Oprócz informacji na temat Dlaczego ludzie mówią mi, żebym nie używał sieci VLAN dla bezpieczeństwa? oto kilka bardziej szczegółowych i ogólnych elementów do rozważenia:
Ogólne przemyślenia na temat bezpieczeństwa
Najbezpieczniejszym systemem jest taki, w którym hosty każdej podsieci są podłączone do przełącznika o dokładnie takiej liczbie portów, która będzie używana przez podłączone urządzenia. W takiej konfiguracji nie można podłączać losowych komputerów do bezpiecznych sieci, ponieważ wymagałoby to odłączenia czegoś (i teoretycznie system monitorowania to zauważyłby).
Sieci VLAN dają coś podobnego pod względem bezpieczeństwa, dzieląc przełącznik na mniejsze wirtualne przełączniki (wirtualne sieci LAN: sieci VLAN), które są logicznie odizolowane od siebie, a przy odpowiedniej konfiguracji mogą pojawiać się wszystkie podłączone do nich systemy, jakby były fizycznie odosobniony.
Ogólne przemyślenia na temat stosunkowo bezpiecznych konfiguracji VLAN
Moja praktyka dotycząca przełączników obsługujących VLAN polega na tym, że cały ruch musi być przypisany do VLAN, z następującą podstawową konfiguracją:
Przypisz wszystkie nieużywane porty do „nieużywanej” sieci VLAN.
Wszystkie porty łączące się z określonym komputerem powinny być przypisane natywnie do sieci VLAN, w której komputer powinien być. Porty te powinny znajdować się w jednej i tylko jednej sieci VLAN (z wyjątkiem pewnych wyjątków, które na razie zignorujemy).
Wszystkie te porty przychodzące pakiety (do przełącznika) są oznaczone natywną siecią VLAN, a wychodzące pakiety (z przełącznika) będą (a) pochodzić tylko z przypisanego vlan, i (b) nie będą oznaczane i będą wyglądać jak każdy zwykły Ethernet paczka.
Jedynymi portami, które powinny być „trunkami VLAN” (porty w więcej niż jednym VLAN), są porty trunk - te przenoszące ruch między przełącznikami lub łączące się z zaporą ogniową, która samodzielnie podzieli ruch VLAN.
Na portach linii miejskiej znaczniki vlan przychodzące do przełącznika będą respektowane, a znaczniki vlan nie będą usuwane z pakietów wychodzących z przełącznika.
Konfiguracja opisana powyżej oznacza, że jedynym miejscem, w którym można łatwo wstrzykiwać ruch „przeskakiwanie VLAN”, jest port magistralny (z wyjątkiem problemu z oprogramowaniem w implementacji VLAN przełączników) i podobnie jak w przypadku „najbezpieczniejszego” oznacza to odłączenie wtyczki ważne i powodujące alarm monitorujący. Podobnie, jeśli odłączysz hosta, aby połączyć się z VLAN, żyje on w twoim systemie monitorowania, powinien zauważyć tajemnicze zniknięcie hosta i ostrzec Cię.
W obu przypadkach mówimy o ataku polegającym na fizycznym dostępie do serwerów - chociaż przerwanie izolacji VLAN może nie być całkowicie niemożliwe, jest to co najmniej bardzo trudne w środowisku skonfigurowanym jak opisano powyżej.
Konkretne przemyślenia na temat bezpieczeństwa VMWare i VLAN
Wirtualne przełączniki VMWare można przypisać do sieci VLAN - Gdy te wirtualne przełączniki są podłączone do fizycznego interfejsu na hoście VMWare, każdy emitowany ruch będzie miał odpowiedni znacznik VLAN.
Fizyczny interfejs maszyny VMWare musiałby być podłączony do portu trunkingowego VLAN (przenoszącego sieci VLAN, do których będzie potrzebował dostępu).
W takich przypadkach podwójnie ważne jest zwrócenie uwagi na najlepsze praktyki VMWare dotyczące oddzielania karty sieciowej zarządzania od karty sieciowej maszyny wirtualnej: karta sieciowa zarządzania powinna być podłączona do rodzimego portu w odpowiedniej sieci VLAN, a karta sieciowa maszyny wirtualnej powinna połączyć się z pień, który ma sieci VLAN, których potrzebują maszyny wirtualne (najlepiej, że nie powinien przenosić sieci VLAN VMWare Management).
W praktyce egzekwowanie tej separacji, w połączeniu z przedmiotami, o których wspomniałem i co jestem pewien, że wymyślą inni, stworzy względnie bezpieczne środowisko.
