Sophos Firewall VLAN configurazione e test

Un VLAN su Sophos Firewall è più di un ID VLAN. Affinché la nuova rete funzioni davvero, l’interfaccia principale, il tagging dello switch, la zona, l’indirizzo IP, DHCP, DNS, Device Access, le regole del firewall e NAT devono corrispondere.

L’articolo descrive il flusso generico del firewall Sophos e le principali decisioni operative relative a segmentazione, zona, DHCP, regole e test. Quando si tratta di un’implementazione concreta con gli switch UniFi, l’articolo VLAN si adatta a Sophos Firewall e configura lo switch UniFi. Per casi di ponti speciali secondo SFOS 22, Sophos Firewall Controllare il ponte-VLANs secondo SFOS 22 è l’inizio migliore.

Risposta breve

Un VLAN viene creato su Sophos Firewall in Network > Interfaces > Add interface > Add VLAN. Successivamente di solito sono necessari:

• una zona adatta
• un indirizzo IP statico come gateway
• DHCP server o DHCP relè
• DNS progettazione
• Device Access per servizi firewall locali
• regole firewall per Internet, reti interne o server
• Registrazione e un breve test di accettazione

Solo quando un client di prova mostra l’indirizzo IP, il gateway, DNS, le connessioni consentite, le connessioni bloccate e le voci di registro appropriate, VLAN viene accettato in modo pulito.

Quando un VLAN ha senso

VLANs separano logicamente le reti di livello 2 l’una dall’altra. Su Sophos Firewall vengono spesso utilizzati per instradare più reti sullo stesso uplink fisico o su LAG.

Applicazioni tipiche:

• Separare la rete client e la rete server
• Isolare il guest WLAN dall’interno LAN
• Posizionare i telefoni VoIP nella propria rete
• Limitare IoT, fotocamere o stampanti
• Rete di gestione per PC di amministrazione, switch e creazione di monitoraggio
• DMZ o rete di server principale tramite un uplink switch comune

Tuttavia, un VLAN non sostituisce le regole del firewall. Garantisce la separazione tecnica sul livello 2. Se il traffico è consentito tra VLAN viene quindi deciso da Sophos Firewall tramite zone, routing, regole firewall, NAT e politiche di sicurezza.

VLAN architettura di pianificazione

La domanda più importante non è come creare un VLAN. La domanda più importante è quali aree di sicurezza dovrebbero esserci nella rete. Molti problemi sorgono perché i VLAN sono creati puramente tecnicamente: VLAN 10, VLAN 20, VLAN 30. Dopo alcuni mesi, nessuno sa quali comunicazioni dovrebbero essere consentite e perché alcune reti sono state disconnesse.

Raccomandiamo di pianificare innanzitutto i VLAN in base al rischio, alla funzione e alla responsabilità operativa. Una buona struttura di partenza spesso si presenta così:

Questo non è uno schema rigido. Un piccolo ufficio non ha necessariamente bisogno di dieci VLAN. Tuttavia, un ambiente con più sedi, server, WLAN, telecamere, sistemi di backup e accesso esterno non dovrebbe mettere tutto in un unico grande LAN.

Classificare la microsegmentazione in modo realistico

Microsegmentazione non significa che ogni singolo dispositivo necessiti del proprio VLAN. In pratica, l’inizio migliore è solitamente una segmentazione macro pulita: client, server, gestione, guest, IoT, backup e DMZ sono separati. I sistemi particolarmente critici possono quindi essere segmentati più finemente.

Esempi di segmentazione più precisa:

• Posiziona il controller di dominio nella propria sottorete del server.
• Rendere i sistemi di backup accessibili solo da poche fonti.
• Consenti la rete della telecamera solo a NVR o VMS.
• Rendere le stampanti accessibili solo tramite server di stampa o reti client definite.
• Gestione-VLAN aperto solo per dispositivi di amministrazione e monitoraggio.

È importante: ogni ulteriore separazione genera anche costi operativi. Ha bisogno di regole, registri, test, documentazione e qualcuno che mantenga le eccezioni. Una buona segmentazione non è il più complicata possibile, ma piuttosto comprensibile e verificabile.

Preparazione per ZTNA e accesso moderno

Una struttura VLAN pulita aiuta anche in seguito con ZTNA, VPN, SASE o altri concetti di accesso. Se le applicazioni interne si trovano già in reti di server o applicazioni in chiaro, l’accesso può essere pubblicato in modo più specifico e non è necessario rilasciare un flat completo LAN.

Per ZTNA è particolarmente utile: i server delle applicazioni

• si trovano in reti di server conosciute.
• L’accesso alla gestione è separato dal normale traffico client.
• DNS i nomi e i percorsi interni sono chiaramente documentati.
• Le regole del firewall mostrano quali utenti o gruppi di posizioni richiedono quali destinazioni.
• Le vecchie regole della tariffa forfettaria LAN to LAN o Any to Any verranno abolite.

Se Sophos ZTNA verrà utilizzato in un secondo momento, è possibile iniziare tramite Pianifica e crea Sophos ZTNA gateway. VLAN la pianificazione non è un requisito necessario per questo, ma rende le operazioni successive molto più pulite.

Di quanti VLAN hai bisogno?

Non esiste un numero corretto fisso. Dovresti creare VLAN laddove sia necessaria la tua decisione di sicurezza.

Ma non dovresti forzare immediatamente ogni piccolo argomento speciale in un nuovo VLAN. Se due reti client hanno esattamente le stesse regole, la stessa policy web e lo stesso Device Access, potrebbe essere sufficiente una zona comune con oggetti di rete chiari.

Pianificare in anticipo

Prima di creare, il VLAN dovrebbe essere brevemente documentato. Questo non deve essere un grande piano di rete, ma i valori più importanti dovrebbero essere chiari.

La zona è particolarmente importante. Questa impostazione influisce successivamente sulle regole firewall, Device Access, criteri Web, IPS, registri e risoluzione dei problemi. Sophos Firewall Configura zone e interfacce è adatto per la pianificazione di base delle zone.

Comprendere l’interfaccia principale e il tagging dello switch

L’interfaccia principale è la porta fisica, il bridge o LAG su cui Sophos Firewall riceve i pacchetti contrassegnati VLAN. L’ID VLAN su Sophos Firewall deve corrispondere esattamente a ciò che lo switch sta inviando su questo collegamento.

Disegni tipici:

Se un normale PC client è collegato direttamente a una porta dello switch, normalmente invia senza tag. Lo switch assegna quindi questa porta a VLAN. Sophos Firewall vede solo VLAN sull’uplink quando lo switch trasporta VLAN contrassegnato al firewall.

Porte individuali o trunk VLAN tramite LAG?

In teoria è possibile utilizzare la propria porta firewall fisica per VLAN. Ciò è comprensibile per installazioni molto piccole, ma è scarsamente scalabile. Le porte scarseggiano, il cablaggio diventa confuso e le modifiche a zone, interruttori o HA diventano più noiose in seguito.

Negli ambienti produttivi, il design del trunk è solitamente più pulito:

1. Sophos Firewall è collegato a uno o più switch principali.
2. Una porta fisica o un LAG trasporta più VLAN contrassegnati.
3. Sul firewall, vengono create interfacce VLAN separate su questa interfaccia principale per ciascun VLAN.
4. Il firewall rimane il gateway predefinito per i VLAN e decide le politiche di routing e sicurezza.

La nostra variante preferita è spesso un LAG con due uplink veloci, ad esempio 2x SFP+, purché il firewall e gli switch lo supportino. I VLAN vengono quindi eseguiti su di esso come interfacce contrassegnate. Ciò non significa automaticamente il doppio della velocità per una singola sessione, ma fornisce più ridondanza, più riserve e un design più chiaro rispetto a molte porte in rame individuali per VLAN.

Per molte reti di PMI e di medie dimensioni, Firewall come gateway predefinito per VLANs è la decisione migliore in termini di sicurezza. Quindi il traffico interno tra VLANs viene eseguito tramite Sophos Firewall e può essere controllato con regole firewall, IPS, policy web, registrazione e successive funzioni di sicurezza. L’instradamento sullo switch principale può essere utile se è richiesto un throughput interno est-ovest molto elevato. Ma poi bisogna accettare consapevolmente che il firewall non vede più ogni comunicazione interna.

Come regola generale:

• Orientati alla sicurezza e chiari: VLAN gateway su Sophos Firewall.
• Prestazioni interne molto elevate: Controlla il routing sullo switch principale, ma aggiungi zone di sicurezza e ACL in modo pulito.
• Nuove installazioni: Instradare VLAN al firewall tramite trunk o LAG, non sprecare una singola porta per VLAN.
• Siti piccoli: una singola porta trunk può essere sufficiente se non è richiesta la ridondanza.

Idee sbagliate comuni:

• VLAN viene creato sul firewall, ma lo switch uplink non lo trasporta.
• VLAN è contrassegnato sulla porta di accesso, sebbene il client si aspetti che non sia contrassegnato.
• L’ID VLAN non corrisponde sullo switch e sul firewall.
• VLAN è stato creato sull’interfaccia principale errata.
• L’interfaccia principale veniva utilizzata come una normale porta di accesso invece che come un trunk.

Crea interfaccia VLAN

Percorso menu:

Network > Interfaces > Add interface > Add VLAN

Procedura:

1. Assegna nome, ad esempio Clients VLAN 100.
2. Selezionare l’interfaccia principale come Interfaccia, ad esempio Port3 o LAG1.
3. Zona di rete seleziona consapevolmente.
4. Immettere VLAN ID, ad esempio 100.
5. Nella configurazione IPv4 di solito si usa Static .
6. Immettere l’indirizzo IP e la maschera di sottorete, ad esempio 10.100.0.1/24.
7. Salva.

Per i VLAN interni, l’IP del firewall è solitamente il gateway predefinito dei client. Se un altro sistema esegue il routing o il firewall vede solo determinate reti, questa progettazione deve essere documentata esplicitamente. Altrimenti cercherai le regole del firewall in un secondo momento, anche se il client non utilizza Sophos Firewall come gateway.

DHCP e DNS impostati

Dopo l’interfaccia VLAN è necessario decidere se assegnare gli indirizzi.

DHCP su Sophos Firewall viene creato in Network > DHCP. L’interfaccia, l’intervallo, il gateway, il server DNS e il dominio di ricerca sono importanti. Opzioni speciali come PXE, VoIP o valori specifici del produttore sono descritti in Sophos Firewall DHCP Configura opzioni.

Quando si progetta DNS, è necessario decidere chiaramente se i client utilizzano Sophos Firewall come forwarder DNS o si rivolgono direttamente ai server DNS interni. Quando il firewall funge da forwarder DNS, spesso i domini interni devono essere inoltrati ai server DNS corretti tramite DNS Request Routes su Sophos Firewall.

Device Access controlla

Device Access controlla i servizi locali di Sophos Firewall. Questa non è la stessa cosa di una regola firewall tra VLANs.

Esempi tipici:

• I client devono utilizzare il firewall come server DNS: consentire DNS per la zona.
• La risoluzione dei problemi dovrebbe consentire il ping sul firewall: abilitare consapevolmente Ping/Ping6.
• Client normali, ospiti o IoT VLAN non devono avere accesso WebAdmin o SSH.
• L’accesso alla gestione deve avvenire tramite una rete amministrativa dedicata o regole di eccezione ACL del servizio locale.

La procedura esatta è in Sophos Firewall Accesso sicuro: configurare correttamente Device Access. Regole firewall

e supplemento NAT

Un nuovo VLAN necessita quindi di regole firewall appropriate. Senza una regola, un client può ottenere un indirizzo IP, ma non automaticamente su Internet o su altre reti interne.

Una semplice prima regola Internet potrebbe assomigliare a questa:

Dovrebbero essere create regole separate per l’accesso interno. Un ospite, un IoT o una telecamera VLAN non dovrebbero essere ammessi nel server o nella rete di gestione su tutta la linea. La pianificazione delle regole è descritta in modo più dettagliato in Sophos Firewall-Comprendere e configurare le regole in modo sicuro.

NAT non è necessario per ogni traffico VLAN. Per il normale accesso a Internet viene spesso utilizzata la regola MASQ o SNAT esistente. Tra VLANs interni NAT solitamente è sbagliato perché i sistemi di destinazione non vedono più l’IP reale del client. La classificazione è in NAT comprendere Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Test di accettazione

A VLAN è pronto solo quando il flusso dei pacchetti è stato verificato. Un solo ping non è sufficiente.

Sequenza di test utile:

1. Collegare il client di test alla porta dello switch o all’SSID previsto.
2. Controllare se il client riceve un indirizzo IP dal VLAN corretto.
3. Controllare il gateway, il server DNS e il dominio di ricerca.
4. Effettua il ping dell’IP del firewall in VLAN se il ping è consentito.
5. DNS Risoluzione del test per nomi interni ed esterni.
6. Test consentito l’accesso a Internet.
7. Test consentito accesso interno, se previsto.
8. Testare deliberatamente gli accessi interni non consentiti e controllare il blocco in Log Viewer.
9. In Log Viewer Controllare ID regola, zona di origine, zona di destinazione e ID NAT.
10. Se non è chiaro, utilizzare Cattura pacchetto sull’interfaccia VLAN.

Per la valutazione con Log Viewer, Policy Test e Packet Capture, Sophos Firewall Test Rule con Log Viewer, Policy Test e Packet Capture è adatta.

Errori tipici

Se una regola non viene soddisfatta, il problema spesso riguarda la zona, la rete di origine, il gateway o il tagging dello switch. L’articolo Sophos Firewall regola non applicabile: verificare le cause aiuta nella distinzione.

Controllo operativo

Per i VLAN produttivi, non solo la configurazione iniziale dovrebbe essere corretta. È fondamentale che gli amministratori successivi possano capire perché esiste VLAN e quali regole ne fanno parte.

È necessario documentare:

• VLAN ID, nome e sottorete
• Interfaccia principale e switch uplink
• Zona e scopo di sicurezza
• DHCP sorgente e DNS server
• zone e servizi target consentiti
• NAT decisione
• proprietario responsabile
• client di test o procedura di test
• data dell’ultimo controllo delle regole

Per ambienti più grandi è utile anche una semplice matrice di accesso. Tale matrice mostra quali VLAN possono parlare tra loro e quali rimangono deliberatamente separati.

Una semplice matrice di accesso può assomigliare a questa:

Questa matrice è spesso più importante dell’elenco VLAN stesso. Ciò impedisce che vengano create successivamente regole generali che annullino effettivamente la segmentazione.

Domande frequenti