ทำไมผู้คนถึงบอกฉันว่าอย่าใช้ VLAN เพื่อความปลอดภัย?

25

ตามชื่อเรื่องทำไมผู้คนถึงบอกฉันว่าอย่าใช้ VLAN เพื่อความปลอดภัย?

ฉันมีเครือข่ายที่มีสอง VLANS มีไฟร์วอลล์ระหว่าง 2 VLANs ฉันใช้สวิตช์ HP Procurve และทำให้แน่ใจว่าลิงก์สลับเป็นสวิตช์ยอมรับเฟรมที่ติดแท็กเท่านั้นและพอร์ตโฮสต์ไม่ยอมรับเฟรมที่ติดแท็ก (ไม่ใช่ "VLAN Aware") ฉันแน่ใจด้วยเช่นกันว่า native VLAN (PVID) ของ trunk link นั้นไม่เหมือนกันกับทั้งสองโฮสต์ VLANs ฉันได้เปิดใช้งาน "Ingress Filtering" นอกจากนี้ฉันได้ตรวจสอบให้แน่ใจว่าพอร์ตโฮสต์เป็นเพียงสมาชิกของ VLAN ตัวเดียวซึ่งเหมือนกับ PVID ของพอร์ตที่เกี่ยวข้อง พอร์ตเดียวที่เป็นสมาชิกของ VLAN หลาย ๆ ตัวคือพอร์ตพอร์ต

มีใครช่วยอธิบายให้ฉันหน่อยได้ไหมว่าทำไมข้างต้นถึงไม่ปลอดภัย ฉันเชื่อว่าฉันได้แก้ไขปัญหาการติดแท็กสองครั้งแล้ว ..

ขอบคุณ

อัปเดต: สวิตช์ทั้งสองเป็น Hp Procurve 1800-24G

networking security vlan

— jtnire
แหล่งที่มา

1

คุณสามารถลองถามได้ที่security.stackexchange.comถ้าคุณต้องการข้อมูลจากผู้เชี่ยวชาญด้านความปลอดภัย ...

— AviD

นี่ควรจะเป็นเรื่องความปลอดภัยแน่นอน

— Mark E. Haase

@mehaase ไม่สามารถย้ายคำถามหลังจากช่วงระยะเวลาหนึ่ง คำถามนี้เก่าเกินไปที่จะย้ายข้อมูล

— Zoredache

18

ทำไมผู้คนถึงบอกฉันว่าอย่าใช้ VLAN เพื่อความปลอดภัย?

มีความเสี่ยงที่แท้จริงหากคุณไม่เข้าใจปัญหาที่อาจเกิดขึ้นอย่างสมบูรณ์และตั้งค่าเครือข่ายของคุณให้เหมาะสมเพื่อลดความเสี่ยงไปยังจุดที่เหมาะสมกับสภาพแวดล้อมของคุณ ในหลาย ๆ สถานที่ VLAN ให้ระดับการแยกที่เพียงพอระหว่างสอง VLAN

มีใครช่วยอธิบายให้ฉันหน่อยได้ไหมว่าทำไมข้างต้นถึงไม่ปลอดภัย

ดูเหมือนว่าคุณได้ทำตามขั้นตอนพื้นฐานทั้งหมดที่จำเป็นเพื่อให้การติดตั้งปลอดภัยแล้ว แต่ฉันไม่คุ้นเคยกับอุปกรณ์ HP อย่างสิ้นเชิง คุณอาจทำพอสำหรับสภาพแวดล้อมของคุณ

บทความดีเกินไปที่ดูจะเป็นของซิสโก้ VLAN การรักษาความปลอดภัยกระดาษสีขาว

มันมีรายการของการโจมตีที่เป็นไปได้กับ VLAN-Based Network บางส่วนของสิ่งเหล่านี้เป็นไปไม่ได้ในสวิตช์บางตัวหรือสามารถลดลงได้ด้วยการออกแบบโครงสร้างพื้นฐาน / เครือข่ายที่เหมาะสม ใช้เวลาทำความเข้าใจกับพวกเขาและตัดสินใจว่าความเสี่ยงนั้นคุ้มค่ากับความพยายามที่จะหลีกเลี่ยงในสภาพแวดล้อมของคุณหรือไม่

อ้างถึงจากบทความ

การโจมตี Flooding ของ MAC
802.1Q และการโจมตีแท็ก ISL
การโจมตี VLAN 802.1Q / ซ้อนสองครั้ง
การโจมตี ARP
การโจมตี VLAN ส่วนตัว
Multicast Brute Force Attack
Spanning-Tree Attack

ดูสิ่งนี้ด้วย:

— Zoredache
แหล่งที่มา

1

ใช่ฉันอ่านบทความก่อนโพสต์นี้ มันเป็นบทความที่ดีมากอย่างแน่นอน ในขณะที่ฉันเข้าใจความเสี่ยงทั้งหมดที่เกี่ยวข้องกระดาษสีขาวใช้กับอุปกรณ์ของซิสโก้เท่านั้น - อย่างน้อยก็สำหรับชิ้นส่วนที่เกี่ยวข้องกับเฟิร์มแวร์บั๊กกี้เช่นน้ำท่วมและการโจมตี ARP

— jtnire

10

ปลอดภัยสำหรับค่าบางอย่างที่ปลอดภัย

บักในเฟิร์มแวร์การตั้งค่าสวิตช์รีเซ็ตข้อผิดพลาดของมนุษย์สามารถทำให้ไม่ปลอดภัย ตราบใดที่มีเพียงไม่กี่คนเท่านั้นที่สามารถเข้าถึงการกำหนดค่าสวิตช์และสวิตช์ด้วยตนเองดังนั้นจึงเป็นเรื่องปกติในสภาพแวดล้อมทางธุรกิจทั่วไป

ฉันจะไปแยกทางกายภาพสำหรับข้อมูลที่สำคัญจริงๆว่า

— ฮิวเบิร์ตคาริโอ
แหล่งที่มา

1

ปัญหาเหล

— jtnire

ใช่และ VLAN ควรได้รับการพิจารณาราวกับว่าพวกเขาเชื่อมต่อกับเราเตอร์ทั่วไป เครือข่ายที่มีข้อมูลที่ละเอียดอ่อนไม่ควรเชื่อมต่อกับสิ่งอื่นใด หากทั้งสองมีการเข้าถึงอินเทอร์เน็ตแล้วคุณก็ตกลง

— Hubert Kario

2

+1 คุณโดนตบหัวด้วยประโยคแรก

— John Gardeniers

คุณช่วยอธิบายประโยคแรกของคุณหน่อยได้ไหม? เนื่องจากฉันพยายามใช้ VLAN เพื่อความปลอดภัยฉันไม่สามารถสรุปได้ว่าพวกเขาไม่ปลอดภัยและไม่ใช้พวกเขาสำหรับเครือข่ายย่อยที่ปลอดภัย :)

— jtnire

1

นี่ไม่ได้ตอบคำถามเลย ... มันเป็นแค่เรื่องความปลอดภัยทั่วไป

— Mark E. Haase

4

ฉันดูเหมือนจะจำได้ว่าในอดีตมันง่ายกว่าที่จะทำการ VLAN กระโดดดังนั้นนั่นอาจเป็นสาเหตุที่ "คน" กำลังพูดเรื่องนี้ แต่ทำไมคุณไม่ถาม "คน" ด้วยเหตุผลล่ะ? เราสามารถเดาได้ว่าทำไมพวกเขาถึงบอกคุณว่า ฉันรู้ว่าผู้ตรวจสอบ HIPAA และ PCI ใช้ได้กับ VLANs เพื่อความปลอดภัย

— mfinni
แหล่งที่มา

จริงๆ? ผู้ตรวจสอบ PCi นั้นใช้ได้หรือไม่ โดย "คน" ฉันหมายถึงการอ่านออนไลน์ :)

— jtnire

6

ผู้ตรวจสอบ PCI ส่วนใหญ่ตกลงกับมันอย่างแน่นอนซึ่งเป็นเรื่องที่น่าประหลาดใจเมื่อพิจารณาถึงสิ่งที่พวกเขาสามารถทำได้เมื่อแน่ใจว่าระบบมีความปลอดภัย! VLANs เป็นเพียงเครื่องมือในการแยกโดเมนการออกอากาศที่เลเยอร์ 2 เลเยอร์ 3 ขึ้นไปเป็นช่องโหว่ที่ร้ายแรงที่สุด เมื่อถึงเวลาที่บางคนเข้าใกล้คุณมากพอที่จะเล่นซอร์ฟแวร์กับ VLANs คุณจะมีปัญหาร้ายแรงมากขึ้น!

— Niall Donegan

1

โชคดีที่ฉันไม่ได้มีการจัดการกับไร้สายที่เกี่ยวข้องกับ PCI DSS เพื่อที่ไม่ได้เกิดขึ้น ปกติแล้วฉันจะจัดการกับสภาพแวดล้อมการโฮสต์ซึ่งมันเป็นรถแท็กซี่ล็อคที่ดีและสายเคเบิลแบบเก่าที่ดี

— Niall Donegan

1

ใช่ฉันวางแผนที่จะเปิดตัว VLAN ในห้องโดยสารสำหรับลูกค้าที่มีการจัดการของฉัน สวิตช์จะถูกล็อคในชั้นวาง :) ฉันเดาว่า VLAN นั้นถูกใช้บ่อยในสภาพแวดล้อม colo เพื่อแชร์สวิตช์ใช่มั้ย

— jtnire

1

@jnire ใช่ PCI DSS ต้องการการแยกทางกายภาพสำหรับ WLAN เครือข่ายไร้สายนั้นแตกต่างกัน

— sysadmin1138

2

ฉันคิดว่าปัญหาหลักคือ vlans ไม่ปลอดภัยเพราะคุณเพิ่งแยกโดเมนการออกอากาศไม่ใช่แยกการรับส่งข้อมูลจริงๆ การรับส่งข้อมูลทั้งหมดจาก vlans หลายรายการยังคงไหลผ่านสายทางกายภาพเดียวกัน โฮสต์ที่มีการเข้าถึงทราฟฟิกนั้นสามารถกำหนดค่าในโหมด promiscuous และดูทราฟฟิกทั้งหมดบนสาย

เห็นได้ชัดว่าการใช้สวิตช์ช่วยลดความเสี่ยงลงเล็กน้อยเนื่องจากสวิตช์ควบคุมสิ่งที่ข้อมูลจริงปรากฏบนพอร์ตใดอย่างไรก็ตามความเสี่ยงพื้นฐานยังคงมีอยู่

— Phil Hollenback
แหล่งที่มา

3

ฉันขอโทษฉันไม่เข้าใจสิ่งนี้ เนื่องจากสวิตช์ควบคุมการรับส่งข้อมูลที่ไหลไปยังพอร์ตทั้งนี้ขึ้นอยู่กับการเป็นสมาชิก VLAN การวางโฮสต์ไว้ในโหมดที่หลากหลายนั้นจะไม่ทำอะไรเลย แน่นอนว่าหากผู้โจมตีเข้าถึงสาย trunk โหมด promiscuous จะทำงานได้อย่างไรก็ตามผู้โจมตีสามารถเข้าถึงสายเคเบิลสำหรับไฟร์วอลล์ส่วนอื่นได้ โปรดแก้ไขให้ฉันด้วยถ้าฉันผิด ..

— jtnire

ถ้าผู้โจมตีเข้าถึงสวิตช์ของคุณผ่านเครือข่ายพวกเขาสามารถทำสิ่งต่าง ๆ เช่นมิเรอร์พอร์ตและรวบรวมแพ็คเก็ตจาก vlans อื่นใช่มั้ย ฉันคิดว่าปัญหากลับไปสู่ความจริงที่ว่า vlans เป็นคุณสมบัติที่ตั้งโปรแกรมได้ในขณะที่แยกสายเคเบิลและชั้นปกป้องทางกายภาพออก

— Phil Hollenback

1

แต่ฉันก็ยังไม่เข้าใจว่ามันแตกต่างจากไฟร์วอลล์ Layer-3 ทั่วไปอย่างไร - พวกเขาใช้ซอฟต์แวร์เพื่อเขียนโปรแกรมเช่นกัน แน่นอนฉันได้พยายามลดปัญหานี้โดยการไม่วางโฮสต์ที่ไม่น่าเชื่อถือไว้ในการจัดการ VLAN ดังนั้นจึงไม่สามารถเข้าถึงการเปลี่ยนเว็บ gui ได้

— jtnire