Почему люди говорят мне не использовать VLAN для безопасности?

25

Согласно заголовку, почему люди говорят мне не использовать VLAN в целях безопасности?

У меня есть сеть, где есть пара VLANS. Существует межсетевой экран между двумя VLAN. Я использую коммутаторы HP Procurve и убедился в том, что ссылки «коммутатор-коммутатор» принимают только помеченные кадры, а порты хоста не принимают помеченные кадры (они не «VLAN Aware»). Я также убедился, что собственная VLAN (PVID) магистральных каналов не совпадает ни с одной из 2 хост-сетей VLAN. Я также включил "Ingress Filtering". Кроме того, я убедился, что порты хоста являются только членами одной VLAN, что совпадает с PVID соответствующего порта. Единственными портами, которые являются членами нескольких VLAN, являются магистральные порты.

Может кто-нибудь объяснить мне, почему вышесказанное не является безопасным? Я считаю, что я обратился к проблеме двойного тегирования.

Благодарность

Обновление: оба коммутатора Hp Procurve 1800-24G

networking security vlan

— jtnire
источник

1

Вы также можете попробовать задать вопрос на сайте security.stackexchange.com , если хотите получить информацию от специалистов по безопасности ...

— AviD

Это обязательно должно быть на security.se.

— Марк Э. Хаас

@mehaase, вопросы не могут быть перенесены через определенный промежуток времени. Это слишком старый вопрос для миграции.

— Zoredache

18

Почему люди говорят мне не использовать VLAN в целях безопасности?

Существуют реальные риски, если вы не до конца понимаете потенциальные проблемы и правильно настроите свою сеть, чтобы снизить риск до уровня, приемлемого для вашей среды. Во многих местах VLAN обеспечивают адекватный уровень разделения между двумя VLAN.

Может кто-нибудь объяснить мне, почему вышесказанное не является безопасным?

Похоже, вы предприняли все основные шаги, необходимые для достижения довольно безопасной настройки. Но я не совсем знаком с оборудованием HP. Возможно, вы сделали достаточно для своего окружения.

Хорошей статьей также будет документ о безопасности Cisco VLAN .

Он включает в себя список возможных атак на сеть на основе VLAN. Некоторые из них невозможны на некоторых коммутаторах или могут быть смягчены путем правильного проектирования инфраструктуры / сети. Потратьте время, чтобы понять их и решить, стоит ли риск того, что потребуется, чтобы избежать его в вашей среде.

Цитируется из статьи.

Атака MAC-флудинга
802.1Q и ISL Taging Attack
Двойная инкапсуляция 802.1Q / Nested VLAN Attack
ARP-атаки
Частная VLAN-атака
Многоадресная атака грубой силы
Атака связующего дерева

Смотрите также:

— Zoredache
источник

1

Да, я прочитал эту статью перед публикацией. Это действительно очень хорошая статья. Хотя я понимаю все связанные с этим риски, настоящий документ действительно относится только к оборудованию Cisco - по крайней мере, к тем деталям, которые могут иметь отношение к ошибочному микропрограммному обеспечению, такому как атаки на флуд и ARP.

— jtnire

10

Это безопасно для определенных значений безопасности.

Ошибки в прошивке, сброс настроек коммутатора, ошибка человека может сделать его небезопасным. Пока только очень немногие люди имеют доступ к настройке коммутаторов и самих коммутаторов, это нормально в обычной бизнес-среде.

Я бы пошел на физическое разделение для действительно конфиденциальных данных, хотя.

— Хьюберт Карио
источник

1

Разве все эти проблемы не относятся к обычным брандмауэрам третьего уровня?

— jtnire

Да, и сети VLAN следует рассматривать так, как если бы они были подключены к общему маршрутизатору. Сеть с действительно конфиденциальными данными не должна быть подключена ни к чему другому. Если у обоих есть доступ к Интернету, то все в порядке.

— Хьюберт Карио

2

+1 Ты ударил гвоздь по голове первым предложением.

— Джон Гарденье

Можете ли вы объяснить свое первое предложение? Поскольку я пытаюсь использовать VLAN в целях безопасности, я не могу просто предположить, что они небезопасны, и не использовать их для безопасных подсетей :)

— jtnire

1

Это не отвечает на вопрос вообще ... это просто общие банальности в отношении безопасности.

— Марк Э. Хаас

4

Кажется, я вспоминаю, что в прошлом было проще прыгать по VLAN, поэтому «люди» так говорят. Но почему бы вам не спросить «людей» о причинах? Мы можем только догадываться, почему они сказали вам это. Я знаю, что HIPAA и PCI-аудиторы в порядке с VLAN для безопасности.

— mfinni
источник

В самом деле? Аудиторы PCi согласны с этим? Под «людьми» я имею в виду чтение вокруг онлайн :)

— jtnire

6

Аудиторы PCI, безусловно, согласны с этим, что удивительно, если учесть, что с ними можно столкнуться, если убедиться в безопасности системы! Сети VLAN - это всего лишь инструмент для выделения широковещательных доменов на уровне 2. На уровне 3 и выше находятся большинство серьезных уязвимостей. К тому времени, когда кто-то подобрался к вашей системе достаточно близко, чтобы возиться с виртуальными локальными сетями, вы столкнулись с гораздо более серьезной проблемой!

— Найл Донеган

1

К счастью, мне не приходилось иметь дело с беспроводной связью с PCI DSS, так что это не подошло. Обычно я имею дело с хостингом, где есть хорошие запертые кабины и старые добрые кабели.

— Найл Донеган

1

Да, я планирую развернуть VLAN в моей кабине для моих управляемых клиентов. Коммутаторы будут заблокированы в стойке :) Я полагаю, что сети VLAN часто используются в средах colo для совместного использования коммутаторов, не так ли?

— jtnire

1

@jnire Да, PCI DSS требует физического разделения для WLAN. Проводные сети разные.

— sysadmin1138

2

Я думаю, что основная проблема заключается в том, что VLAN не безопасны, потому что вы просто разделяете широковещательные домены, а не на самом деле разделяете трафик. Весь трафик от нескольких VLAN все еще течет по одним и тем же физическим проводам. Узел с доступом к этому трафику всегда можно настроить на случайный режим и просматривать весь трафик по проводам.

Очевидно, что использование коммутаторов значительно снижает этот риск, поскольку коммутаторы контролируют, какие данные на каких портах фактически появляются, однако основной риск все еще остается.

— Фил Холленбек
источник

3

Извини, я не понимаю этого. Поскольку коммутаторы управляют трафиком, проходящим к портам, в зависимости от их членства в VLAN, перевод узла в беспорядочный режим ничего не даст. Конечно, если злоумышленник получит доступ к магистральной линии, то будет работать беспорядочный режим, однако то же самое можно сказать, если злоумышленник получит доступ к кабелю для другого сегмента физического брандмауэра. Пожалуйста, поправьте меня, если я ошибаюсь ..

— jtnire

Ну, если злоумышленник получил доступ к вашему коммутатору по сети, он мог бы делать такие вещи, как зеркальные порты и собирать пакеты из других сетей, верно? Я думаю, что проблема связана с тем фактом, что виртуальные локальные сети являются программируемой функцией, в то время как отдельные кабели и физический уровень защиты.

— Фил Холленбек

1

Но я все еще не понимаю, чем это отличается от обычного брандмауэра 3-го уровня - они также используют программное обеспечение для программирования. Конечно, я пытался смягчить эту проблему, не помещая ненадежные узлы в управляющую VLAN, поэтому переключение доступа через веб-интерфейс невозможно.

— jtnire