Zusätzlich zu den Informationen zu Warum sollte ich aus Sicherheitsgründen keine VLANs verwenden? Hier sind einige spezifischere und allgemeinere Aspekte zu beachten:
Allgemeine Gedanken zur Sicherheit
Das sicherste System ist eines, bei dem die Hosts jedes Subnetzes mit einem Switch verbunden sind, der genau die Anzahl der Ports aufweist, die von den angeschlossenen Geräten verwendet werden. In einer solchen Konfiguration können Sie keine zufälligen Maschinen in Ihre sicheren Netzwerke einstecken, da dies das Herausziehen eines Steckers erforderlich macht (und theoretisch würde Ihr Überwachungssystem dies bemerken).
VLANs bieten eine ähnliche Sicherheit, indem Sie Ihren Switch in kleinere virtuelle Switches (virtuelle LANs: VLANs) aufteilen, die logisch voneinander isoliert sind und bei richtiger Konfiguration für alle mit ihnen verbundenen Systeme so aussehen, als wären sie physisch isoliert.
Allgemeine Überlegungen zu relativ sicheren VLAN-Konfigurationen
Ich übe für VLAN-fähige Switches, dass der gesamte Datenverkehr einem VLAN mit der folgenden Grundkonfiguration zugewiesen werden muss:
Weisen Sie alle nicht verwendeten Ports einem "nicht verwendeten" VLAN zu.
Alle Ports, die mit einem bestimmten Computer verbunden sind, sollten dem VLAN zugewiesen sein, in dem sich der Computer befinden soll. Diese Ports sollten sich in einem und nur einem VLAN befinden (mit Ausnahme bestimmter Ausnahmen, die wir im Moment ignorieren).
An diesen Ports werden alle ankommenden Pakete (zum Switch) mit dem nativen VLAN gekennzeichnet, und abgehende Pakete (vom Switch) stammen (a) nur aus dem zugewiesenen VLAN, und (b) sind nicht mit Tags versehen und erscheinen wie jedes normale Ethernet Paket.
Die einzigen Ports, die "VLAN-Trunks" sein sollten (Ports in mehr als einem VLAN), sind Trunk-Ports - solche, die Datenverkehr zwischen Switches transportieren oder eine Verbindung zu einer Firewall herstellen, die den VLAN-Datenverkehr selbst aufteilt.
An den Trunk-Ports werden die zum Switch eingehenden vlan-Tags respektiert und vlan-Tags werden nicht von Paketen entfernt, die den Switch verlassen.
Die oben beschriebene Konfiguration bedeutet, dass der einzige Ort, an dem Sie problemlos "VLAN-Hopping" -Datenverkehr einspeisen können, ein Trunk-Port ist (abgesehen von einem Softwareproblem in der VLAN-Implementierung Ihrer Switches) wichtig und verursacht einen Überwachungsalarm. Wenn Sie einen Host vom Computer trennen, um eine Verbindung zum VLAN herzustellen, sollte dieser in Ihrem Überwachungssystem das mysteriöse Verschwinden des Hosts feststellen und Sie warnen.
In diesen beiden Fällen sprechen wir über einen Angriff physischen Zugriff auf die Server beteiligt - wenn es nicht sein kann , völlig unmöglich VLAN Isolation zu durchbrechen sie bei einem Minimum ist sehr schwierig , in einer Umgebung aufgebaut wie oben beschrieben.
Spezifische Gedanken zur VMWare- und VLAN-Sicherheit
Virtuelle VMWare-Switches können einem VLAN zugewiesen werden - Wenn diese virtuellen Switches mit einer physischen Schnittstelle auf dem VMWare-Host verbunden sind, verfügt der ausgegebene Datenverkehr über das entsprechende VLAN-Tag.
Die physische Schnittstelle Ihres VMWare-Computers muss mit einem VLAN-Trunk-Port verbunden sein (der die VLANs enthält, auf die der Computer zugreifen muss).
In solchen Fällen ist es doppelt wichtig, VMWare Best Practices zum Trennen der Management-NIC von der Virtual Machine-NIC zu beachten: Ihre Management-NIC sollte mit einem nativen Port in einem geeigneten VLAN verbunden sein, und Ihre Virtual Machine-NIC sollte mit einem verbunden sein Trunk mit den VLANs, die die virtuellen Maschinen benötigen (die das VMWare-Management-VLAN idealerweise nicht tragen sollten).
In der Praxis wird die Durchsetzung dieser Trennung in Übereinstimmung mit den von mir genannten Punkten und dem, was sich sicher andere einfallen lassen, eine einigermaßen sichere Umgebung ergeben.
