VLAN jako metoda podniesienia poziomu bezpieczeństwa sieci lokalnej.

Artykuł ten kieruję do potencjalnych klientów, którzy chcą podnieść poziom zabezpieczeń sieci lokalnej i rozumieją już, że ochrona antywirusowa komputerów, to tylko część układanki. W tym artykule skupię się na ogólnym omówieniu tego rozwiązania oraz punktach "checklisty", jakie powinny być spełnione, by wdrożyć VLANy dobrze (w tym konkretnym celu) w standardzie IEEE 802.1Q.

Ale co to w ogóle jest ten VLAN? Jak mawia ej aj: bardzo dobre pytanie ;).
To wirtualna sieć lokalna (ang. Virtual Local Area Network), wydzielona z głównej sieci, zazwyczaj poprzez zmianę zakresów adresacji podsieci IP, czyli np. mając 192.168.1.x dodajemy VLAN o adresacji np. 192.168.2.x, gdzie x to numery kolejnych podłączanych urządzeń.
Kluczowymi funkcjami VLAN jest więc segmentacja sieci a niejako skutkiem ubocznym, jest izolowanie klientów tych sieci.

Ok, no ale po co? Choćby dlatego, że nie na każdym urządzeniu działa program antywirusowy, np. na rejestratorze, na kamerze IP, na smartfonie (choć może) i na coraz powszechniejszych urządzeniach IoT (ang. Internet of Things), z których dochodzi coraz częściej do włamań na całe infrastruktury sieci lokalnych w przedsiębiorstwach. Sam antywirus nie jest panaceum na każdy typ ataku, np. kradzież danych, w tym, przeprowadzoną przez pracownika, który miał dostęp w sieci wewnątrz.
Możemy też chcieć udostępnić sieć Internet w hotelu, firmie czy nawet domu, naszym gościom przez WiFi, którzy to mogą nieświadomie być nosicielami jakiejś internetowej zarazy. ;)
I właśnie w tym ostatnim przypadku najpowszechniej używany bywa VLAN, zwany "siecią gościną".
Chodzi o to, by nasz gość nie miał dostępu do naszej sieci lokalnej tylko do Internetu jaki mu użyczymy.
Typowy mój klient (czyli nie po znajomości), nierzadko konfigurował kiedyś router, więc może powie: a jaka to filozofia? Wystarczy włączyć funkcję sieci gościnnej i po robocie. ;) Faktycznie, taka funkcjonalność implementowana jest, w każdym, nowoczesnym routerze i na sporadyczny użytek, jest wystarczająca.
Ale... ;)
Co z sytuacją, gdy potrzebujemy udostępnić Internet np. najemcom w budynku po kablu?
Z pomocą przychodzą nam tutaj zarządzalne przełączniki sieciowe (ang. Management Switch), z funkcją właśnie VLAN, którymi możemy odseparować sieci.

Załóżmy, że podzieliśmy te sieci na VLAN'y czy to wszystko?
Przede wszystkim, na tym etapie, warto zadbać o zabezpieczenie dostępu interfejsu routera, bo tutaj samo się nie zrobi jak z "siecią gościnną". Zazwyczaj robi się taką konfigurację z pomocą reguł zapory na routerze. Uważny czytelnik, może zapytać: no przecież miała być separacja. Słusznie, tyle, że router jest punktem "styku" i ma do niego dostęp domyślnie każda z podsieci.
No dobrze, a co z urządzeniami wymienionymi na wstępie? Czy nie lepiej je odciąć od Internetu zamiast bawić się w VLAN?
Niektóre można, inne zaś stracą cenne funkcje np. dostęp do chmury i podgląd kamer na smartfonie.
Dlatego tutaj też zakładamy kolejny VLAN, wcześniej zmieniając adresację IP na tych urządzeniach - o ile była wpisywana jako stała, bo później będzie nam trudniej. No i fajnie, ale jak mamy tym zarządzać? Z pomocą przychodzą nam tutaj reguły zapory na routerze oraz listy kontroli dostępu (ang. Access Control List), dostępne na routerze i/lub niektórych bardziej zaawansowanych, zarządzalnych przełącznikach sieciowych.
Warto mieć na uwadze, że jeżeli będziemy mieli potrzebę łączyć się pomiędzy VLAN'ami, do zasobów na serwerach plików czy bazodanowych, czeka nas jeszcze wpisanie odpowiednich reguł do zapory (firewall), albo tej w systemie operacyjnym albo tej zintegrowanej w programie antywirusowym.
Jeśli używamy dostępu przez VPN, to tutaj również należy skonfigurować odpowiednie zasady, kto do jakiej sieci VLAN ma dostęp zdalnie.

Powyższy zestaw prac konfiguracyjnych wydawać by się mogło, że jest kompletny na logikę. Tak, to całkiem solidne zabezpieczenie przed nie tyle atakiem co myszkowaniem wścibskiego amatora. By utrudnić znacznie lub wręcz uniemożliwić działania prawdziwego hakera albo złośliwego oprogramowania, należy zrobić jeszcze dwie rzeczy.
1) Wydzielić sieć VLAN do zarządzania, bo przy powyższych podziałach, zapewne zostaniemy na tym samym VLAN z kolegami z działu handlowego, prezesem i paniami z księgowości, a i magazyn będzie mieć potencjalny dostęp do routera czy przełącznika sieciowego - a to są nasze strategiczne punkty. Potencjalnie, bo jeszcze musiałby znać hasło, czyli ostatni bastion.
2) Ostatnią i najbardziej skomplikowaną częścią konfiguracji jest wyeliminowanie z użycia zarówno na routerze jak i zarządzalnych przełącznikach sieciowych, domyślnego VLAN1 wraz z domyślną adresacją IP.
Dlaczego to takie ważne? Ponieważ jest to domyślny VLAN niejako "techniczny", przez którego mamy dostęp do wszystkich pozostałych i jest on domyślnie dostępny na wszystkich portach. Wyeliminowanie go z użycia zapobiega tzw. VLAN hoppingowi, czyli nieautoryzowanemu dostępowi do innych sieci VLAN, nawet, jeśli posiadamy już specjalne funkcje zaszyte w oprogramowaniu przełącznika, np. Ingress Checking (w TP-Link), sprawdzające czy VLAN jest zgodny z przypisanym do danego portu.
A dlaczego to trudne? Ponieważ implementacja VLAN1 na różnych routerach czy przełącznikach jest różna, a i nie ma jednego sposobu na zabezpieczenie. Ten zależy od kreatywności wdrażającego.
To dlaczego producenci tego nie robią? Ponieważ jest to domyślna konfiguracja przy braku podziału na VLANy i odpowiadania za prawidłowe działanie tak routera jak i przełącznika, dopiero co uruchomionego po kupnie czy też wgraniu systemu (firmware). Gdyby tego nie było, nie połączyli byśmy się z tymi urządzeniami przez sieć LAN i interfejs webowy. Trzeba by było dostać się do systemu z wiersza poleceń, co jest możliwe na wielu tego typu profesjonalnych routerach czy przełącznikach, ale przystępność tego rozwiązania, znacznie by spadła.

Pamiętajmy też, że VLAN to tylko element bezpieczeństwa i jak ktoś będzie mieć dostęp do komputera fizycznie lub zdalnie oraz hasła do systemów, to VLAN nas nie zabezpieczy. To bardziej jak drugi zamek w drzwiach.

Zapraszam do współpracy w zakresie audytu, dopasowania i wdrożenia zabezpieczeń w obrębie Państwa sieci, tudzież zaprojektowania nowej z wykorzystaniem lub wymianą istniejących urządzeń.

Opracowanie i napisanie (bez użycia sztucznej inteligencji): Marian Prokopiszyn