ბევრ ოფისში სტუმრების Wi-Fi-ის პაროლი რეცეფციაზე ბარათზე წერია, სტუმრების ქსელი კი პრაქტიკულად იგივე ქსელია, რაც ყველაფერი დანარჩენი. სტუმრის ლეპტოპი იღებს მისამართს იმავე დიაპაზონიდან, რომელშიც ბუღალტრების სამუშაო სადგურები, ფაილური სერვერი, ვიდეოთვალთვალის ჩამწერი და ათეულობით IP კამერაა — ზოგი ჯერ კიდევ ქარხნული პაროლით. ჯერჯერობით ცუდი არაფერი მომხდარა. მაგრამ ეს უსაფრთხოებას არ ნიშნავს.
ბრტყელი ქსელი ნიშნავს, რომ ნებისმიერ კომპრომეტირებულ მოწყობილობას შეუძლია დაინახოს ყველა სხვა მოწყობილობა და სცადოს მასთან დაკავშირება. ქსელის სეგმენტაცია VLAN-ებით ამის შეზღუდვის ერთ-ერთი ყველაზე ეფექტური გზაა — იმ პირობით, რომ ის მკაფიო წესებით არის დაგეგმილი და არა უბრალოდ ციფრების ნაკრებად კომუტატორზე.
რას აკეთებს VLAN — და რას არა
VLAN (ვირტუალური ლოკალური ქსელი) ერთ ფიზიკურ ქსელს რამდენიმე ლოგიკურ ქსელად ყოფს. სხვადასხვა VLAN-ში მყოფ მოწყობილობებს შეუძლიათ ერთი და იგივე კომუტატორებისა და კაბელების გამოყენება, მაგრამ ერთმანეთთან პირდაპირ ვერ ურთიერთობენ: VLAN-ებს შორის ტრაფიკი როუტერზე ან ფაიერვოლზე უნდა გაიაროს. კომუტატორებს შორის კავშირებზე კადრები მონიშნულია (IEEE 802.1Q სტანდარტი), რომ თითოეულმა კომუტატორმა იცოდეს, რომელ VLAN-ს ეკუთვნის ისინი.
მთავარი: VLAN საზღვარს ქმნის, უსაფრთხოებას კი ამ საზღვარზე მოქმედი წესები უზრუნველყოფს. თუ ბირთვის კომუტატორი ყველა VLAN-ს შორის ტრაფიკს თავისუფლად ატარებს, ქსელი უფრო მოწესრიგებულად გამოიყურება, მაგრამ ინფიცირებული ლეპტოპი მაინც მიაღწევს ბუღალტრულ სერვერამდე.
სეგმენტების პრაქტიკული რუკა ოფისისთვის
ერთადერთი სწორი დიზაინი არ არსებობს, მაგრამ ოფისების უმეტესობა სეგმენტების მსგავს ნაკრებამდე მიდის:
- თანამშრომლები: სამუშაო სადგურები და ლეპტოპები.
- სერვერები: ფაილური, აპლიკაციების და მონაცემთა ბაზების სერვერები.
- ფინანსები: ბუღალტრული და საგადახდო სამუშაო ადგილები, სადაც რისკი ამას ამართლებს.
- სტუმრები: მხოლოდ ინტერნეტზე წვდომა, Wi-Fi-ზე კლიენტების ერთმანეთისგან იზოლაციით.
- უსაფრთხოება: IP კამერები, ვიდეოჩამწერი, დაშვების კონტროლის კონტროლერები და დომოფონები.
- ხმა: IP ტელეფონები, რომლებსაც მომსახურების ხარისხის (QoS) პარამეტრებიც სჭირდება.
- პრინტერები და IoT: პრინტერები, ეკრანები, შეხვედრების ოთახების აღჭურვილობა, სენსორები.
- შენობის სისტემები: გათბობა-ვენტილაცია-კონდიცირების (HVAC) კონტროლერები, განათება და სხვა ავტომატიკა.
- მართვა: კომუტატორების, წვდომის წერტილების, UPS-ებისა და ფაიერვოლის მართვის ინტერფეისები, ხელმისაწვდომი მხოლოდ ადმინისტრატორების სამუშაო სადგურებიდან.
სეგმენტებს შორის წესები სეგმენტებზე მნიშვნელოვანია
სეგმენტებს შორის დაიწყეთ პრინციპით „ყველაფერი აკრძალულია, გარდა ნებადართულისა“ და დაუშვით მხოლოდ რეალურად საჭირო ნაკადები. მაგალითად:
- თანამშრომლები → პრინტერები: დაშვებულია, მხოლოდ ბეჭდვის პორტებზე.
- თანამშრომლები → სერვერები: დაშვებულია იმ აპლიკაციებზე, რომლებსაც იყენებენ; ადმინისტრაციული წვდომა — მხოლოდ მართვის სეგმენტიდან.
- კამერები → ვიდეოჩამწერი: დაშვებულია; კამერები → ინტერნეტი და ყველაფერი დანარჩენი: დაბლოკილია.
- ჩანაწერების ნახვა: მხოლოდ დაცვის სამსახურის განსაზღვრული სამუშაო ადგილებიდან.
- სტუმრები → ინტერნეტი: დაშვებულია; სტუმრები → ნებისმიერი შიდა რესურსი: დაბლოკილია.
- შენობის სისტემები → მხოლოდ საკუთარი კონტროლერი ან ღრუბლოვანი სერვისი, მწარმოებლის დოკუმენტაციის მიხედვით.
რატომ სჭირდებათ კამერებსა და შენობის სისტემებს ცალკე სეგმენტი
IP კამერები, ჩამწერები, დაშვების კონტროლის პანელები და შენობის ავტომატიკის კონტროლერები ხშირად მუშაობს იშვიათად განახლებულ ჩაშენებულ პროგრამაზე, იყენებს ქარხნულ ან საერთო პაროლებს და სხვადასხვა კონტრაქტორის მიერ არის დამონტაჟებული. ზუსტად ასეთ მოწყობილობებს ეძებს თავდამსხმელი. ვიდეოთვალთვალისა და დაშვების კონტროლის და შენობის ავტომატიკის ცალკე სეგმენტებში განთავსება ნიშნავს, რომ ერთი კამერის სისუსტე ფინანსურ განყოფილებას საფრთხეს არ უქმნის, ხოლო ოფისის ქსელის პრობლემა ჩაწერას არ აჩერებს.
წარმოიდგინეთ ჰიპოთეტური 40-კაციანი ოფისი, სადაც სტუმარი ინფიცირებულ ლეპტოპს სტუმრების Wi-Fi-ს უერთებს. ბრტყელ ქსელში მავნე პროგრამას შეუძლია მთელი მისამართების დიაპაზონის სკანირება — ის პოულობს ქარხნული პაროლით დარჩენილ ვიდეოჩამწერს და ფაილურ სერვერს ღია საერთო საქაღალდით. სეგმენტირებულ ქსელში იგივე ლეპტოპი მხოლოდ ინტერნეტის კარიბჭეს ხედავს: სკანირება ვერაფერს პოულობს და ინციდენტი სტუმრის პრობლემად რჩება და არა კომპანიისა.
გავრცელებული შეცდომები
- ზედმეტად ბევრი VLAN მკაფიო დანიშნულების გარეშე — სირთულე, რომლის მხარდაჭერაც არავის შეუძლია.
- VLAN-ებს შორის მარშრუტიზაცია ბირთვის კომუტატორზე ყოველგვარი ფილტრაციის გარეშე.
- Wi-Fi SSID-ები სწორ VLAN-ებზე არ არის მიბმული და სტუმრების ქსელი თანამშრომლების სეგმენტში ხვდება.
- ტრანკ-პორტები, რომლებიც ყველა VLAN-ს ყველგან ატარებს, მათ შორის სამუშაო მაგიდებთან და შეხვედრების ოთახებში.
- აღმოჩენის პროტოკოლები (პრინტერებისა და ეკრანის გაზიარებისთვის) სეგმენტებს შორის აღარ მუშაობს, რასაც „დროებითი“ ყველაფრის დამშვები წესები მოსდევს.
- დოკუმენტაციის არარსებობა: VLAN-ების ნომრები, მისამართების დიაპაზონები და წესები მხოლოდ ერთმა ადამიანმა იცის.
როგორ გავყოთ არსებული ბრტყელი ქსელი ერთბაშად გადართვის გარეშე
- აღრიცხეთ ყველა მოწყობილობა და ის, ვისთანაც მას კავშირი სჭირდება.
- განსაზღვრეთ სეგმენტები და მისამართების გეგმა ზრდის მარაგით.
- ჩაწერეთ სეგმენტებს შორის წესები, სანამ კომუტატორებს შეეხებით.
- მოამზადეთ კომუტატორები, ფაიერვოლი და Wi-Fi: VLAN-ები, ტრანკები, SSID-ების მიბმა, DHCP.
- გადაიტანეთ თითო სეგმენტი, ყველაზე მარტივიდან დაწყებული — როგორც წესი, ჯერ სტუმრები, შემდეგ კამერები.
- ყოველი ნაბიჯის შემდეგ გატესტეთ დაშვებული და დაბლოკილი ნაკადები.
- დოკუმენტირება გაუკეთეთ შედეგს და განაახლეთ ის მუდმივად.
სეგმენტაცია, როგორც წესი, უფრო ფართო ქსელური ინფრასტრუქტურის პროექტის ან განახლების ნაწილად კეთდება, როცა კომუტატორები და ფაიერვოლები ისედაც იცვლება — ეს მისი დაგეგმვისთვის კარგი მომენტია.
გსურთ გაიგოთ, რამდენად „ბრტყელია“ თქვენი ქსელი სინამდვილეში? დაგვიკავშირდით — დაგეხმარებით არსებული მდგომარეობის აღწერასა და თქვენს ოფისზე მორგებული სეგმენტაციის დაგეგმვაში.