Hướng dẫn kỹ thuật CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
Email: info@datech.vn
Danh mục sản phẩm
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
Danh mục sản phẩm
Router 
Firewall 
Switch 
Wifi - Access Point 
Máy chủ ( Server ) 
Thiết bị lưu trữ NAS 
Networking Accessories 
Video Conference 
Vật tư mạng 
Tổng đài & điện thoại 
Bộ lưu điện UPS 
13/12/2021
13/12/2021
Danh sách nội dung [Ẩn]
Mặc dù nhiều Quản trị viên và IT Managers biết về các công nghệ và khái niệm VLAN, nhưng thật không may, người ta đã chứng minh rằng điều tương tự không áp dụng khi nói đến Bảo mật VLAN. Mặc dù phần này chủ yếu tập trung vào bảo mật được triển khai trên các thiết bị chuyển mạch của Cisco, nhiều khái niệm có thể được áp dụng trên các thiết bị chuyển mạch của nhà cung cấp khác.
Giống như các nguyên tắc bảo mật vật lý yêu cầu thiết bị phải ở trong không gian được kiểm soát, bảo mật dựa trên VLAN yêu cầu sử dụng các công cụ đặc biệt và tuân theo một số 'thực tiễn bảo mật tốt nhất' để mang lại kết quả mong muốn.
Chúng ta hãy xem xét một số bước quan trọng mà Quản trị viên hoặc IT Managers có thể thực hiện để loại bỏ mạng của họ khỏi các sự cố bảo mật mà hầu hết các mạng hiện nay đều gặp phải.
Các console port ở mặt sau của Switch Cisco cung cấp quyền truy cập trực tiếp vào hệ thống. Nếu không cẩn thận để bảo mật phương thức truy cập này, thì công tắc có thể vẫn tiếp xúc hoàn toàn với bất kỳ ai có 'blue console cable' phổ biến. Cấu hình thông tin xác thực người dùng phức tạp trên bảng điều khiển và cổng telnet/ssh sẽ đảm bảo mọi khách truy cập không mong muốn sẽ ở trong bóng tối khi cố gắng truy cập thiết bị. Sử dụng các lệnh đặc biệt như lệnh 'exec-timeout', khi Quản trị viên vô tình quên đăng xuất phiên, nó sẽ tự động hết thời gian chờ sau giá trị thời gian chờ được lập trình.
Sau đây là một tập hợp các lệnh sẽ giúp bạn thực hiện các biện pháp trên để giúp hạn chế quyền truy cập vào switch:
Switch# configure terminal
Switch(config)# username admin privilege 15 secret *Firewall.cx*
Switch(config)# line console 0
Switch(config-line)# login local
Switch(config-line)# password cisco
Switch(config-line)# exec-timeout 60 0
Chúng ta cũng áp dụng các lệnh tương tự cho phần VTY (telnet/ssh) của mình và tạo access-list 115 để hạn chế quyền truy cập telnet/ssh từ các mạng và máy chủ cụ thể:
Switch (config)# line vty 0 15
Switch (config-line)# password cisco
Switch (config-line)# login local
Switch (config-line)# exec-timeout 60 0
Switch (config-line)# transport preferred ssh
Switch (config-line)# access-class 115 in
Sau đây là access-list 115 chúng ta đã tạo:
Switch (config)# access-list 115 remark
Switch (config)# access-list 115 permit ip host 74.200.84.4 any
Switch (config)# access-list 115 permit ip host 69.65.126.42 any
Switch (config)# access-list 115 permit ip 192.168.50.0 0.0.0.255 any
Switch (config)# access-list 115 remark
VLAN 1 là một VLAN đặc biệt được chọn theo thiết kế để mang thông tin cụ thể như CDP (Cisco Discovery Protocol), VTP, PAgP, v.v. VLAN 1 không bao giờ được dự định sử dụng làm VLAN tiêu chuẩn để mang dữ liệu mạng.
Theo cấu hình mặc định, bất kỳ Liên kết truy cập nào trên bộ chuyển mạch Cisco được đặt thành VLAN 1, gây ra sự cố bảo mật lớn khi cấp quyền truy cập trực tiếp vào đường trục mạng. Kết quả là, VLAN 1 có thể kết thúc một cách không cẩn thận trên toàn bộ mạng nếu không được cắt tỉa thích hợp.
Việc sử dụng một VLAN có mặt khắp nơi tiềm ẩn cho mục đích quản lý khiến các thiết bị đáng tin cậy có nguy cơ bị tấn công bảo mật cao hơn từ các thiết bị không đáng tin cậy do cấu hình sai hoặc vô tình thuần túy có được quyền truy cập vào VLAN 1 và cố gắng khai thác lỗ hổng bảo mật không mong muốn này.
Theo nguyên tắc chung, Quản trị viên mạng nên loại bỏ bất kỳ VLAN nào và đặc biệt là VLAN 1 khỏi tất cả các cổng không cần VLAN đó.
Ví dụ sau cắt bớt các VLAN từ 1 đến 5 và 7 đến 8, chỉ cho phép truy cập vào VLAN 6 khi ở trunking mode. Hơn nữa, chúng ta chỉ gán cổng cho VLAN 6:
Switch(config)# interface fastethernet0/24
Switch(config-if)# switchport trunk allowed vlan remove ? (help)
WORD VLAN IDs of disallowed VLANS when this port is in trunking mode
Switch(config-if)# switchport trunk allowed vlan remove 1,2,3,4,5,7,8
Switch(config-if)# switchport access vlan 6
Nếu một cổng được kết nối với một thiết bị 'foreign', đừng cố nói ngôn ngữ của cổng đó – nó có thể trở thành lợi thế của người khác và được sử dụng để chống lại mạng của bạn. Đảm bảo bạn tắt các giao thức như CDP, DTP, PAgP, UDLD (Giao thức phát hiện liên kết đơn hướng) và luôn bật spanning-tree portfast & bpduguard trên cổng.
Dưới đây là một ví dụ về cách vô hiệu hóa các giao thức được đề cập ở trên:
Switch(config)# interface fastethernet0/24
Switch(config-if)# no cdp enable
Switch(config-if)# no udld port
Switch(config-if)# spanning-tree portfast
Switch(config-if)# spanning-tree bpduguard enable
Switch(config-if)# spanning-tree guard root
Cuối cùng, nếu cổng không được sử dụng, hãy đưa ra lệnh ' shutdown ' để đảm bảo rằng không ai có thể truy cập cổng nếu không có sự cho phép thích hợp.
Có hai lựa chọn ở đây – cấu hình miền VTP một cách thích hợp hoặc tắt hoàn toàn VTP, VTP là một công cụ tuyệt vời đảm bảo tất cả thông tin VLAN được chuyển đến các bộ chuyển mạch mạng của bạn. Nếu các biện pháp bảo mật cần thiết không được thực hiện, việc xóa cấu hình VLAN trên toàn mạng của bạn cũng dễ dàng như việc kết nối một bộ chuyển mạch với cấu hình 'thích hợp'.
Switch được định cấu hình với cùng 'miền VTP', một loại vai trò là 'Server' và số 'VTP revision' cao hơn của máy chủ VTP thực (thường là bộ chuyển đổi lõi), là tất cả những gì cần thiết để gây ra sự gián đoạn lớn và hoảng loạn trên bất kỳ kích thước mạng. Tất cả các thiết bị chuyển mạch khác sẽ tự động 'lắng nghe' 'VTP Server' mới và xóa tất cả thông tin VLAN hiện có.
Một vài lệnh tự giải thích đơn giản trên công tắc lõi của bạn sẽ gi
CoreSwitch(config)# vtp version 2
CoreSwitch(config)# vtp pruningúp đảm bảo tránh được tình huống trên:
CoreSwitch(config)# vtp domain firewall.cx
CoreSwitch(config)# vtp password fedmag secret
CoreSwitch(config)# vtp mode server
Bạn có thể xác minh cấu hình bằng lệnh ' show vtp status ':
CoreSwitch # show vtp status
VTP Version capable : 1 to 3
VTP version running : 2
VTP Domain Name : firewall.cx
VTP Pruning Mode : Enabled
VTP Traps Generation : Disabled
Device ID : c062.6b10.5600
Configuration last modified by 192.168.50.1 at 3-16-11 16:53:48
Local updater ID is 192.168.50.1 on interface Vl1 (lowest numbered VLAN interface found)
Feature VLAN:
--------------
VTP Operating Mode : Server
Maximum VLANs supported locally : 1005
Number of existing VLANs : 8
Configuration Revision : 25
MD5 digest : 0xDD 0x9D 0x3B 0xA0 0x80 0xD8 0x7A 0x3A
0x1F 0x2F 0x2A 0xDB 0xCD 0x84 0xCE 0x5F
Định tuyến giữa các VLAN là một tính năng tuyệt vời và cần thiết. Bởi vì trong nhiều trường hợp cần phải cách ly các VLAN hoặc hạn chế quyền truy cập giữa chúng, nên việc sử dụng danh sách IP Access là bắt buộc.
Danh sách IP Access phải được tạo theo cách sao cho chúng cho phép lưu lượng truy cập bình thường giữa các Vlan, nhưng không làm lộ các mạng cần được bảo vệ. Sau khi Danh sách truy cập được tạo, chúng sẽ được áp dụng trực tiếp trên giao diện Vlan của bộ chuyển mạch lớp 3 lõi. Tất cả lưu lượng truy cập từ VLAN được chỉ định đang cố chuyển sang các VLAN khác sẽ bị từ chối theo Danh sách truy cập, đảm bảo mạng lõi không bị lộ.
Hãy lấy một ví dụ phổ biến để làm cho mẹo này thực tế hơn.
Bạn đã tạo một Vlan khách mới (VLAN 6 – Mạng 192.168.141.0/24) để cung cấp quyền truy cập Internet miễn phí cho khách truy cập công ty của bạn. Yêu cầu là cho phép truy cập Internet đầy đủ, nhưng hạn chế truy cập vào các VLAN khác. Ngoài ra, việc cấu hình một máy chủ DHCP cũng được coi là cần thiết để giúp cuộc sống của bạn dễ dàng và ít rắc rối hơn.
Đây là cấu hình được sử dụng cho máy chủ DHCP phục vụ VLAN này:
CoreSwitch(config)# ip dhcp pool vlan6-Guest-Internet
CoreSwitch(dhcp-config)# network 192.168.141.0 255.255.255.0
CoreSwitch(dhcp-config)# dns-server 192.168.130.5
CoreSwitch(dhcp-config)# default-router 192.168.141.1
Lưu ý rằng 192.168.141.1 là Địa chỉ IP Vlan 6 của công tắc lõi của chúng ta và 192.168.130.5 là máy chủ DNS của chúng ta nằm trên một Vlan khác.
Tiếp theo, chúng ta tạo Danh sách truy cập cần thiết.
CoreSwitch(config)# access-list 100 remark --[Cho phép Guest DNS gửi yêu cầu tới DNS Server]--
CoreSwitch(config)# access-list 100 permit udp 192.168.141.0 0.0.0.255 host 192.168.130.5 eq 53
CoreSwitch(config)# access-list 100 remark [Cần thiết cho DHCP Server để nhận Client requests]
CoreSwitch(config)# access-list 100 permit udp any any eq bootps
CoreSwitch(config)# access-list 100 permit udp any any eq bootpc
CoreSwitch(config)# access-list 100 remark --[Từ chối quyền truy cập của Guest Access tới các VLAN khác]--
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.50.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.130.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.135.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.160.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.131.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.170.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 deny ip 192.168.141.0 0.0.0.255 192.168.180.0 0.0.0.255 log
CoreSwitch(config)# access-list 100 remark --[Permit Guest Access to everywhere else –Internet ]--
CoreSwitch(config)# access-list 100 permit ip 192.168.141.0 0.0.0.255 any
CoreSwitch(config)# access-list 100 remark
Lưu ý rằng ban đầu chúng ta cho phép các yêu cầu DNS và DHCP, sau đó từ chối quyền truy cập vào tất cả các Vlan. Cuối cùng, chúng ta cho phép truy cập ở mọi nơi khác. Cấu trúc hợp lý này của Access List của chúng ta được xây dựng để tuân thủ quá trình kiểm tra Access List từ trên xuống được thực hiện bởi công tắc lõi.
Nếu chúng ta đặt DNS hoặc Bootp cuối cùng trong Danh sách truy cập, rõ ràng là nó sẽ thất bại vì các câu lệnh từ chối sẽ chiếm ưu thế. Cuối cùng, tham số ' log ' được thấy trong các câu lệnh từ chối của chúng ta sẽ kích hoạt một mục nhập nhật ký trên công tắc lõi của chúng ta, cho phép chúng ta nắm bắt bất kỳ khách nào đang cố gắng liên tục truy cập các Vlan khác của chúng ta
Bước cuối cùng sẽ là áp dụng danh sách truy cập vào giao diện Vlan mới được tạo, theo hướng 'đến':
CoreSwitch(config)# interface vlan 6
CoreSwitch (config-if)# ip access-group 100 in
Công nghệ VLAN thật tuyệt vời – nó cung cấp những cải tiến tuyệt vời cho mạng và cung cấp các đường dẫn để chạy nhiều dịch vụ trong môi trường bị cô lập mà không làm giảm tốc độ, chất lượng và tính khả dụng của mạng. Nếu các nguyên tắc bảo mật cơ bản cần thiết được xem xét trong quá trình triển khai ban đầu và quản trị liên tục, thì nó có thể thực hiện điều kỳ diệu và giảm đáng kể chi phí quản trị từ Quản trị viên hoặc IT Managers của bạn. Mặt khác, nếu các nguyên tắc bảo mật này bị bỏ qua, toàn bộ mạng có nguy cơ bị lộ và chỉ là vấn đề thời gian.
Có lẽ sai lầm nghiêm trọng nhất mà Quản trị viên hoặc IT Mângers có thể mắc phải là đánh giá thấp tầm quan trọng của lớp DataLink và của VLAN nói riêng trong kiến trúc của các mạng chuyển mạch.
Không nên quên rằng bất kỳ mạng nào cũng chỉ mạnh bằng liên kết yếu nhất của nó và do đó, cần chú ý tương đương đến bất kỳ lớp nào của nó, để đảm bảo rằng toàn bộ cấu trúc của nó hoạt động tốt.
Hy vọng rằng hướng dẫn này đã giúp bạn hiểu bảo mật VLAN trên switch Cisco một cách thành công. Nếu bạn có bất kỳ câu hỏi hoặc gặp khó khăn, đừng ngần ngại liên hệ với chúng tôi theo thông tin dưới đây để được hỗ trợ thêm.
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
• Địa chỉ: Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
• Điện thoại: 02432012368
• Hotline: 098 115 6699
• Email: info@datech.vn
• Website: https://datech.vn
