VLAN i sieciowanie segmentacji

Tutaj należy podzielić sieć na segmenty i uzasadnić, jaki ruch ma zostać przepuszczony. Potrzebujesz adresu, prefiksu, bramki oraz portu z [[Protokolle Niveau 3 – IP, subnets and default gateway | IP, subnets and default gateway ]] oraz [[ Protokolle Niveau 1 – Network protocol | network protocols ]].

Zacznij od przykładu VLAN, zadania nr 1 i ćwiczenia dotyczącego zapory firewall. Ścieżka podstawowa to plan dostępu zawierający oczekiwany dozwolony i blokowany ruch. Praktyczne zmiany wymagają odrębnego, zatwierdzonego środowiska testowego oraz możliwości powrotu do poprzedniej konfiguracji. Jeśli nie masz takiego dostępu, użyj przykładu wyłącznie do planowania; nie wolno zmieniać szkolnej sieci. Obliczanie podsieci i konfigurowanie DHCP są opcjonalne.

Dlaczego segmentować?

Segmentacja dzieli sieć na mniejsze części. VLAN oddziela ruch na warstwie 2. Router lub przełącznik warstwy 3 nadal może przekazywać ruch między nimi; zapora sieciowa lub reguły dostępu określają, co faktycznie jest dozwolone.

Czym jest VLAN?

Wirtualna sieć lokalna (VLAN, Virtual Local Area Network) dzieli fizyczny przełącznik na logiczne sieci. Identyfikator VLAN określa, do którego VLAN należy ruch. Dostęp między VLAN wymaga dodatkowego zarządzania.

Wideo: Jakiej sposób VLAN dzieli fizyczną sieć?

W wideo wyjaśniono, w jaki sposób VLANy dzielą jedną fizyczną sieć na wiele logicznych sieci oraz rozdziłają ruch między nimi.

W tym przykładzie każdy VLAN używa własnej podsieci IPv4:

Ruch tagowany i nietagowany

Aby VLUANY mogły działać na wielu przełącznikach (lub między przełącznikiem a routerem), stosuje się tagowanie (oznaczanie):

Zwykły komputer jest zwykle podłączany do portu dostępowego bez samodzielnego oznaczań ruchu identyfikatorami VLAN. Trunk może przenosić wiele dozwolonych VLAN-ów, niekoniecznie wszystkie. Trunk może również mieć sieć natywną (native VLAN), która jest przesyłana bez znacznika. Przed interpretacją ścieżki ruchu należy odczytać rzeczywistą konfigurację profilu portu.

Zadanie 1 – VLAN w praktyce

Jeśli masz uprawnienia do odczytu ustawień sieciowych w UniFi lub innym narzędziu, przeprowadź badanie bez wprowadzania zmian:

• Sprawdź, które VLAN-y są skonfigurowane
• Jakie porty są ustawione jako access, a jakie jako trunk?
• Porównaj konfigurację IP komputera z podsiecią i profilem portu. Sama adresacja IP nie potwierdza przynależności do VLAN-u.

Bez dostępu administratora: Skorzystaj z tabeli przykładowej. Klient ma adres 10.0.30.10/24 i bramę 10.0.30.1. Do której podsieci z przykładu należy ten klient i jaki typ portu wybrałbyś dla zwykłego komputera? Oczekiwana odpowiedź to podsieć uczniowska oraz port access w VLAN 30. Jest to interpretacja przykładu, a nie pomiar Twojej własnej sieci.

Zasady zapory sieciowej między VLAN

Najpierw określ, kto ma inicjować połączenie, do jakiego celu oraz w ramach którego protokołu/portu. Ogólna etykieta typu „pracownicy do serwerów” jest zbyt szeroka, aby bezpośrednio ją skonfigurować. Tabela przedstawia przykładową politykę, którą należy sprecyzować:

Ruch zwrotny oznacza, że serwer nie powinien mieć możliwości inicjowania nowych połączeń ze wszystkimi. Zasady dla established/related oraz kolejność reguł muszą odpowiadać konfiguracji zapory sieciowej. Ruch między urządzeniami w tym samym VLAN zwykle nie przechodzi przez zapórę sieciową zarządzającą routowaniem między VLAN-ami.

To jest wymagana końcowa polityka, a nie polecenie włączenia szerokiego blokowania na początku sieci będącej w użyciu. Zachowaj niezbędne zarządzanie, DNS oraz DHCP podczas modyfikacji ograniczonej konfiguracji testowej.

Ćwiczenie: Klient przez proxy, nie bezpośrednio do aplikacji

Użyj tych ról przykładowych lub odpowiednich znanych wartości z środowiska testowego:

Klient ma mieć możliwość otwarcia aplikacji za pośrednictwem proxy, ale nie bezpośredniego połączenia na porcie aplikacji. Docker Level 3 pokazuje sposób konfiguracji i kontroli proxy oraz aplikacji. Napisz plan w osobnym dokumencie:

W przykładzie proxy i aplikacja znajdują się w tym samym VLANie. Połączenie między nimi jest testowane bezpośrednio, ale nie jest sterowane przez te reguły między VLANami. Pomyślny test przez proxy wskazuje, że aplikacja była dostępna tą ścieżką; nieudany bezpośredni test sam w sobie nie dowodzi, że zapora sieciowa zablokowała poprawnie.

Praktyczny egzamin w zatwierdzonego środowisku testowym

Wykorzystaj już działającą konfigurację serwera pośredniczącego/aplikacji. Zanotuj stan domyślny oraz aktualne reguły, a także zachowaj dostęp do konsoli lub inny kanał administracyjny, aby umożliwić cofnięcie zmian. Sprawdź źródło, cel, port, kierunek i kolejność reguł przed modyfikacją jednej ograniczonej reguły.

Z poziomu klienta przetestujesz nazwę aplikacji przez serwer pośredniczący. W przypadku bezpośredniego dostępu do aplikacji możesz użyć:

curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status

Adres pochodzi z przykładu; zastąp ją adresem aplikacji w środowisku testowym. Po zablokowaniu ten klient nie powinien nawiązywać połączenia HTTP. Timeout może mieć inne przyczyny; porównaj wynik z logiem zapory sieciowej lub licznikiem reguł, gdy narzędzie to umożliwia, oraz jednocześnie upewnij się, że aplikacja nadal odpowiada przez proxy. Kod statusu HTTP 404 lub 500 z portu aplikacji wskazuje na to, że połączenie HTTP zostało nawiązane, nawet jeśli curl --fail zakończy się błędem.

Punkt kontrolny: Zaplanowany i rzeczywisty dostęp

Pokaż oba testy wraz z źródłem, celem oraz oczekiwanym i faktycznym wynikiem. Wyjaśnij zasadę i to, co potwierdzają te testy. W przypadku odchylenia badaj jedną zasadę lub jedną ścieżkę ruchu naraz i powtórz kontrolę. Wycofaj zmianę, jeśli zaburza ona wymagany dostęp.

Jeśli użyłeś tylko przykładu, oznacz wyniki jako oczekiwane i wyjaśnij, które testy pozostają do wykonania. W takim razie plan jest gotowy, ale nie udowodniono wdrożenia ani faktycznego działania. Obliczenia podsieci i DHCP poniżej są opcjonalnymi rozszerzeniami po tej kontroli.

Podział sieci (Subneting)

Przeznaczanie ponowne: Użyj [[Protokolle Level 3 - IP, podsieć i brama domyślna|IP i podsieci]], aby wybrać inny zakres adresów. Poniższe wartości dotyczą typowych podsieci IPv4 i pokazują liczbę adresów hostów po adresach sieciowym i rozgłoszeniowym:

Zadanie 2 - Oblicz podsieć

Opcjonalne ćwiczenie obliczeniowe: Użyj metody z wyszukiwania IP lub kalkulatora podsieci, na przykład subnet-calculator.com:

• Wpisz 10.0.60.0 z maską /24. Ile adresów otrzymasz?
• Co się stanie, jeśli zmienisz to na /25? Albo /23?
• Co byś wybrał dla klasy szkolnej z 30 uczniami?

Sprawdzenie: /24 daje 254 adresy hostów, /25 daje 126, a /23 daje 510. Uzasadnij wybór w oparciu o wszystkie urządzenia wymagające adresu, w tym bramkę i inne wyposażenie; liczba uczniów nie stanowi całego zapotrzebowania na adresy.

DHCP na VLAN

Opcjonal konfiguracja: Klienci, którzy mają otrzymać automatyczną konfigurację IP, wymagają usługi DHCP dostarczającej właściwą konfigurację dla podsieci. Statyczne adresy nie potrzebują DHCP. Artykuł [[Protokolle Niveau 2 – Usługi sieciowe i role serwerów|Usługi sieciowe i role serwerów]] wyjaśnia działanie usługi DHCP oraz rezerwacje.

Przykład dla VLAN uczniów:

Podsumowanie

• Segmentacja dzieli sieć na części, w których ruch może być kontrolowany
• VLAN-y to wirtualne sieci na tym samym fizycznym przełączniku
• Porty dostępowe (access) podłączają urządzenia do jednego VLAN-u, a porty strzały (trunk) przenoszą wiele VLAN-ów
• Zasady zapory ogniowej określają, co jest dozwolone między VLAN-ami
• W przykładzie każdy VLAN ma własną podsieć; DHCP ma zastosowanie, gdy adresy mają zostać przydzielane automatycznie
• Polityka końcowa: blokuj niepotrzebny ruch, zezwalaj na ustalone usługi

Źródła: UniFi: zasady dostępu i ruch zwrotny oraz porty access/trunk.