Pourquoi les gens me disent-ils de ne pas utiliser de VLAN pour la sécurité?
Selon le titre, pourquoi les gens me disent-ils pas d'utiliser des VLAN à des fins de sécurité?
J'ai un réseau, où a quelques VLAN. Il y a un pare-feu entre les 2 vlans. J'utilise des commutateurs HP Procuve et vous avez veillé à ce que les liaisons de commutation acceptent uniquement les cadres marqués et que les ports hôtes n'acceptent pas les cadres étiquetés (ils ne sont pas "au courant de VLAN"). J'ai également veillé à ce que le natif VLAN (PVID) des liaisons du réseau ne soit pas identique à celui des 2 vlans hôtes. J'ai également activé "filtrage d'entrée". En outre, Je me suis assuré que les ports hôtes ne sont que des membres d'un seul VLAN, qui est identique à la PVID du port respectif. Les seuls ports qui sont membres de plusieurs VLAN sont les ports de coffre.
Quelqu'un peut-il vous expliquer pourquoi ce qui précède n'est pas sécurisé? Je crois que j'ai abordé la double question de marquage ..
Merci
Mise à jour: les deux commutateurs sont HP ProCurve 1800-24G
Pourquoi les gens me disent-ils de ne pas utiliser de VLAN à des fins de sécurité?
Il y a de vrais risques, si vous ne comprenez pas complètement les problèmes potentiels et configurez correctement votre réseau pour atténuer le risque pour un point acceptable pour votre environnement. Dans de nombreux endroits, VLAN fournit un niveau de séparation adéquat entre deux vlans.
Quelqu'un peut-il vous expliquer pourquoi ce qui précède n'est pas sécurisé?
On dirait que vous avez pris toutes les étapes de base nécessaires pour obtenir une configuration assez sécurisée. Mais je ne suis pas totalement familier avec HP Gear. Vous avez peut-être fait assez pour votre environnement.
Un bon article aussi regarder serait le Cisco VLAN Security White Paper .
Il comprend une liste d'attaques possibles contre un réseau à base de VLAN. Certaines d'entre elles ne sont pas possibles sur certains commutateurs ou peuvent être atténuées par une conception appropriée de l'infrastructure/réseau. Prenez le temps de les comprendre et décidez si le risque vaut l'effort qu'il faudra pour l'éviter dans votre environnement.
Cité de l'article.
- Attaque d'inondation de Mac
- Attaque de marquage de 802.1Q et ISL
- Double-encapsulé 802.1q/niché VLAN Attack
- ARP attaque
- Privé VLAN Attack
- Attaque de la force brute de multidiffusion
- Spanning-Tree attaque
Voir également:
Il est sûr pour certaines valeurs de sécurité sécurisée.
Les bogues dans le micrologiciel, les réinitialisations de la configuration du commutateur, l'erreur humaine peut le rendre non sécurisé. Tant que seules très peu de personnes ont accès à la configuration des commutateurs et se basculent, il est correct dans l'environnement commercial général.
J'irais une séparation physique pour des données très sensibles cependant.
Je semble me rappeler que, dans le passé, il était plus facile de faire VLAN sautillonneuse, de sorte que "les gens" disent cela. Mais pourquoi ne demandes-tu pas aux "personnes "Pour les raisons? Nous ne pouvons que deviner pourquoi ils vous ont dit cela. Je sais que les auditeurs HIPAA et PCI sont acceptables avec des VLAN pour la sécurité.
Je pense que le problème fondamental est que les VLAN ne sont pas sécurisées car vous ne vous séparez que de distinction de domaines de diffusion, et non de la séparation du trafic. Tout le trafic des multiples VLAN coule toujours sur les mêmes fils physiques. Un hôte avec accès à ce trafic peut toujours être configuré en mode promiscuous et afficher tout le trafic sur le fil.
Évidemment, l'utilisation des commutateurs réduit considérablement ce risque, car les commutateurs contrôlent les données qui apparaissent réellement sur les ports, mais le risque de base est toujours là.