edhe një VLAN rezervë i dedikuar. Secili prej tyre ka rregullat e veta të rrugëzimit, sigurisë dhe cilësisë së shërbimit.

Për më tepër, VLAN-et janë një komponent kyç i segmentimit dhe strategjive Zero Trust : rrjetet nuk supozohen më të jenë "plotësisht të besueshme" dhe sipërfaqet e sulmit janë të përcaktuara. Një dështim ose infeksion në një VLAN nuk duhet të shkaktojë rënien e të gjithë organizatës në një efekt domino.

Konceptet bazë: portet e aksesit, trunk-et dhe VLAN-i nativ

Për të kuptuar plotësisht konfigurimin dhe sigurinë e VLAN-it, tre koncepte janë thelbësore: portet e aksesit, portet e trunk-ut dhe VLAN-et native . Zotërimi i këtyre tre koncepteve e bën gjithçka tjetër shumë më të lehtë.

Një port aksesi është një port switch-i që mbart trafik nga një VLAN i vetëm në një pajisje fundore: një PC, printer, kamera IP, telefon, etj. Trafiku largohet nga switch-i dhe udhëton drejt pajisjes pa një etiketë 802.1Q. Brenda, switch-i e di se cilit VLAN i përket pajisja, por pajisja nuk e sheh etiketën.

Një port trunk është një lidhje midis pajisjeve të rrjetit (switch-switch, switch-router, switch-AP) përmes të cilave udhëtojnë njëkohësisht shumë VLAN . Në këtë rast, kornizat mbajnë etiketën 802.1Q që tregon se cilit VLAN i përkasin. Kjo lejon që VLAN-et të zgjerohen në të gjithë topologjinë dhe rrjete të shumëfishta logjike të kalojnë mbi të njëjtën lidhje fizike.

VLAN -i vendas është VLAN-i i përdorur për trafikun e paetiketuar në një lidhje 802.1Q. Çdo kornizë që hyn në një port trunk pa një etiketë i caktohet këtij VLAN-i vendas. Si parazgjedhje, në shumë pajisje, është VLAN 1, dhe këtu fillojnë problemet e sigurisë nëse ky konfigurim nuk ndryshohet.

Arkitektura dhe dizajni i rrjetit me VLAN

Në rrjetet e mesme dhe të mëdha, përdoret zakonisht një topologji me tre shtresa : bërthama, shpërndarja dhe qasja. Çdo shtresë ka një rol specifik, dhe mënyra se si këto shtresa kombinohen me VLAN-et është me rëndësi të madhe praktike.

Shtresa e aksesit përbëhet nga çelësat që lidhin drejtpërdrejt përdoruesit dhe pajisjet fundore. Këta çelësa kanë më shumë porta aksesi dhe janë vendi ku përcaktohen shumica e VLAN-ve të përdoruesit, zërit, IoT dhe VLAN-ve të tjerë. Këtu është vendi ku caktimi i portave dhe praktikat e sigurisë fizike (parandalimi i kyçjes së paautorizuar të kabllove) kërkojnë më shumë vëmendje.

Shtresa e shpërndarjes përbëhet nga ndërprerës që grumbullojnë trafikun nga ndërprerës të shumëfishtë të aksesit . Zakonisht është pika ku ndodh rrugëzimi midis VLAN-ve, aplikohen ACL më të imëta, ndërpriten lidhjet me fibra, shtohen lidhjet (EtherChannel) dhe zbatohen politika më të avancuara (QoS, kontrolli i stuhive, etj.).

Shtresa kryesore përmban lidhjet e shpërndarjes dhe portën hyrëse për në internet ose rrjete të jashtme. Në rrjete shumë të mëdha, bërthama zakonisht trajton vetëm ndërrimin me shpejtësi të lartë , me shumë pak funksione shtesë, për të zvogëluar vonesën dhe kompleksitetin.

Kur projektohet një rrjet me VLAN, këshillohet që së pari të përcaktohet se cilat grupe logjike nevojiten (sipas funksionit, kritikalitetit, nivelit të besimit, etj.) dhe më pas të zbatohet në një skemë IP të planifikuar mirë (nënrrjete, maska, VLSM, diapazone dinamike dhe statike) dhe në një ndarje të qartë të portave në secilin switch.

Llojet e VLAN-ve dhe përdorimet e zakonshme

Standardi më i përhapur për etiketimin e kornizave në lidhjet trunk është IEEE 802.1Q . Ai shton 4 bajt në kokën Ethernet me ID-në e VLAN-it dhe fusha të tjera, kështu që switch-i e di saktësisht se cilit VLAN i përket secila kornizë pa e enkapsuluar të gjithë kornizën.

Kur konfigurohen VLAN-e me 802.1Q në switch-e, çdo port mund të shënohet si i etiketuar ose i pa etiketuar për një VLAN specifik. Një port mund të etiketohet në disa VLAN (tipike për një trunk) por vetëm i pa etiketuar në njërën prej tyre (atë që pajisja fundore do ta shohë nëse është një port aksesi).

Përveç VLAN-ve standarde të bazuara në 802.1Q, ekzistojnë modalitete të tjera të përdorura zakonisht në mjediset e korporatave: VLAN-e të bazuara në porta, VLAN-e të bazuara në MAC, VLAN-e menaxhimi, VLAN-e kontrolli, VLAN-e native të personalizuara, VLAN-e hibride dhe madje edhe VXLAN-e në mjediset e qendrave të të dhënave dhe cloud-it ku kërkohen miliona rrjete logjike. Duhet të merren në konsideratë edhe teknologji të tilla si 802.1X dhe VLAN-e dinamike për ndarje dhe siguri të përparuar.

VLAN- i i menaxhimit përdoret ekskluzivisht për akses administrativ në switch-e, routerë, pika aksesi, firewall-e dhe sisteme monitorimi. Zakonisht ka nënrrjetin e vet IP dhe lista të rrepta të kontrollit të aksesit (ACL) që kufizojnë se kush mund të hyjë. Menaxhimi i pajisjeve nga të njëjtat VLAN si përdorues është një ide shumë e keqe.

I ashtuquajturi VLAN kontrolli është i dedikuar për trafikun e protokollit të rrjetit të brendshëm: STP, protokollet e rrugëzimit, CDP, LLDP, VTP, etj. Ndarja e këtij trafiku nga trafiku i të dhënave ose i menaxhimit zvogëlon zhurmën, përmirëson stabilitetin dhe lejon zbatimin e masave specifike të sigurisë.

VLAN 1, VLAN native dhe pse ato përbëjnë një problem sigurie

Në shumicën e switch-ave, VLAN 1 është konfiguruar si VLAN-i parazgjedhur dhe vendas në të gjitha portat. Kjo do të thotë që, nëse lihet i pandryshuar, i gjithë trafiku i paetiketuar që hyn në një trunk do të drejtohet në VLAN 1 dhe të gjitha portat do të konsiderohen pjesë e tij.

Problemi është se çdo sulmues me aftësi të arsyeshme e di këtë. VLAN 1 është një objektiv kryesor për ndërrimin e VLAN-ve , mashtrimin e ndërruesve dhe sulme të tjera që shfrytëzojnë konfigurimet e parazgjedhura për të depërtuar në VLAN-e të tjera.

Në një sulm të rremë të switch-it, për shembull, sulmuesi lidh pajisjen e tij me një port ku DTP është aktiv në modalitetin dinamik dhe negocion një lidhje trunk me switch-in, duke fituar akses në VLAN të shumta që nuk duhet të arrijnë kurrë në një host.

Në një sulm me etiketim të dyfishtë, dy etiketa 802.1Q përzihen në të njëjtin kuadër, duke përfituar nga fakti që VLAN-i vendas udhëton i paetiketuar, për të provuar të kalojë nga një VLAN në tjetrin përmes një trunk-u të siguruar dobët.

Për të gjitha këto arsye, rekomandimet aktuale të sigurisë janë të qarta: mos e përdorni VLAN 1 për përdoruesit , mos e lini si VLAN-in nativ në trunk-e, mos i jepni një adresë IP menaxhimi dhe, nëse është e mundur, izolojeni ose edhe filtrojeni atë në mënyrë që të mos mbartë trafik prodhimi.

Praktikat më të mira për projektimin dhe ndarjen e porteve

Një nga vendimet kryesore gjatë konfigurimit të VLAN-ve është se si t'i caktohen portet e ndërruesit secilit VLAN dhe çfarë të bëhet me portet e papërdorura. Duket e parëndësishme, por si performanca ashtu edhe siguria varen prej saj.

Në portet e aksesit, është mirë të lini gjithmonë vetëm një VLAN të paetiketuar (atë për atë përdorues ose pajisje) dhe të shënoni pjesën tjetër si të përjashtuar. Kjo parandalon që ndërfaqja të "shohë" VLAN-et që nuk i përkasin asaj, edhe nëse dikush ndryshon aksidentalisht cilësimet.

Në lidhjet trunk, rekomandohet të konfiguroni në mënyrë të qartë se cilat VLAN lejohen (p.sh., `switchport trunk allowed vlan 10, 20, 99`) në vend që të kaloni të gjitha VLAN-et nga rrjeti. Çdo trunk duhet të mbajë vetëm VLAN-et që i nevojiten në të vërtetë.

Për portat e papërdorura, praktika më e sigurt është t'i mbyllni ato , t'i caktoni një VLAN-i "të vrimës së zezë" pa një portë hyrëse ose DHCP, dhe të siguroheni që ato nuk janë shënuar si një portë trunk ose nuk kanë DTP të aktivizuar. Kjo parandalon që dikush të lidhë një pajisje dhe të shfaqet papritur në rrjetin e prodhimit.

Në mjedise me një numër të lartë portash, është thelbësore të dokumentoni me kujdes se çfarë është lidhur në secilën ndërfaqe , të etiketoni kabllot dhe të mbani diagramet e instalimeve elektrike të përditësuara. Shumë probleme të lidhjes VLAN vijnë thjesht për shkak të zhvendosjes së kabllove pa përditësuar dokumentacionin; një udhëzues instalimesh elektrike ndihmon në parandalimin e gabimeve.

VLAN-et "jo-dalëse" dhe portat e papërdorura

Një teknikë e thjeshtë dhe shumë efektive për mbrojtjen e portave të lira është krijimi i një VLAN "pa dalje" , domethënë një VLAN pa DHCP, rrugëzim dhe shërbime, dhe vendosja e të gjitha portave të aksesit që nuk përdoren në të.

Ideja është që edhe nëse dikush lidh një pajisje me një nga ato porta, ai host nuk do të marrë një adresë IP, nuk do të ketë një portë hyrëse, nuk do të jetë në gjendje të arrijë pajisje të tjera dhe trafiku i tij do të mbetet plotësisht i izoluar. Është një lloj limbo rrjeti.

Në shumë mjedise, për këtë qëllim përdoret një ID i dallueshëm, siç është VLAN 777, 999 ose 4094. Switch-i është konfiguruar për të përjashtuar të gjitha VLAN-et e tjera nga ato porta, nuk është përcaktuar asnjë ndërfaqe e Shtresës 3 për atë VLAN dhe nuk reklamohet në asnjë ruter.

Përveç kësaj, rekomandohet që DTP të çaktivizohet në të gjitha portet e aksesit me switchport nonegotiate , në mënyrë që ato të mos përpiqen kurrë të bëhen automatikisht trunk-e duke negociuar me fqinjin.

VLAN-e për zë, të dhëna dhe pajisje të veçanta

Në rrjetet me telefoni IP dhe trafik zanor , është praktikë standarde që trafiku zanor të ndahet në një VLAN specifik, të dallueshëm nga ai i PC-ve. Arsyeja është e dyfishtë: kërkesat për cilësinë e shërbimit dhe siguria.

Trafiku zanor është shumë i ndjeshëm ndaj vonesës, luhatjeve dhe humbjes së paketave. Nëse përzihet pa dallim me shkarkime të rënda, transmetim video ose kopje rezervë, thirrjet përkeqësohen shpejt. Ndarja e zërit në VLAN-in tuaj ju lejon ta përcaktoni atë me përparësi me QoS dhe të aplikoni politika më të sakta.

Për më tepër, telefonat IP zakonisht kanë aftësitë e tyre të etiketimit VLAN (802.1Q): ato janë të lidhura me PC-në, me portin për në rrjet që vepron si një trunk (zë i etiketuar, të dhëna të paetiketuara) dhe portin për në PC që vepron si port aksesi. Kjo kërkon konfigurime më të sakta të porteve për të shmangur dobësitë e sigurisë.

Është gjithashtu një ide e mirë të ndani pajisjet IoT, sistemet e automatizimit në shtëpi, kamerat IP, televizorët, prizat inteligjente etj., në VLAN specifike. Këto pajisje shpesh kanë siguri të dobët dhe firmware të mirëmbajtur dobët, dhe është më mirë t'i mbani ato larg të njëjtit rrjet logjik si PC-të e menaxhimit ose serverët kritikë.

Në botën e WiFi-t, shumica e pikave të aksesit profesional ju lejojnë të shoqëroni një SSID me secilin VLAN . Kjo e zgjeron segmentimin e rrjetit me tela në rrjetin pa tel: VLAN menaxhimi, VLAN i korporatës, VLAN IoT, VLAN i mysafirëve, secili me SSID-në dhe rregullat e veta.

Rrugëzimi midis VLAN-ve, ACL-ve dhe firewall-eve

Nga vetë dizajni, VLAN-et nuk mund të "shohin" njëri-tjetrin në Shtresën 2. Nëse dëshironi që pajisjet në VLAN të ndryshme të komunikojnë, duhet të shkoni në Shtresën 3: rrugëzimi ndër-VLAN. Kjo zakonisht bëhet në një router, firewall ose switch të Shtresës 3.

Ekzistojnë dy qasje kryesore. E para është përdorimi i një routeri ose firewall-i të pajtueshëm me 802.1Q të lidhur me një rrjet të ri shpërndarjeje (backbone). Routeri krijon nën-ndërfaqe (një për VLAN), u cakton adresa IP atyre dhe vepron si portë hyrëse. Firewall-i , përveç kësaj, zbaton rregulla të hollësishme në lidhje me atë se kush mund të komunikojë me kë.

Qasja e dytë është përdorimi i një switch-i të menaxhuar nga Shtresa 3 në shtresën e shpërndarjes ose atë bazë. Ndërfaqet VLAN (SVI) krijohen në këtë switch, duke vepruar si porta hyrëse për secilin nënrrjet. Vetë switch-i trajton rrugëtimin e brendshëm dhe ACL-të përkatëse, duke shkarkuar punën nga routeri skajor.

Në të dyja rastet, është thelbësore që ky rrugëtim të shoqërohet me lista kontrolli të aksesit (ACL) ose rregulla të rrepta të firewall-it. Ekzistenca e një rruge IP midis VLAN-ve nuk do të thotë që i gjithë trafiku duhet të lejohet. Filtrimi duhet të bëhet bazuar në burim, destinacion, portet, protokollet dhe drejtimin e lidhjes.

Një shembull tipik: VLAN-i mysafir mund të hyjë vetëm në internet, VLAN-i IoT mund të komunikojë vetëm me servera specifikë (siç janë NTP, syslog ose një ndërmjetës MQTT), VLAN-i student nuk mund të hyjë në VLAN-in e menaxhimit, VLAN-i rezervë fillon vetëm lidhjet me serverin rezervë, etj.

Protokollet e menaxhimit të VLAN: VTP dhe kompania

Në rrjete të mëdha me shumë ndërprerës, krijimi manual i VLAN-ve në secilën pajisje është jopraktik dhe i prirur ndaj gabimeve. Për këtë arsye, protokollet si VTP (VLAN Trunking Protocol) në ekosistemin Cisco lejojnë shpërndarjen e centralizuar të listës së VLAN-ve.

VTP përcakton tre mënyra operimi për një switch: server, klient dhe transparent . Serverët mund të krijojnë, riemërtojnë ose fshijnë VLAN-e dhe t'ua dërgojnë këtë informacion klientëve brenda të njëjtit domen. Klientët marrin dhe zbatojnë ndryshimet, por nuk i modifikojnë ato. Klientët transparentë nuk e përpunojnë bazën e të dhënave VLAN; ata vetëm e ritransmetojnë informacionin.

Këto lloje protokollesh e thjeshtojnë shumë jetën, por kanë edhe detajet e tyre të vogla: një gabim në një switch serveri, një fjalëkalim VTP i menaxhuar dobët ose një switch i vjetër i rikthyer në rrjet me një bazë të dhënash të vjetëruar mund të shkatërrojë papritur konfigurimin e VLAN në të gjithë organizatën.

Prandaj, në shumë dizajne aktuale, preferohet të përdoret VTP në modalitet transparent ose të mos përdoret fare, duke menaxhuar VLAN-et me mjete automatizimi (Ansible, shabllone, kontrollues të centralizuar, etj.) ose me një dizajn më statik dhe të kontrolluar.

Siguri e përparuar: VACL, PVLAN dhe zbutja e sulmeve

Ndërsa rrjeti rritet dhe kritikaliteti rritet, vetëm VLAN-et nuk ia dalin mbanë. Për të kontrolluar trafikun në mënyrë më të detajuar brenda një VLAN-i, mund të përdoren VACL-të (VLAN ACL ose VLAN maps) , të cilat lejojnë që trafiku të filtrohet ose ridrejtohet në nivelin VLAN, jo vetëm në ndërfaqe specifike.

VACL-të konfigurohen duke përcaktuar hartat e aksesit për VLAN që përdorin listat e aksesit IP ose MAC dhe specifikojnë se çfarë të bëhet me trafikun që përputhet: ta lejojnë të kalojë, ta bllokojnë, ta dërgojnë në një port monitorimi, ta ridrejtojnë, etj. Ato më pas aplikohen globalisht në një ose më shumë VLAN në switch.

Për rastet kur dëshironi të izoloni hostet brenda të njëjtit nënrrjet, ekzistojnë VLAN private (PVLAN) . Këto fillojnë me një VLAN primar, i cili zakonisht është vendi ku ndodhet porta hyrëse, dhe më pas krijojnë VLAN sekondare të shoqëruara të dy llojeve: të izoluara dhe të komunitetit.

VLAN-et sekondare të izoluara lejojnë që secili host të shohë vetëm portën hyrëse, por jo hostet e tjerë, edhe nëse janë në të njëjtin VLAN sekondar të izoluar. VLAN-et sekondare të komunitetit lejojnë që një grup hostesh të shohin njëri-tjetrin dhe portën hyrëse, por jo grupet e tjera në të njëjtin VLAN primar.

Lidhur me sulme specifike, përveç asaj që është diskutuar tashmë rreth VLAN 1 dhe DTP, është thelbësore të zbutet kërcimi i VLAN përmes etiketimit të dyfishtë . Për ta bërë këtë, rekomandohet të ndryshoni VLAN-in vendas në një VLAN që nuk përdoret nga hostet, të hiqni VLAN-in vendas nga trunk-et nëse është e mundur, të çaktivizoni DTP-në, të përcaktoni në mënyrë të qartë portet si akses ose trunk dhe të përdorni komanda për të siguruar që VLAN-i vendas të jetë gjithmonë i etiketuar, duke hedhur poshtë trafikun e paetiketuar.

Diagnostikimi dhe mirëmbajtja e rrjeteve me VLAN

Ngritja e një rrjeti me VLAN është vetëm gjysma e punës; gjysma tjetër është mirëmbajtja e tij dhe zgjidhja e problemeve pa u humbur mendja. Problemet tipike të lidhjes VLAN shpesh kanë shkaqe mjaft të zakonshme. Për udhëzues dhe procedura praktike, konsultohuni me burimet mbi zgjidhjen e problemeve të rrjetit.

Nga njëra anë, ka gabime fizike: kabllot lëvizin nga një port në tjetrin pa përditësuar dokumentacionin, portat e konfiguruara si akses aty ku duhet të jetë një trunk, ose anasjelltas, lidhje të tepërta të përcaktuara dobët që përfundojnë në sythe nëse STP nuk është akorduar siç duhet.

Nga ana tjetër, ka dështime logjike: VLAN-e të krijuara në disa switch-a por jo në të tjerë, lista VLAN të lejuara në trunk-e që janë konfiguruar gabimisht , diapazone DHCP që nuk përputhen me maskat ose porta hyrëse që janë vendosur gabimisht në pajisjet fundore.

Mjetet kryesore diagnostikuese janë komandat e zakonshme: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , etj. Kombinimi i këtyre me kapjet e trafikut në porte specifike dhe një sistem të mirë monitorimi ndihmon shumë.

Gjithashtu këshillohet që të rishikohen periodikisht ACL-të, rregullat e firewall-it, PVLAN-të, VACL-të dhe konfigurimet e menaxhimit për t'u siguruar që të mos ketë pasur boshllëqe pas ndryshimeve, zgjerimeve ose migrimeve të projektit.

Dokumentacioni i qartë (skemat VLAN, diapazoni IP, caktimi i portave, përshkrimi i politikave të aksesit ndër-VLAN) dhe regjistrimi rigoroz i ndryshimeve janë pothuajse po aq të rëndësishme sa vetë komandat e konfigurimit.

Me segmentim të menduar mirë, VLAN të etiketuar siç duhet, menaxhim të kujdesshëm të VLAN-ve vendas, rrugëzim ndër-VLAN të mbrojtur me ACL dhe zakone të qëndrueshme mirëmbajtjeje, një rrjet ndërmarrjeje mund të fitojë një hap të konsiderueshëm në siguri, performancë dhe kontroll pa pasur nevojë të rindërtojë të gjithë infrastrukturën fizike.