นอกเหนือจากข้อมูลเกี่ยวกับเหตุใดผู้คนจึงบอกฉันว่าอย่าใช้ VLAN เพื่อความปลอดภัย นี่คือบิตที่เฉพาะเจาะจงและทั่วไปที่ควรพิจารณา:
ความคิดทั่วไปเกี่ยวกับความ
ปลอดภัยระบบที่ปลอดภัยที่สุดคือระบบที่โฮสต์ของแต่ละซับเน็ตเชื่อมต่อกับสวิตช์ที่มีจำนวนพอร์ตที่จะใช้โดยอุปกรณ์ที่เชื่อมต่อ ในการกำหนดค่าดังกล่าวคุณไม่สามารถเสียบเครื่องสุ่มเข้ากับเครือข่ายที่ปลอดภัยของคุณได้เนื่องจากการทำเช่นนั้นจะต้องถอดปลั๊กบางสิ่ง (และในทางทฤษฎีระบบการตรวจสอบของคุณจะสังเกตเห็นว่า)
VLAN ให้สิ่งที่คล้ายกันในแง่ของการรักษาความปลอดภัยแบ่งสวิตช์ของคุณเป็นสวิตช์เสมือนขนาดเล็ก (LAN เสมือน: VLANs) ที่แยกจากกันอย่างมีเหตุผลและมีการกำหนดค่าที่เหมาะสมสามารถปรากฏกับทุกระบบที่เชื่อมต่อกับพวกเขาราวกับว่าพวกเขา แยก
ความคิดทั่วไปเกี่ยวกับการติดตั้ง VLAN ที่ค่อนข้างปลอดภัย
การฝึกฝนของฉันสำหรับสวิตช์ที่รองรับ VLAN คือการรับส่งข้อมูลทั้งหมดจะต้องกำหนดให้กับ VLAN ด้วยการกำหนดค่าพื้นฐานต่อไปนี้:
กำหนดพอร์ตที่ไม่ได้ใช้ทั้งหมดให้เป็น "ไม่ได้ใช้" VLAN
พอร์ตทั้งหมดที่เชื่อมต่อกับคอมพิวเตอร์เฉพาะควรได้รับการกำหนดให้กับ VLAN ที่คอมพิวเตอร์ควรมีพอร์ตเหล่านี้ควรอยู่ในVLAN หนึ่งพอร์ตและพอร์ตเดียวเท่านั้น (ยกเว้นข้อยกเว้นบางอย่างที่เราจะไม่สนใจในตอนนี้)
บนพอร์ตเหล่านี้แพ็คเก็ตที่เข้ามาทั้งหมด(ไปที่สวิทช์) จะถูกแท็กด้วย native VLAN และแพ็กเก็ตขาออก (จากสวิทช์) จะ (a) มาจาก vlan ที่กำหนดเท่านั้นและ (b) ไม่ได้ติดแท็ก ห่อ
พอร์ตเดียวที่ควรจะเป็น "VLAN trunks" (พอร์ตที่มากกว่าหนึ่ง VLAN) คือพอร์ตพอร์ต - การรับส่งข้อมูลระหว่างสวิตช์หรือการเชื่อมต่อกับไฟร์วอลล์ที่จะแยกการรับส่งข้อมูล VLAN ด้วยตัวเอง
ที่พอร์ต trunk แท็ก vlan ที่เข้ามาในสวิตช์จะได้รับการเคารพและแท็ก vlan จะไม่ถูกถอดออกจากแพ็กเก็ตที่ออกจากสวิตช์
การกำหนดค่าที่อธิบายไว้ข้างต้นหมายความว่าที่เดียวที่คุณสามารถฉีดทราฟฟิก "VLAN hopping" ได้อย่างง่ายดายนั้นอยู่ที่ trunk port (ยกเว้นปัญหาซอฟต์แวร์ในการใช้งาน VLAN ของสวิทช์ของคุณ) และเหมือนในสถานการณ์ "ปลอดภัยที่สุด" สำคัญและก่อให้เกิดสัญญาณเตือนการตรวจสอบ ในทำนองเดียวกันถ้าคุณถอดปลั๊กโฮสต์เพื่อเชื่อมต่อกับ VLAN มันอาศัยอยู่ในระบบการตรวจสอบของคุณควรสังเกตว่าโฮสต์นั้นหายตัวไปอย่างลึกลับและแจ้งเตือนคุณ
ในทั้งสองกรณีนี้เรากำลังพูดถึงการโจมตีที่เกี่ยวข้องกับการเข้าถึงทางกายภาพไปยังเซิร์ฟเวอร์ - ในขณะที่มันอาจเป็นไปไม่ได้เลยที่จะแยกการแยก VLAN อย่างน้อยก็ยากมากในสภาพแวดล้อมที่ตั้งค่าตามที่อธิบายไว้ข้างต้น
ความคิดเฉพาะเกี่ยวกับ VMWare และ VLAN Security
VMWare Virtual Switches สามารถกำหนดให้กับ VLAN - เมื่อสวิตช์เสมือนเหล่านี้เชื่อมต่อกับส่วนต่อประสานทางกายภาพบนโฮสต์ VMWare ทราฟฟิกใด ๆ ที่ปล่อยออกมาจะมีแท็ก VLAN ที่เหมาะสม
อินเทอร์เฟซทางกายภาพของเครื่อง VMWare ของคุณจะต้องเชื่อมต่อกับพอร์ต trunk VLAN (แบก VLANs ที่จะต้องเข้าถึง)
ในกรณีเช่นนี้สิ่งสำคัญคือต้องใส่ใจกับแนวทางปฏิบัติที่ดีที่สุดของ VMWare สำหรับการแยกการจัดการ NIC จากเครื่องเสมือน NIC: การจัดการของคุณควรเชื่อมต่อกับพอร์ตเนทีฟใน VLAN ที่เหมาะสมและเครื่องเสมือนของคุณควรเชื่อมต่อกับ ลำตัวที่มี VLANs ที่เครื่องเสมือนต้องการ (ซึ่งในอุดมคติไม่ควรพก VMWare Management VLAN)
ในทางปฏิบัติบังคับให้มีการแยกทางนั้นพร้อมกับสิ่งที่ฉันพูดถึงและสิ่งที่ฉันแน่ใจว่าคนอื่นจะเกิดขึ้นจะให้สภาพแวดล้อมที่ปลอดภัยพอสมควร
