Sophos Firewall Configura e testa la VLAN

Una VLAN su Sophos Firewall è più di un ID VLAN. Affinché la nuova rete funzioni davvero, l’interfaccia principale, lo switch tagging, la zona, l’indirizzo IP, il DHCP, il DNS, Device Access, le regole del firewall e il NAT devono adattarsi tutti insieme.

L’articolo descrive il flusso generico del firewall Sophos e le principali decisioni operative relative a segmentazione, zona, DHCP, regole e test. Quando si tratta di un’implementazione concreta con gli switch UniFi, l’articolo Configura VLAN su Sophos Firewall e UniFi Switch è adatto. Per casi di ponti speciali dopo SFOS 22, Sophos Firewall Controllare le VLAN bridge secondo SFOS 22 è l’inizio migliore.

Risposta breve

Viene creata una VLAN su Sophos Firewall su Network > Interfaces > Add interface > Add VLAN. Dopodiché di solito hai bisogno di:

• una zona adatta
• un indirizzo IP statico come gateway
• Server DHCP o relè DHCP
• Progettazione DNS
• Device Access per servizi firewall locali
• Regole firewall per Internet, reti interne o server
• Registrazione e un breve test di accettazione

Solo quando un client di prova mostra l’indirizzo IP, il gateway, il DNS, le connessioni consentite, le connessioni bloccate e le voci di registro appropriate, la VLAN è pulita.

Quando una VLAN ha sensoLe VLAN separano logicamente le reti Layer 2 l’una dall’altra. Su Sophos Firewall vengono spesso utilizzati per instradare più reti sullo stesso uplink fisico o LAG.

Applicazioni tipiche:

• Rete client e rete server separate
• Isola il WiFi ospite dalla LAN interna
• Posiziona i telefoni VoIP nella propria rete
• Limita IoT, fotocamere o stampanti
• Creare una rete di gestione per PC di amministrazione, switch e monitoraggio
• Esegui DMZ o una rete di server su un uplink switch comune

Tuttavia, una VLAN non sostituisce le regole del firewall. Garantisce la separazione tecnica sul livello 2. Sophos Firewall decide quindi se il traffico tra VLAN è consentito tramite zone, routing, regole firewall, NAT e politiche di sicurezza.

Pianifica l’architettura VLAN

La domanda più importante non è come creare una VLAN. La domanda più importante è quali aree di sicurezza dovrebbero esserci nella rete. Molti problemi sorgono perché le VLAN vengono create puramente tecnicamente: VLAN 10, VLAN 20, VLAN 30. Dopo alcuni mesi, nessuno sa quali comunicazioni dovrebbero essere consentite e perché alcune reti sono state disconnesse.Consigliamo di pianificare innanzitutto le VLAN in base al rischio, alla funzione e alla responsabilità operativa. Una buona struttura di partenza spesso si presenta così:

• Gestione: PC di amministrazione, switch, Access Points, monitoraggio e controller. L’accesso alle interfacce amministrative dovrebbe essere controllato molto strettamente.
• Client: Dispositivi workstation, notebook e normali dispositivi utente. Di solito si tratta della rete standard con accesso a Internet e approvazioni interne mirate.
• Server: controller di dominio, file server e server applicazioni. I server non dovrebbero essere direttamente accessibili da ogni rete client.
• Ospiti: WiFi ospite e dispositivi esterni. Questa rete normalmente necessita solo di Internet e nessun accesso ai sistemi interni.
• IoT e fotocamere: Fotocamere, stampanti, sensori e tecnologia edilizia. Molti di questi dispositivi hanno modelli di aggiornamento e sicurezza deboli.
• VoIP: Telefoni, PBX e SBC. Le proprie opzioni DHCP, QoS e una chiara accessibilità sono spesso utili in questo caso.
• Backup: server di backup, repository e spazio di archiviazione immutabile. La separazione protegge dal ransomware e dai movimenti laterali.
• DMZ: Sistemi accessibili pubblicamente o proxy inversi. I servizi esposti appartengono ad un’area separata.Questo non è uno schema rigido. Un piccolo ufficio non ha necessariamente bisogno di dieci VLAN. Tuttavia, un ambiente con più sedi, server, WLAN, telecamere, sistemi di backup e accesso esterno non dovrebbe mettere tutto in un’unica grande LAN.

Classificare realisticamente la microsegmentazione

La microsegmentazione non significa che ogni singolo dispositivo necessiti della propria VLAN. In pratica, l’inizio migliore è solitamente una segmentazione macro pulita: client, server, gestione, guest, IoT, backup e DMZ sono separati. I sistemi particolarmente critici possono quindi essere segmentati più finemente.

Esempi di segmentazione più fine:

• Inserisci il controller di dominio nella propria sottorete del server.
• Rendere i sistemi di backup accessibili solo da poche fonti.
• Consenti la rete della telecamera solo a NVR o VMS.
• Rendere le stampanti accessibili solo tramite server di stampa o reti client definite.
• VLAN di gestione aperta solo per dispositivi di amministrazione e monitoraggio.

Ciò che è importante è che ogni ulteriore separazione genera anche costi operativi. Ha bisogno di regole, registri, test, documentazione e qualcuno che mantenga le eccezioni. Una buona segmentazione non è il più complicata possibile, ma piuttosto comprensibile e verificabile.

Predisposizione ZTNA e accessi moderni

Una struttura VLAN pulita aiuta anche in seguito con ZTNA, VPN, SASE o altri concetti di accesso. Se le applicazioni interne si trovano già in reti di server o applicazioni libere, l’accesso può essere pubblicato in modo più mirato e non è necessario rilasciare una Flat LAN completa.

Quanto segue è particolarmente utile per ZTNA:

• I server delle applicazioni si trovano in reti di server conosciute.
• L’accesso alla gestione è separato dal normale traffico client.
• I nomi DNS e i percorsi interni sono chiaramente documentati.
• Le regole del firewall mostrano quali utenti o gruppi di località richiedono quali destinazioni.
• La vecchia coperta LAN to LAN o Any to Any verrà smontata.

Se Sophos ZTNA viene utilizzato successivamente, è possibile accedervi tramite Pianificare e creare Sophos ZTNA Gateway. La pianificazione VLAN non è un requisito obbligatorio, ma rende il funzionamento successivo molto più pulito.

Di quante VLAN hai bisogno?

Non esiste un numero corretto fisso. Dovresti creare VLAN dove è necessaria la tua decisione di sicurezza.

Avere la propria VLAN di solito ha senso se si applica almeno uno di questi punti:

• La rete necessita di regole firewall diverse. Quindi dovresti pianificare la tua zona o almeno il tuo oggetto VLAN.
• Device Access dovrebbe apparire diverso. Una zona separata è spesso più pulita.
• Le opzioni DHCP differiscono, ad esempio per VoIP, PXE o reti ospiti.
• Il traffico dovrebbe essere registrato, monitorato o valutato separatamente.
• I dispositivi presentano un rischio significativamente diverso, ad esempio IoT, ospiti, backup o gestione.
• Ci sono altre parti responsabili o il proprio processo operativo.

Ma non dovresti forzare immediatamente ogni piccolo argomento speciale in una nuova VLAN. Se due reti client hanno esattamente le stesse regole, la stessa policy web e lo stesso Device Access, può essere sufficiente una zona comune con oggetti di rete chiari.

Pianifica in anticipo

Prima della creazione, la VLAN dovrebbe essere brevemente documentata. Questo non deve essere un grande piano di rete, ma i valori più importanti dovrebbero essere chiari.

Spesso è sufficiente un set di pianificazione compatto:

• Nome VLAN: ad esempio Clients
• ID VLAN: ad esempio 100
• Sottorete: ad esempio 10.100.0.0/24
• Gateway su Sophos Firewall: ad esempio 10.100.0.1
• Interfaccia genitore: ad esempio Port3 o LAG1
• Zona: ad esempio Client, LAN, Guest, Server o DMZ
• DHCP: Sophos Firewall, relè DHCP o server esterno
• DNS: Firewall, server DNS interni o design intenzionalmente diverso
• Scopo: ad esempio client workstation con accesso a Internet

La zona è particolarmente importante. Questa impostazione influisce successivamente sulle regole del firewall, Device Access, criteri Web, IPS, registri e risoluzione dei problemi. Sophos Firewall Configura zone e interfacce è adatto per la pianificazione base delle zone.

La VLAN ID deve trovarsi nell intervallo valido da 1 a 4094. La stessa VLAN ID non può essere aggiunta più volte sullo stesso parent interface fisico. Nelle reti produttive, l ID non dovrebbe essere assegnata solo tecnicamente, ma nominata in modo coerente con configurazione switch, SSID Wi-Fi, scope DHCP, documentazione e monitoring.

Comprendere l’interfaccia principale e cambiare tagging

L’Interfaccia genitore è la porta fisica, bridge o LAG su cui Sophos Firewall riceve i pacchetti VLAN contrassegnati. L’ID VLAN su Sophos Firewall deve corrispondere esattamente a ciò che lo switch sta inviando su questo collegamento.

Disegni tipici:

• Porta fisica come trunk: Un uplink dello switch trasporta più VLAN taggate al firewall.
• LAG come trunk: Più porte fisiche formano un LAG, sul quale si trovano diverse interfacce VLAN.
• Porta di accesso senza tag VLAN: ​​Un dispositivo finale si blocca senza tag in una VLAN. Il tagging avviene sullo switch, non sul client.
• Bridge con VLAN: ​​Caso speciale da verificare attentamente, soprattutto per migrazioni o progetti trasparenti.

Se un normale PC client è collegato direttamente a una porta dello switch, normalmente invia senza tag. Lo switch assegna quindi questa porta a una VLAN. Sophos Firewall vede la VLAN sull’uplink solo quando lo switch trasporta la VLAN contrassegnata al firewall.

Porte individuali o trunk VLAN tramite LAG?

In teoria, puoi utilizzare la tua porta firewall fisica per VLAN. Ciò è comprensibile per installazioni molto piccole, ma è scarsamente scalabile. Le porte diventano scarse, il cablaggio diventa confuso e le modifiche a zone, switch o HA diventano più noiose in seguito.

Negli ambienti produttivi, il design del bagagliaio è solitamente più pulito:

1. Sophos Firewall è collegato a uno o più centralini.
2. Una porta fisica o LAG trasporta più VLAN contrassegnate.
3. Sul firewall vengono create interfacce VLAN separate per ciascuna VLAN su questa interfaccia principale.
4. Il firewall rimane il gateway predefinito per le VLAN e decide le politiche di routing e sicurezza.

La nostra variante preferita è spesso un LAG con due uplink veloci, ad esempio 2x SFP+, purché il firewall e gli switch lo supportino. Le VLAN vengono quindi eseguite su di esso come interfacce contrassegnate. Ciò non significa automaticamente il doppio della velocità per una singola sessione, ma fornisce più ridondanza, più riserve e un design più chiaro rispetto a molte porte in rame individuali per VLAN.

Le varianti più importanti:

• Una porta firewall per VLAN: ​​​​facile da capire e può essere implementata con poca conoscenza della VLAN. Ma è scarsamente scalabile, richiede molte porte e crea rapidamente confusione nel cablaggio.
• Una porta trunk con VLAN: ​​semplice, pulita e con pochi cavi. Tuttavia, il singolo uplink rimane un singolo punto di errore.
• LAG con trunk VLAN: ​​ridondante, pulito e facilmente scalabile. Lo switch e il firewall devono supportare correttamente LAG o LACP.
• Routing su switch core: molto performante in reti di grandi dimensioni. Tuttavia, il firewall non vede più completamente il traffico interno est-ovest.

Per molte reti di PMI e di medie dimensioni, firewall come gateway predefinito per le VLAN è la decisione migliore in termini di sicurezza. Il traffico interno tra le VLAN scorre quindi su Sophos Firewall e può essere controllato con regole firewall, IPS, policy web, logging e successive funzioni di sicurezza. L’instradamento sullo switch principale può essere utile se è richiesto un throughput interno est-ovest molto elevato. Ma poi bisogna accettare consapevolmente che il firewall non vede più ogni comunicazione interna.

Come regola generale:

• Orientato alla sicurezza e chiaro: gateway VLAN su Sophos Firewall.
• Prestazioni interne molto elevate: Controlla il routing sullo switch principale, ma aggiungi zone di sicurezza e ACL in modo pulito.
• Nuove installazioni: Instrada le VLAN al firewall tramite trunk o LAG, non sprecare una singola porta per VLAN.
• Siti piccoli: una porta trunk singola può essere sufficiente se non è richiesta la ridondanza.

Idee sbagliate comuni:

• La VLAN viene creata sul firewall, ma l’uplink dello switch non la trasporta.
• La VLAN è contrassegnata sulla porta di accesso, sebbene il client si aspetti che non sia contrassegnata.
• L’ID VLAN non corrisponde sullo switch e sul firewall.
• La VLAN è stata creata sull’interfaccia madre sbagliata.
• L’interfaccia principale veniva utilizzata come una normale porta di accesso anziché come un trunk.

Crea l’interfaccia VLAN

Percorso del menù:

Network > Interfaces > Add interface > Add VLAN

Procedura:

1. Assegnare Nome, ad esempio Clients VLAN 100.
2. Selezionare l’interfaccia principale come Interfaccia, ad esempio Port3 o LAG1.
3. Scegli consapevolmente Network zone.
4. Immettere ID VLAN, ad esempio 100.
5. Sotto IPv4 configuration di solito si usa Static.
6. Immettere l’indirizzo IP e la maschera di sottorete, ad esempio 10.100.0.1/24.
7. Salva.

Per le VLAN interne, l’IP del firewall è solitamente il gateway predefinito dei client. Se un altro sistema esegue il routing o il firewall vede solo determinate reti, questa progettazione deve essere documentata esplicitamente. Altrimenti cercherai le regole del firewall in un secondo momento, anche se il client non utilizza Sophos Firewall come gateway.

Configura DHCP e DNS

Dopo l’interfaccia VLAN è necessaria la decisione sull’assegnazione degli indirizzi.

• DHCP su Sophos Firewall: adatto a siti semplici, reti client, guest, IoT o VoIP.
• Relè DHCP: utile per un server DHCP Windows centrale o un’infrastruttura DHCP esistente.
• Server DHCP esterno nella VLAN: ​​​​Caso speciale quando un server è responsabile direttamente nella VLAN.
• IP statici: adatto per piccole reti server, gestionali o infrastrutturali.

Il DHCP su Sophos Firewall viene creato sotto Network > DHCP. L’interfaccia, l’intervallo, il gateway, il server DNS e il dominio di ricerca sono importanti. Opzioni speciali come PXE, VoIP o valori specifici del produttore sono descritte in Sophos Firewall Configura le opzioni DHCP.

Quando si progetta il DNS, è necessario decidere chiaramente se i client utilizzano Sophos Firewall come forwarder DNS o se chiedono direttamente ai server DNS interni. Quando il firewall funge da forwarder DNS, spesso i domini interni devono essere inoltrati ai server DNS corretti tramite Instradamenti di richiesta DNS su Sophos Firewall.

Controlla Device Access

Device Access controlla i servizi locali di Sophos Firewall. Questa non è la stessa cosa di una regola firewall tra VLAN.

Esempi tipici:

• I client devono utilizzare il firewall come server DNS: consentire DNS per la zona.
• La risoluzione dei problemi dovrebbe consentire il ping sul firewall: abilitare consapevolmente Ping/Ping6.
• Le VLAN client, guest o IoT normali non devono avere accesso WebAdmin o SSH.
• L’accesso alla gestione deve avvenire tramite una rete amministrativa dedicata o Local Service ACL Exception Rules.

La procedura esatta è in Sophos Firewall Accesso sicuro: Configurare correttamente Device Access.

Aggiungi regole firewall e NAT

Una nuova VLAN necessita quindi di regole firewall appropriate. Senza una regola, un client può ottenere un indirizzo IP, ma non automaticamente su Internet o su altre reti interne.

Una semplice prima regola di Internet potrebbe assomigliare a questa:

• Nome regola: Clients_to_WAN
• Zone sorgente: Client o LAN
• Reti di origine: rete VLAN, ad esempio 10.100.0.0/24
• Zone di destinazione: WAN
• Reti di destinazione: Any
• Servizi: servizi richiesti consapevolmente, non automaticamente Any
• Log firewall traffic: attivatoDovrebbero essere create regole separate per l’accesso interno. Una VLAN ospite, IoT o telecamera non dovrebbe essere consentita nel server o nella rete di gestione su tutta la linea. La pianificazione delle regole è descritta più dettagliatamente in Comprendere e configurare in sicurezza le regole Sophos Firewall.

NAT non è necessario per tutto il traffico VLAN. Per il normale accesso a Internet viene spesso utilizzata la regola MASQ o SNAT esistente. Il NAT di solito è sbagliato tra le VLAN interne perché i sistemi di destinazione non vedono più l’IP reale del client. La classificazione è in Comprendere il NAT su Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Prova di accettazione

Una VLAN non è completa finché non viene dimostrato il flusso dei pacchetti. Un solo ping non è sufficiente.

Procedura di prova utile:

1. Collegare il client di prova alla porta dello switch o all’SSID previsto.
2. Verificare se il client riceve un indirizzo IP dalla VLAN corretta.
3. Controlla il gateway, il server DNS e il dominio di ricerca.
4. Eseguire il ping dell’IP del firewall nella VLAN se il ping è consentito.
5. Testare la risoluzione DNS per nomi interni ed esterni.
6. Testare l’accesso a Internet consentito.
7. Test di accesso interno consentito, se previsto.
8. Testare l’accesso interno intenzionalmente non consentito e verificare il blocco in Log Viewer.
9. In Log Viewer seleziona Rule ID, Zona di origine, Zona di destinazione e NAT ID. 1
10. Se qualcosa non è chiaro, utilizzare Packet capture sull’interfaccia VLAN.

Sophos Firewall Regola di prova con Log Viewer, Policy Test e Packet Capture è adatto per la valutazione con Log Viewer, Policy Test e Packet Capture.

Errori tipici

• VLAN non consentita sull’uplink dello switch: il client non ottiene un indirizzo IP o non raggiunge il gateway. Controllare il trunk o la VLAN contrassegnata sullo switch.
• VLAN ID già presente sullo stesso parent interface: Sophos Firewall non consente la stessa VLAN ID due volte sulla stessa interfaccia fisica. Controllare le interfacce VLAN esistenti invece di creare un duplicato.
• Interfaccia genitore errata: Il firewall non vede il traffico. Confronta l’interfaccia VLAN e il cablaggio fisico.
• Porta client contrassegnata anziché senza tag: I client normali non finiscono nella VLAN. Controllare la porta di accesso o il profilo VLAN nativo.
• DHCP mancante o risposte DHCP errate: il client non riceve un indirizzo IP o riceve un indirizzo IP errato. Controllare i lease DHCP e Packet Capture per UDP 67/68.
• Manca il DNS Device Access: il traffico IP funziona, ma la risoluzione dei nomi no. Device Access e controllare il DNS del client.
• Zona selezionata sbagliata: Le regole o le politiche non si applicano come previsto. Confronta la zona dell’interfaccia e le regole del firewall.
• Regola firewall mancante: Il client ha un indirizzo IP, ma il traffico è bloccato. Controllare Log Viewer e Rule ID.
• NAT tra VLAN interne: i sistemi di destinazione vedono un IP di origine errato. Controlla le regole NAT e pianifica le eccezioni NAT interne.Se una regola non viene soddisfatta, il problema spesso riguarda la zona, Source Network, il gateway o il tagging dello switch. L’articolo Sophos Firewall La regola non vale: verificare le cause aiuta nella distinzione.

Controllo operativo

Per le VLAN produttive, non solo la configurazione iniziale dovrebbe essere corretta. È fondamentale che gli amministratori successivi possano capire perché esiste la VLAN e quali regole ne fanno parte.

Dovresti documentarti:

• ID VLAN, nome e sottorete
• Interfaccia genitore e cambio uplink
• Zona e scopo di sicurezza
• Origine DHCP e server DNS
• zone target e servizi consentiti
• Decisione NAT
• proprietario responsabile
• Testare il cliente o la procedura di test
• Data dell’ultimo controllo delle regole

Per ambienti più grandi è utile anche una semplice matrice di accesso. Una tale matrice mostra quali VLAN possono comunicare tra loro e quali sono tenute deliberatamente separate.

Una semplice matrice di accesso può assomigliare a questa:

• Client a Internet: consentiti con Web Policy, DNS Protection e logging.
• Client al server: solo porte dell’applicazione definite.
• Ospiti interni: bloccati.
• Da IoT a Internet: sono richieste solo destinazioni e porte.
• IoT to Server: solo a NVR, server di stampa o sistemi di gestione.
• Gestione dell’infrastruttura: consentita per i log di amministrazione.
• Backup sul server: specificamente consentito, limitando fortemente la direzione inversa.

Questa matrice è spesso più importante dell’elenco VLAN stesso. Ciò impedisce che vengano create successivamente regole generali che annullino effettivamente la segmentazione.

Domande frequenti