VLAN ir tinklo segmentavimas

Skip to content

Tai mašinu versta tekstas, kuriame gali būti klaidų!

Įsivaizduokite mokyklos tinklą, kuriame mokiniai, mokytojai, administracija ir IoT įrenginiai (spausdintuvai, išmaniosios lentos, kameros) visi dalijasi tuo pačiu tinklu. Visi teoretiškai gali matyti vienas kitą. Tai nėra saugu ir efektyvu. Sprendimas – segmentacija.

Kodėl segmentuoti?

Segmentavimas reiškia tinklą padalinti į kelias mažesnes dalis. Kiekviena dalis yra izoliuota nuo kitų, todėl srautas laisvai tarp jų nesimeta.

Privalumas Paaiškinimas
Saugumas Įsilaužusi IP kamera negali pasiekti serverių
Veikimas Mažesnis transliacinio srauto kiekis viename segmente
Kontrolė Skirtingos taisyklės skirtingoms vartotojų grupėms
Gedimų šalinimas Lengviau izoliuoti problemas iki tam tikro segmento

Praktinis pavyzdys

Mokykloje tinklas gali atrodyti taip:

  • VLAN 10: Administracija - Atlyginimai, HR, vadovybė. Labai ribotas prieiga.
  • VLAN 20: Darbuotojai - Mokytojai ir kiti darbuotojai. Prieiga prie bendrųjų aplankų ir printerių.
  • VLAN 30: Mokiniai - Tik interneto prieiga ir mokymosi platformos.
  • VLAN 40: IoT - Spausdinikliai, išmanieji ekranai, kameros. Nėra interneto prieigos (arba labai ribota).
  • VLAN 50: Serveriai - Vidutiniai serveriai, neprieinami tiesiogiai iš kitų VLAN.

Kas yra VLAN?

VLAN reiškia Virtual Local Area Network. Tai būdas sukurti kelis loginius tinklus toje pačioje fizinėje jungiklyje. Vietoj to, kad pirktumėte atskirą jungiklį kiekvienam tinklui, sukonfigūruokite jungiklį taip, kad skirtingi prievadai (arba srautas) būtų apdorojami kaip atskiri tinklai.

Kiekvienas VLAN turi savo adresų diapazoną (potinklis):

VLAN Pavadinimas Potinklis Šliužas
10 Administracija 10.0.10.0/24 10.0.10.1
20 Darbuotojai 10.0.20.0/24 10.0.20.1
30 Mokiniai 10.0.30.0/24 10.0.30.1
40 Daiktų internetas 10.0.40.0/24 10.0.40.1
50 Serveriai 10.0.50.0/24 10.0.50.1

Subnetting trumpai paprastai

/24 reiškia, kad pirmieji 24 bitai yra adreso tinklo dalis. Praktiškai tai reiškia, kad kiekviename VLAN turite 254 prieinamus adresus (.1 iki .254).

  • 10.0.10.0/24 suteikia adresus nuo 10.0.10.1 iki 10.0.10.254
  • Gateway (vartas) paprastai yra pirmasis adresas (.1)

Suženklinta (tagged) ir nesuženklinta (untagged) eitys

Kad VLAN tinklai veiktų per kelis przełączius (arba tarp przełączio ir routerio), naudojamas suženklinimas (tagging):

Tipas Paaiškinimas P Baltas naudojimas
Nesuženklinta (access) Tam tikram lazdos (porto) priklauso vienas VLAN. Įrenginys nežino apie VLAN. Kompiuteriai, spausdinimo įrenginiai, telefonai
Suženkliunta (trunk) Lazdos (portas) neša e성을 iš kelių VLAN, pažymėtą VLAN ID. Tarp priešperskytimų (switchers), link į routerį

Įrenginiams, tokio kaip kompiuteriams ar spausdinimo įrenginiams, nereikia žinoti, kad jie yra VLAN tinkle. Jie prijungiami prie „access“ lazdos (porto), kuriai priskirtas tinkamas VLAN. Ryšys tarp dviejų priešperskytimų arba tarp priešperskirties ir routerio naudoja „trunk“ lazdą (portą), kuri neša visus VLAN tinklus.

Easy Užduotis 1 – VLAN praktikoje

Jei turite prieigą prie Unifi arba kitos tinklo valdymo platformos mokykloje:

  • Peržiūrėkite, kokie VLAN yra sukonfigūruoti
  • Kokie prievadai nustatyti kaip access, o kurie kaip trunk?
  • Pabandykite sužinoti, prie kurio VLAN prijungtas jūsų kompiuteris (patarimas: patikrinkite savo IP adresą ir palyginkite su subnet lentele)

Brandomuro taisyklės tarp VLAN

Sukurti VLAN tik pusė darbo. Be brandomuro taisyklių, srautas vis tiek gali tekėti tarp jų per maršrutizatorių/šliuzą. Jūs turite aiškiai nustatyti, kas yra leidžiama:

Nuo (šaltinis) Iki (tikslas) Leidžiama? Pagrindimas
Mokiniai Internetas ✅ Taip Būtina mokymui
Mokiniai Serveriai ❌ Ne Mokiniams nereikia prieigos prie serverių
Darbuotojai Serveriai ✅ Taip Failų saugykla ir vidinės sistemos
IoT Internetas ❌ Ne (arba ribota) IoT įrenginiams retai reikia interneto
IoT Mokiniai/Darbuotojai ❌ Ne IoT turi būti izoliuotas
Serveriai Visi ✅ Taip (išeinantis) Serveriai gali atsakyti į užklausas

Standartinis: blokuok viską, leisk tik tai, ko reikia

Gera ugniasienio politika prasideda nuo visos eismo tarp VLAN blokavimo, o tada atsidaryai tik tai, kas būtina. Tai daug saugiau nei pradėti nuo visko atviro ir bandyti blokuoti tai, ko nenorite.

Subnetting

Kiekvienam VLAN reikia savo subnet. Subnet apibrėžia tinklo adresų diapazoną:

Subnet Tinklo kaukė Adresų skaičius Tipinis naudojimas
/24 255.255.255.0 254 Dauguma VLAN
/25 255.255.255.128 126 Mažesnis segmentas
/16 255.255.0.0 65 534 Dideli tinklai

Easy Užduotis 2 – Apskaičiuokite potinklą

Naudokite internetinį potinklio skaičiuotuvą, pvz., subnet-calculator.com:

  • Įveskite 192.168.1.0 su kauke /24. Kiek adresų gausite?
  • Kas atsitiks, jei pakeisite į /25? Arba /23?
  • Ką pasirinktumėte 30 mokinių klasei?

DHCP per VLAN

Kiekvienam VLAN reikia savo pačio DHCP konfigūracijos, kad įrenginiai gautų teisingą IP adresą savo segmentui. Tai galima konfigūruoti maršrutizatoriuje arba specializuotame DHCP serveryje.

Pavyzdys Studentų VLAN:

Nustatymas Vertė
Subtinklis 10.0.30.0/24
Šliužas 10.0.30.1
DHCP diapazonas 10.0.30.100 - 10.0.30.250
DNS 1.1.1.1 / 8.8.8.8

Apibendrinimas

  • Segmentavimas tinklą padalija į izoliuotas dalis saugumui ir kontrolei
  • VLAN yra virtualūs tinklai toje pačioje fizinėje jungiklyje
  • Prieigos prievadai jungia įrenginius prie vieno VLAN, trunk prievadai perduoda kelis VLAN
  • Užkardos taisyklės nustato, kas leidžiama tarp VLAN
  • Kiekvienam VLAN reikia atskiro subnet ir DHCP konfigūracijos
  • Pradinis taškas: užblokuokite viską, leiskite tik tai, kas reikalinga