Во многих офисах пароль от гостевого Wi-Fi напечатан на карточке у ресепшн, а гостевая сеть на практике — та же сеть, что и всё остальное. Ноутбук посетителя получает адрес из того же диапазона, что и рабочие места бухгалтерии, файловый сервер, видеорегистратор и десяток IP-камер — некоторые до сих пор с заводскими паролями. Пока ничего плохого не случилось. Но это ещё не значит, что всё безопасно.
Плоская сеть означает, что любое скомпрометированное устройство видит все остальные и может попытаться до них добраться. Сегментация сети с помощью VLAN — один из самых эффективных способов это ограничить, если она спроектирована с чёткими правилами, а не просто как набор номеров на коммутаторе.
Что делает VLAN — и чего не делает
VLAN (виртуальная локальная сеть) делит одну физическую сеть на несколько логических. Устройства в разных VLAN могут использовать одни и те же коммутаторы и кабели, но напрямую общаться не могут: трафик между VLAN должен проходить через маршрутизатор или межсетевой экран. На линиях между коммутаторами кадры помечаются тегами (стандарт IEEE 802.1Q), чтобы каждый коммутатор знал, к какому VLAN они относятся.
Главное: VLAN создаёт границу, а безопасность обеспечивают правила на этой границе. Если коммутатор ядра свободно маршрутизирует трафик между всеми VLAN, сеть выглядит аккуратнее, но заражённый ноутбук всё равно доберётся до бухгалтерского сервера.
Практичная карта сегментов для офиса
Единственно правильного дизайна не существует, но большинство офисов приходят к похожему набору сегментов:
- Сотрудники: рабочие станции и ноутбуки.
- Серверы: файловые серверы, серверы приложений и баз данных.
- Финансы: рабочие места бухгалтерии и платежей, если риск это оправдывает.
- Гости: только доступ в интернет, с изоляцией клиентов в Wi-Fi.
- Безопасность: IP-камеры, видеорегистратор, контроллеры доступа и домофоны.
- Голос: IP-телефоны, которым также нужны настройки качества обслуживания (QoS).
- Принтеры и IoT: принтеры, экраны, оборудование переговорных, датчики.
- Инженерные системы здания: контроллеры отопления, вентиляции и кондиционирования (HVAC), освещения и другой автоматики.
- Управление: интерфейсы управления коммутаторов, точек доступа, ИБП и межсетевого экрана, доступные только с рабочих мест администраторов.
Правила между сегментами важнее самих сегментов
Между сегментами начинайте с принципа «запрещено всё, что не разрешено» и открывайте только реально нужные потоки. Например:
- Сотрудники → принтеры: разрешено, только на портах печати.
- Сотрудники → серверы: разрешено к используемым приложениям; административный доступ — только из сегмента управления.
- Камеры → видеорегистратор: разрешено; камеры → интернет и всё остальное: заблокировано.
- Просмотр записей: только с назначенных рабочих мест службы безопасности.
- Гости → интернет: разрешено; гости → любые внутренние ресурсы: заблокировано.
- Инженерные системы → только собственный контроллер или облачный сервис, согласно документации производителя.
Почему камерам и инженерным системам нужен свой сегмент
IP-камеры, регистраторы, панели контроля доступа и контроллеры автоматики здания часто работают на редко обновляемой прошивке, используют заводские или общие пароли и монтируются разными подрядчиками. Именно такие устройства ищет злоумышленник. Вынос видеонаблюдения и контроля доступа и автоматики здания в отдельные сегменты означает, что уязвимость одной камеры не открывает доступ к финансовому отделу, а проблема в офисной сети не останавливает запись.
Представьте гипотетический офис на 40 человек, где посетитель подключает заражённый ноутбук к гостевому Wi-Fi. В плоской сети вредоносная программа может просканировать весь диапазон адресов и найти видеорегистратор с заводским паролем и файловый сервер с открытой общей папкой. В сегментированной сети тот же ноутбук видит только интернет-шлюз: сканирование ничего не находит, и инцидент остаётся проблемой посетителя, а не компании.
Типичные ошибки
- Слишком много VLAN без ясного назначения — сложность, которую никто не может поддерживать.
- Маршрутизация между VLAN на коммутаторе ядра без всякой фильтрации.
- SSID Wi-Fi не привязаны к правильным VLAN, и гостевая сеть попадает в сегмент сотрудников.
- Транковые порты, по которым все VLAN идут повсюду, включая рабочие места и переговорные.
- Протоколы обнаружения (для принтеров и демонстрации экрана) перестают работать между сегментами, после чего появляются «временные» правила «разрешить всё».
- Нет документации: номера VLAN, диапазоны адресов и правила знает только один человек.
Как сегментировать существующую плоскую сеть без одномоментного переключения
- Проинвентаризируйте все устройства и то, с чем каждому из них нужно связываться.
- Определите сегменты и план адресации с запасом для роста.
- Запишите правила между сегментами до того, как трогать коммутаторы.
- Подготовьте коммутаторы, межсетевой экран и Wi-Fi: VLAN, транки, привязку SSID, DHCP.
- Переносите по одному сегменту, начиная с самого простого — обычно сначала гости, затем камеры.
- После каждого шага тестируйте и разрешённые, и заблокированные потоки.
- Задокументируйте результат и поддерживайте документацию в актуальном состоянии.
Сегментацию обычно проводят в рамках более широкого проекта по сетевой инфраструктуре или её обновлению, когда коммутаторы и межсетевые экраны всё равно меняются, — это хороший момент, чтобы её спланировать.
Хотите узнать, насколько «плоская» ваша сеть на самом деле? Свяжитесь с нами — поможем описать текущее состояние и спланировать сегментацию под ваш офис.