VLAN και ασφάλεια

[madrivermadonus]

Γεια σε όλους!

Δημιουργώ 3 vlan στο ρουτερ μου ωστε να δημιουργηθουν 3 δίκτυα, να υπάρχει μια σχετική ασφάλεια και στις θέσεις δικτύου να μην εμφανίζονται οι Η/Υ άλλου δικτύου.
Έτσι το κάθε pc δεν βλέπει pc άλλου vlan (πχ pc vlan 1 δεν βλέπει τα pc των vlan 2 Και vlan3.

Ωστόσο αν χτυπήσω την ip ενός pc άλλου VLAN (πχ στο VLAN1 με 192.168.1.1 χτυπήσω την \\192.168.2.1 μπαίνω στο αντίστοιχο pc.
Αυτό μπορεί να αποφευχθεί μόνο τσεκάροντας στο ρουτερ την επιλογή isolation που κρύβει προφανώς τα στοιχεία δικτύου στο network discovery.

Παρατηρώ λοιπόν οτι τα ξεχωριστά δίκτυα μπορούν να σκαναριστούν με κάποιο network scanner και να βρούμε τους H/Υ στους οποίους ενδεχομένως θέλουμε να αποκτήσουμε πρόσβαση.
Στην ουσία τα VLAN είναι για να τμηματοποιήσουμε το δικτυο και έπειτα να κάνουμε τη χρήση λειτουργιών όπως το isolation κτλ για κανόνες ασφαλείας;
 

[Ledis]

Το Router σου δρομολογεί την κίνηση από το 1 subnet στο αλλο (Και αντίστοιχα απο το 1 Vlan στο άλλο).

Θα πρέπει να ορίσεις κανόνες Firewall για να αποτρέψεις την επικοινωνία. 

Τί Router έχεις?

[madrivermadonus]

5 ώρες πριν, Ledis είπε

Το Router σου δρομολογεί την κίνηση από το 1 subnet στο αλλο (Και αντίστοιχα απο το 1 Vlan στο άλλο).

Θα πρέπει να ορίσεις κανόνες Firewall για να αποτρέψεις την επικοινωνία. 

Τί Router έχεις?

tplink vr400. 

στην ουσία συμπεραίνω οτι δημιουργώντας απλώς υποδίκτυα και vlan χωρίς περαιτέρω ρυθμίσεις δεν έχεις κάποιο όφελος ως προς την ασφάλεια.

στο συγκεκριμένο ρουτερ μπορώ να επιλέξω isolation ωστε να απομονωθούν τα δίκτυα.

Επεξ/σία 1 Αυγούστου 2018 από madrivermadonus

[YourTrueLegend]

31 minutes ago, madrivermadonus said:

 

στην ουσία συμπεραίνω οτι δημιουργώντας απλώς υποδίκτυα και vlan χωρίς περαιτέρω ρυθμίσεις δεν έχεις κάποιο όφελος ως προς την ασφάλεια.

 

To συμπερασμα αυτο ειναι αυθαιρετο και δεν ισχυει.

Τα VLAN εχουν πολλες εφαρμογες περα απο την ασφαλεια, αλλα πρεπει να ρυθμιζονται και αναλογως. Δε σημαινει οτι καθε φορα που φτιαχνεις ενα VLAN αποκτας ξαφνικα και ολα τα πλεονεκτηματα που εχουν σε καθε ειδους εφαρμογη.

Ειναι σαν να λεμε οτι αν παρεις ενα modem εχεις Internet by default. Η απαντηση ειναι οχι, γιατι και αυτο πρεπει να ρυθμιστει αναλογως για να παιξει το ιντερνετ (αν παρεις του παροχου ειναι προρυθμισμενο, αν παρεις δικο σου ομως, πρεπει να το φτιαξεις εσυ). Εσυ λοιπον εκανες create VLANs και εκανες assign καποια network, αλλα απο εκει και περα δεν εχεις ρυθμισει τιποτα, οποτε τα VLANs συμπεριφερονται με βαση τις default ρυθμισεις που εχει το router σου. Ενα αλλο router με αλλες default ρυθμισεις μπορει να εκοβε την επικοινωνια αναμεσα στα VLANs χωρις να κανεις τιποτα περισσοτερο.

Επεξ/σία 1 Αυγούστου 2018 από YourTrueLegend

[madrivermadonus]

3 ώρες πριν, YourTrueLegend είπε

To συμπερασμα αυτο ειναι αυθαιρετο και δεν ισχυει.

Τα VLAN εχουν πολλες εφαρμογες περα απο την ασφαλεια, αλλα πρεπει να ρυθμιζονται και αναλογως. Δε σημαινει οτι καθε φορα που φτιαχνεις ενα VLAN αποκτας ξαφνικα και ολα τα πλεονεκτηματα που εχουν σε καθε ειδους εφαρμογη.

Ειναι σαν να λεμε οτι αν παρεις ενα modem εχεις Internet by default. Η απαντηση ειναι οχι, γιατι και αυτο πρεπει να ρυθμιστει αναλογως για να παιξει το ιντερνετ (αν παρεις του παροχου ειναι προρυθμισμενο, αν παρεις δικο σου ομως, πρεπει να το φτιαξεις εσυ). Εσυ λοιπον εκανες create VLANs και εκανες assign καποια network, αλλα απο εκει και περα δεν εχεις ρυθμισει τιποτα, οποτε τα VLANs συμπεριφερονται με βαση τις default ρυθμισεις που εχει το router σου. Ενα αλλο router με αλλες default ρυθμισεις μπορει να εκοβε την επικοινωνια αναμεσα στα VLANs χωρις να κανεις τιποτα περισσοτερο.

 

ενδιαφέροντα όσα γράφεις. 

Άρα φτιάχνοντας VLAN τίποτα δεν θεωρείται δεδομένο και θέλει ψάξιμο και έλεγχο στό δίκτυο(προφανώς και παραμετροποίηση).

ευχαριστώ

[YourTrueLegend]

32 minutes ago, madrivermadonus said:

ενδιαφέροντα όσα γράφεις. 

Άρα φτιάχνοντας VLAN τίποτα δεν θεωρείται δεδομένο και θέλει ψάξιμο και έλεγχο στό δίκτυο(προφανώς και παραμετροποίηση).

ευχαριστώ

Eν προκειμενω, για αυτο που συμβαινει στην περιπτωση σου, αν και δεν μας δινεις πολλες λεπτομερειες, αυθαιρετα θα θεωρησω οτι οι IPs που τεσταρες πιο πανω ειναι οι VLAN/gateway IPs . Αν αυτο ισχυει μου φαινεται λογικο το ενα VLAN να βλεπει το αλλο. Το ερωτημα ειναι (αν στην παραπανω υποθεση εχω δικιο), αν αυτο ισχυει και με clients που βρισκονται σε αυτα τα VLANs.

Π.χ. ενα pc με IP 192.168.1.2 σιγουρα "βλεπει" το gateway του που (αυθαιρετα-υποθετικα λεω οτι) ειναι το 192.168.1.1 και επισης βλεπει και το gateway του αλλου VLAN π.χ. 192.168.2.1 . Ομως βλεπει ενα αλλο pc στο 2ο VLAN με IP 192.168.2.2 ?

Aν οχι, by default επιτυγχανεται ως ενα βαθμο αυτο που ψαχνεις, δηλαδη clients απο διαφορετικα VLANs να μην εχουν επικοινωνια. Αν θες να ειναι τελειως isolated και ανεξαρτητα τα VLAN μεταξυ τους, τοτε παιξε με το firewall οπως ειπωθηκε και παραπανω.

Επεξ/σία 1 Αυγούστου 2018 από YourTrueLegend

[madrivermadonus]

ευχαριστώ για τις απαντήσεις!

[Ledis]

18 ώρες πριν, madrivermadonus είπε

ενδιαφέροντα όσα γράφεις. 

Άρα φτιάχνοντας VLAN τίποτα δεν θεωρείται δεδομένο και θέλει ψάξιμο και έλεγχο στό δίκτυο(προφανώς και παραμετροποίηση).

ευχαριστώ

Θεωρώ ότι η προσέγγιση σου είναι λάθος. Πρέπει πρώτα να γνωρίζεις τί είναι αυτό που κάνεις, ωστέ να έχεις το αποτέλεσμα που θέλεις. 

Είναι σαν νά έχεις βάλει μια κλειδαριά ασφαλείας σε μία πόρτα, να την αφήσεις ξεκλειδωτη και λές ότι "Δεν είναι σίγουρο οτι μια κλειδαριά ασφαλείας θα σου κλειδώσει την πόρτα" 

Ψάξε λίγο στο internet ωστέ να καταλάβεις τι ακριβώς είναι τα VLAN, ωστέ να έχεις καλύτερη εικόνα στο τί κάνεις.

Παρεμπιπτόντως, το Router σου επικοινωνει με κάποιο management switch και σου χρειάζονται τα VLAN?

 

Επεξ/σία 2 Αυγούστου 2018 από Ledis

[madrivermadonus]

10 ώρες πριν, Ledis είπε

Θεωρώ ότι η προσέγγιση σου είναι λάθος. Πρέπει πρώτα να γνωρίζεις τί είναι αυτό που κάνεις, ωστέ να έχεις το αποτέλεσμα που θέλεις. 

Είναι σαν νά έχεις βάλει μια κλειδαριά ασφαλείας σε μία πόρτα, να την αφήσεις ξεκλειδωτη και λές ότι "Δεν είναι σίγουρο οτι μια κλειδαριά ασφαλείας θα σου κλειδώσει την πόρτα" 

Ψάξε λίγο στο internet ωστέ να καταλάβεις τι ακριβώς είναι τα VLAN, ωστέ να έχεις καλύτερη εικόνα στο τί κάνεις.

Παρεμπιπτόντως, το Router σου επικοινωνει με κάποιο management switch και σου χρειάζονται τα VLAN?

οχι απλως ανοιξα το θεμα ωστε να ξεκαθαρίσω στο μυαλό μου τι ασφάλεια μπορεί να σου προσφέρει μια υποδικτύωση και τα vlans.

ο ρούτερ μου υποστηρίζει δημιουργία vlan απο τα 4 ports του. δεν εχω καποιο switch.

[Ledis]

14 ώρες πριν, madrivermadonus είπε

οχι απλως ανοιξα το θεμα ωστε να ξεκαθαρίσω στο μυαλό μου τι ασφάλεια μπορεί να σου προσφέρει μια υποδικτύωση και τα vlans.

ο ρούτερ μου υποστηρίζει δημιουργία vlan απο τα 4 ports του. δεν εχω καποιο switch.

Στην δικια σου περίπτωση, απλα δεν χρησιμοποιεις τα  VLAN κάπου.

Τα VLAN είναι μια Layer2 διεργασία (OSI Layer 2) και επιτρέπουν την μετάδοση διαφορετικών δικτύων (Virtual LANs) από ένα κοινό interface (ΠΧ Απο ενα καλωδιο ethernet που ενωνει 2 Switches) προσφέροντάς διαχωρισμό του δικτύου.

ΠΧ

 

Στο παραπάνω διάγραμμα δεν υπάρχει δυνατότητα επικοινωνίας από το ένα vlan στο αλλο (Θεωρούμε τα Switches ως Layer2). 

Για να μπορέσει το ενα δικτυο να επικοινωνησει, απαιτείται μια συσκευή Router (Layer3).

 

Στην δική σου περίπτωση, τα VLAN δεν εξυπηρετούν κάτι. Κάνε απλά 2~3 υποδίκτυα και καντά assign σε διαφορετικές θύρες. 

Επεξ/σία 3 Αυγούστου 2018 από Ledis

[madrivermadonus]

ευχαριστω!

[donblunts]

Στις 3/8/2018 στις 9:53 ΠΜ, Ledis είπε

Στην δικια σου περίπτωση, απλα δεν χρησιμοποιεις τα  VLAN κάπου.

Τα VLAN είναι μια Layer2 διεργασία (OSI Layer 2) και επιτρέπουν την μετάδοση διαφορετικών δικτύων (Virtual LANs) από ένα κοινό interface (ΠΧ Απο ενα καλωδιο ethernet που ενωνει 2 Switches) προσφέροντάς διαχωρισμό του δικτύου.

ΠΧ

Στο παραπάνω διάγραμμα δεν υπάρχει δυνατότητα επικοινωνίας από το ένα vlan στο αλλο (Θεωρούμε τα Switches ως Layer2). 

Για να μπορέσει το ενα δικτυο να επικοινωνησει, απαιτείται μια συσκευή Router (Layer3).

Στην δική σου περίπτωση, τα VLAN δεν εξυπηρετούν κάτι. Κάνε απλά 2~3 υποδίκτυα και καντά assign σε διαφορετικές θύρες. 

Το μπερδευεις πολύ το πραμα, πετωντας απλα ενα τοπολογικο σχεδιο με τα L2 και L3 και ορολογιες απο CCNA.

@madrivermadonus

Ψάξου καλύτερα με την Υποδικτυωση-Subnetting, και οχι με τα VLAN.

Αν σε ενδιαφερει εχω υλικο να σου δώσω.

 

[Ledis]

1 ώρα πριν, donblunts είπε

Το μπερδευεις πολύ το πραμα, πετωντας απλα ενα τοπολογικο σχεδιο με τα L2 και L3 και ορολογιες απο CCNA.

Εγώ δεν μπερδεύω τίποτα. Δυστυχώς πιο λιανά δεν γίνονται. 

Θα συμφωνήσω πάντος μαζί σου ότι ο @madrivermadonus θα πρέπει πρώτα να ψαχτεί με Υποδικτυωση-Subnetting

Επεξ/σία 10 Αυγούστου 2018 από Ledis