Здесь вам необходимо разделить сеть на сегменты и обосновать, какой трафик должен быть разрешен к прохождению. Вам нужны адрес, префикс, шлюз по умолчанию и порт из статей IP, подсеть и стандартный шлюз и сетевые протоколы.

Начните с примера VLAN, Задания 1 и упражнения по настройке брандмауэра. Базовый маршрут — это план доступа с ожидаемым разрешенным и заблокированным трафиком. Практическое изменение требует отдельной утвержденной тестовой среды и возможности отката к предыдущей конфигурации. Без такого доступа используйте данный пример для планирования; вы не должны изменять школьную сеть. Расчет подсетей и настройка DHCP являются дополнительными опциями.

Почему сегментировать?

Сегментация разделяет сеть на более мелкие части. VLAN разделяет трафик на уровне 2. Маршрутизатор или коммутатор уровня 3 по-прежнему может передавать трафик между ними; межсетевой экран или правила доступа определяют, что именно разрешено.

Что такое VLAN?

Виртуальная локальная сеть (Virtual Local Area Network, VLAN) разделяет физический коммутатор на логические сети. Идентификатор VLAN указывает, к какому VLAN относится трафик. Доступ между VLAN также должен контролироваться дополнительно.

Видео: Как VLAN разделяет физическую сеть

Видео объясняет, как VLAN разделяют одну физическую сеть на несколько логических сетей и изолируют трафик между ними.

В этом примере каждый VLAN использует собственное IPv4-подсеть:

Тегированный и нетегированный трафик

Для того чтобы VLAN работали на нескольких коммутаторах (или между коммутатором и маршрутизатором), используется тегирование:

Обычный компьютер обычно подключается к порту доступа без самостоятельной маркировки трафика идентификаторами VLAN. Trunk-порт может передавать несколько разрешенных VLAN, необязательно все. У trunk-порта также может быть нетегированный так называемый нативный VLAN. Изучите фактическую конфигурацию профиля порта перед интерпретацией пути передачи трафика.

Задание 1 — Наблюдение за VLAN на практике

Если у вас есть разрешение просматривать сетевую конфигурацию в UniFi или другом инструменте, изучите её без внесения изменений:

• Посмотрите, какие VLAN настроены
• Какие порты установлены как access, а какие как trunk?
• Сравните настройку IP для ПК с подсетью и профилем порта. Только по IP-адресу нельзя подтвердить принадлежность к VLAN.

Без административного доступа: Используйте таблицу примеров. У клиента адрес 10.0.30.10/24, шлюз 10.0.30.1. К какой из показанных в примере подсетей он относится и какой тип порта вы бы выбрали для обычного ПК? Ожидаемый ответ — подсеть учеников и access-порт в VLAN 30. Это интерпретация примера, а не измерение вашей собственной сети.

Правила межсетевых экранов между VLAN

Сначала опишите, кто должен инициировать соединение, с каким целевым узлом и по какому протоколу/порту. Общее обозначение, такое как «сотрудники к серверам», слишком грубое для прямой конфигурации. Таблица представляет собой пример политики, который необходимо конкретизировать:

Ответный трафик означает, что серверу нельзя позволять инициировать новые соединения со всеми. Правила established/related и порядок правил должны соответствовать межсетевого экрана. Трафик между устройствами в одном VLAN обычно не проходит через межсетевой экран, управляющий маршрутизацией между VLAN.

Это желаемая конечная политика, а не указание сначала включить широкую блокировку в используемой сети. Сохраняйте необходимое администрирование, DNS и DHCP во время изменения ограниченной тестовой конфигурации.

Упражнение: Клиент через прокси, а не напрямую к приложению

Используйте эти примеры ролей или соответствующие известные значения из тестовой среды:

Клиент должен иметь возможность открыть приложение через прокси, но не напрямую на порту приложения. [[Docker Level 3 - Publisere applikasjon|Docker Level 3]] показывает, как настроить и контролировать прокси и приложение. Запишите план в отдельный документ:

Прокси и приложение находятся в одном VLAN в примере. Связь между ними тестируется непосредственно, но не управляется этими правилами между VLANs. Успешное тестирование через прокси демонстрирует доступность приложения этим путем; неудача при прямом тесте сама по себе не доказывает, что межсетевой экран заблокировал правильно.

Практическое тестирование в одобренной среде

Используйте уже работающую конфигурацию прокси/приложения. Зафиксируйте нормальное состояние и действующие правила, а также сохраните доступ к консоли или другому каналу администрирования для возможности отката изменений. Проверьте источник, назначение, порт, направление и порядок правил перед изменением одного ограниченного правила.

С клиента протестируйте имя приложения через прокси. Для прямого доступа к приложению можно использовать:

curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status

Адрес указан в примере; замените его на адрес приложения тестовой среды. После блокировки у этого клиента не должно быть создано TCP-соединение по протоколу HTTP. Тайм-аут может иметь другие причины; сравните результат с журналом межсетевого экрана или счётчиком правил при наличии таковых от инструмента и одновременно убедитесь, что приложение продолжает отвечать через прокси. Коды состояния HTTP 404 или 500 из порта приложения указывают на то, что соединение по протоколу HTTP было установлено, даже если команда curl --fail завершается с ошибкой.

Контрольная точка: Планируемый и фактический доступ

Покажите оба теста с указанием источника, назначения, ожидаемого и фактического результата. Объясните правило и то, что проверяют тесты. При отклонениях исследуйте по одному правилу или одному маршруту трафика за раз и повторяйте проверку. Откатитесь назад, если изменение нарушает необходимый доступ.

Если вы использовали только пример, отметьте результаты как ожидаемые и объясните, какие проверки остались. В этом случае план готов, но реализация и фактическое воздействие не продемонстрированы. Расчет подсетей и DHCP ниже являются необязательными расширениями после этой контрольной точки.

Подсетевая адресация

Переизбрание: Используйте IP и подсеть, когда нужно выбрать другой адресный диапазон. Приведённые ниже числа относятся к обычным подсетям IPv4 и показывают количество адресов хостов после адреса сети и широковещательного адреса:

Задание 2 — Расчет подсети

Необязательное упражнение по расчету: используйте метод из справочника по IP или калькулятор подсетей, например subnet-calculator.com:

• Введите 10.0.60.0 с маской /24. Сколько адресов вы получите?
• Что произойдет, если изменить на /25? Или /23?
• Какой вариант вы бы выбрали для класса с 30 учениками?

Контроль: /24 дает 254 адреса хостов, /25 — 126 и /23 — 510. Обоснуйте выбор исходя из всех устройств, которым требуется адрес, включая шлюз и другое оборудование; количество учеников не является полным объемом требований к адресации.

DHCP по VLAN

Необязательный поиск: Клиентам, которым требуется автоматическая настройка IP, необходим DHCP для предоставления правильной настройки подсети. Статические адреса не требуют DHCP. В разделе [[Протоколы уровня 2 — Сетевые службы и роли серверов|Сетевые службы и роли серверов]] объясняется работа DHCP и резервирование адресов.

Пример для VLAN «Ученик»:

Резюме

• Сегментация делит сеть на части, где трафик может контролироваться
• VLAN — это виртуальные сети на одном физическом коммутаторе
• Порты доступа подключают устройства к одному VLAN, порты trunk переносят несколько VLAN
• Правила межсетевого экрана определяют, что разрешено между VLAN
• В примере у каждого VLAN есть собственный подсеть; DHCP актуален при автоматической выдаче адресов
• Итоговая политика: блокировать ненужный трафик, разрешать согласованные службы

Источники: UniFi: правила доступа и ответный трафик и порты access/trunk.