Це машинний переклад, який може містити помилки!
Тут вам потрібно розбити мережу на сегменти та обґрунтувати, який трафік має допускатися. Вам потрібні адреса, префікс, шлюз і порт з матеріалів IP, підмережа та стандартний шлюз і протоколи мереж.
Почніть приклад із VLAN, завдання 1 вправи з брандволом. Базовий маршрут — це план доступу з очікуваним дозволеним і заблокованим трафіком. Практичні зміни потребують окремого затвердженого тестового середовища та шляху відкоту до попереднього налаштування. Без такого доступу використовуйте приклад для планування; не повинні змінювати мережу школи. Розрахунок підмереж та налаштування DHCP є додатковою опцією.
Чому сегментувати?
Сегментація розбиває мережу на менші частини. VLAN відокремлює трафік на рівні 2. Маршрутизатор або комутатор 3-го рівня все одно може забезпечувати передачу трафіку між ними; брандмауер або правила доступу визначають, що саме фактично дозволяється.
| Перевага | Пояснення |
|---|---|
| Безпека | Правила доступу можуть обмежити, до яких сервісів має доступ камера IoT |
| Продуктивність | Менше широкомовного трафіку на сегмент |
| Контроль | Різні правила для різних груп користувачів |
| Діагностика | Легше ізолювати проблеми в межах певного сегмента |
Практичний приклад
Це гіпотетичне розбиття, а не фактична структура школи або готові правила брандвола:
- VLAN 10: Адміністрація - Зарплата, кадровий відділ, керівництво. Строго обмежений доступ.
- VLAN 20: Співробітники - Вчителі та інші співробітники. Доступ до спільних папок і принтерів.
- VLAN 30: Учні - Лише інтернет-доступ та освітні платформи.
- VLAN 40: Інтернет речей (IoT) - Принтери, смарт-екрани, камери. Без інтернет-доступу (або дуже обмеженого).
- VLAN 50: Сервери - Внутрішні сервери. Доступ з інших VLAN лише для узгоджених служб.
Що таке VLAN?
Віртуальна локальна мережа (Virtual Local Area Network, VLAN) розділяє фізичний комутатор на логічні мережі. Ідентифікатор VLAN вказує, якому VLAN належить трафік. Доступ між VLAN має додатково керуватися.
Відео: Як VLAN розділяє фізичну мережу
У відео пояснюється, як VLAN ділить одну фізичну мережу на кілька логічних мереж та відокремлює трафік між ними.
У цьому прикладі кожен VLAN використовує власне IPv4-підмережею (subnet):
| VLAN | Назва | Підмережа | Шлюз |
|---|---|---|---|
| 10 | Адміністрування | 10.0.10.0/24 | 10.0.10.1 |
| 20 | Працівники | 10.0.20.0/24 | 10.0.20.1 |
| 30 | Учні | 10.0.30.0/24 | 10.0.30.1 |
| 40 | IoT | 10.0.40.0/24 | 10.0.40.1 |
| 50 | Сервери | 10.0.50.0/24 | 10.0.50.1 |
Підмережування коротко пояснено
У прикладі підмережа /24 має 254 звичайних адрес вузлів (.1 до .254), включно з адресою шлюзу. [[Протоколи рівня 3 — IP, мережі та стандартний шлюз|IP і мережі]] пояснюють обчислення; вам не потрібно перераховувати його для вправи з брандмауером.
10.0.10.0/24дає адреси від10.0.10.1до10.0.10.254- Шлюз зазвичай є першою адресою (
.1)
Тегований та нетегований трафік
Щоб VLAN працювали через кілька комутаторів (або між комутатором і маршрутизатором), використовується тегування:
| Тип | Опис | Використання |
|---|---|---|
| Нетегований (access) | Порт належить до одного VLAN. Пристрій не знає про VLAN. | ПК, принтери, телефони |
| Тегований (trunk) | Порт передає трафік з кількох VLAN із позначкою VLAN ID. | Між комутаторами, до маршрутизаторів |
Звичайний ПК зазвичай підключається до порту access без самостійного розмічування трафіку VLAN ID. Trunk-порт може переносити кілька дозволених VLAN, необов’язково всі. Trunk також може мати нетегований так званий native VLAN. Перш ніж інтерпретувати шлях трафіку, перевірте фактивну конфігурацію профілю порту.
Завдання 1 — VLAN на практиці
Якщо у вас є дозвіл переглядати мережеву конфігурацію в UniFi або іншому інструменті, проведіть огляд без внесення змін:
- Перегляньте, які VLAN налаштовано
- Які порти налаштовані як access, а які як trunk?
- Порівняйте IP-конфігурацію ПК із підмережею та профилем порту. Одна лише IP-адреса не підтверджує належність до VLAN.
Без адміністративного доступу: скористайтеся прикладом таблиці. Клієнт має адресу 10.0.30.10/24 і шлюз 10.0.30.1. До якої з показаних у прикладі підмереж вона належить, і який тип порту ви б обрали для звичайного ПК? Очікувана відповідь — підмережа учнів та access-порт у VLAN 30. Це інтерпретація приклада, а не вимірювання вашої власної мережі.
Правила брандмауера між VLAN
Спочатку опишіть, хто має ініціювати з’єднання, до якого цільового об’єкта та за яким протоколом/портом. Загальна мітка на кшталт «співробітники до серверів» є надто грубою для безпосередньої конфігурації. Таблиця є прикладом політики, яку необхідно деталізувати:
| Від (джерело) | До (ціль) | Дозволено? | Обґрунтування |
|---|---|---|---|
| Учні | Інтернет | ✅ Так | Необхідно для навчання |
| Учні | Адміністрування сервера | Ні | Доступ учня до додатка не надає права на адміністрування сервера |
| Співробітники | Визначені сервіси сервера | Обмежене так | Відкривайте лише ті служби, які потрібні для роботи |
| IoT | Інтернет | ❌ Ні (або обмежено) | Пристрої IoT рідко потребують доступу в інтернет |
| IoT | Учні/Співробітники | ❌ Ні | Машина IoT має бути ізольованою |
| Сервери | Клієнт, який ініціював дозволене з’єднання | Зворотний трафік | Станова брандмауер може дозволяти відповідь на вже встановлене з’єднання |
Зворотний трафік означає, що сервер не повинен мати можливість ініціювати нові з’єднання з будь-якими клієнтами. Правила для established/related та порядок правил мають відповідати конфігурації брандмауера. Трафік між пристроями в одному VLAN зазвичай не проходить через брандмауер, який керує маршрутизацією між VLAN.
Standard: блокуйте все, дозволяйте лише те, що потрібно
Хороша політика брандмауера починається з блокування всього трафіку між VLAN, а потім відкриття лише того, що необхідно. Це набагато безпечніше, ніж починати з усього відкритого та намагатися заблокувати те, що вам не потрібне.
Це бажана фінальна політика, а не повідомлення про ввімкнення широкого блокування спочатку у мережі, що перебуває в експлуатації. Зберігайте необхідне адміністрування, DNS та DHCP під час модифікації обмеженого тестового середовища.
Вправа: Клієнт через проксі, а не безпосередньо до додатка
Використовуйте ці приклади ролей або відповідні відомі значення з тестового середовища:
| Пристрій | VLAN | Адреса та служба |
|---|---|---|
| Клієнт | 30 | 10.0.30.10 |
| Проکсі | 50 | 10.0.50.10, HTTP на TCP 80 |
| Додаток | 50 | 10.0.50.20, HTTP на TCP 5000 |
Клієнту має бути дозволено отримати доступ до додатка через проксі, але заборонено — напряму на порт додатка. [[Docker Level 3 - Publisere applikasjon|Docker Level 3]] демонструє, як налаштовуються та контролюються проксі та додаток. Складіть план у окремому документі:
| Джерело | Мета | Протокол/порт | Дія | Очікуваний контроль |
|---|---|---|---|---|
| Клієнт-VLAN 30 | Адресу проксі | TCP 80 | Дозволити | Очікувана відповідь /status додатка через ім’я додатка |
| Клієнт-VLAN 30 | Адресу додатка | TCP 5000 | Заблокувати нове з’єднання | Відсутність прямого HTTP-з’єднання від клієнта |
Процеси проксі та додатка розташовані в одному VLAN у прикладі. З’єднання між ними тестується безпосередньо, але ним не керують ці правила між VLAN. Успішний тест через проксі свідчить про те, що додаток був доступний цим шляхом; невдалий прямий тест сам по собі не доводить, що брандмаур заблокував правильно.
Практичний тест у затвердженному середовищі для тестування
Використовуйте вже функціонуючу конфігурацію проксі/застосунку. Зафіксуйте нормальний стан та чинні правила і збережіть консоль або інший шлях адміністрування, щоб можна було відкотити зміни. Перевірте джерело, ціль, порт, напрямок та порядок правил перед тим, як вносити зміни до одного обмеженого правила.
З клієнта ви тестируєте назву застосунку через проксі. Для прямого доступу до застосунка можна використовувати:
curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status
Адреса взята з прикладу; замініть її на адресу додатка тестового середовища. Після блокування цей клієнт не повинен встановлювати HTTP-з’єднання. Таймаут може мати інші причини; порівняйте результат із журналом брандвола або лічильником правил, коли інструмент це надає, і одночасно переконайтеся, що додаток продовжує відповідати через проксі. Код 404 або 500 від порту додатка свідчить про те, що HTTP-з’єднання було встановлено, навіть якщо curl --fail завершується з помилкою.
Контрольна точка: Запланований та фактичний доступ
Покажіть обидва тести з джерелом, ціллю, очікуваним і фактичним результатом. Поясніть правило та те, що підтверджують тести. У разі відхилень досліджуйте одне правило або один маршрут трафіку за одночасно і повторюйте перевірку. Відкатитесь назад, якщо зміна порушує необхідний доступ.
Якщо ви використали лише приклад, позначте результати як очікувані та поясніть, які випробування залишаються. Тоді план готовий, але реалізація та фактична дія не продемонстровані. Розрахунки підрешіток та DHCP нижче є необов’язковими розширеннями після цієї перевірки.
Підмережування
Новий у префіксах і підмережах?
[[Протоколи рівня 3 — IP, підмережі та стандартна шлюз-адреса|🌐 IP, підмережі та стандартний шлюз]] пояснює, що насправді означає префікс, перш ніж ви використаєте його для планування VLAN-підмереж тут.
Переобрання: Використовуйте IP та підмережі, коли потрібно вибрати інший адресний діапазон. Числа нижче стосуються звичайних підмереж IPv4 і показують кількість адрес вузлів після мережевої та широкомовної адреси:
| Префікс | Мережева маска | Адреси вузлів | Типове використання |
|---|---|---|---|
/24 | 255.255.255.0 | 254 | Більшість VLAN |
/25 | 255.255.255.128 | 126 | Менше сегменти |
/16 | 255.255.0.0 | 65 534 | Великі мережі |
Завдання 2 — Розрахунок підмережі
Необов’язкове вправлення з розрахунків: Використайте метод із довідника щодо IP або калькулятор мережевих масок, наприклад subnet-calculator.com:
- Введіть
10.0.60.0із маскою/24. Скільки адрес ви отримаєте? - Що станеться, якщо ви зміните її на
/25? Або/23? - Яку маску ви б обрали для класної кімнати з 30 учнями?
Перевірка: /24 дає 254 корисних адрес, /25 дає 126, а /23 дає 510. Обґрунтуйте свій вибір, враховуючи всі пристрої, яким потрібна адреса, включаючи шлюз та інше обладнання; кількість учнів не є повним обсягом потреби в адресах.
DHCP за VLAN
Опційний пошук: Клієнтам, яким потрібно автоматичне налаштування IP, потрібен DHCP, який надасть правильні параметри для підмережі. Статичним адресам DHCP не потрібний. [[Протоколи рівня 2 — Служби мережі та ролі серверів|Служби мережі та ролі серверів]] пояснюють DHCP і резервування.
Приклад для VLAN учнів:
| Налаштування | Значення |
|---|---|
| Підмережа | 10.0.30.0/24 |
| Шлюз | 10.0.30.1 |
| Діапазон DHCP | 10.0.30.100 - 10.0.30.250 |
| DNS | Сервіс назв, що знає внутрішні ім’я додатків тестового середовища |
Підсумок
- Сегментація розділяє мережу на частини, де трафік може контролюватися
- VLAN — це віртуальні мережі на одному фізичному комутаторі
- Порти доступу підключають пристрої до одного VLAN, трункові порти несуть кілька VLAN
- Правила брандмауера визначають, що дозволено між VLAN
- У прикладі кожен VLAN має власну підмережу; DHCP є актуальним, коли адреси мають бути надані автоматично
- Фінальна політика: блокувати непотрібний трафік, допускати узгоджені послуги
Джерела: UniFi: правила доступу та зворотний трафік і порти доступу / трункові порти.