Skonfiguruj i przetestuj Sophos Firewall VLAN

VLAN na Sophos Firewall to więcej niż identyfikator VLAN. Aby nowa sieć naprawdę działała, interfejs nadrzędny, tagowanie przełączników, strefa, adres IP, DHCP, DNS, Device Access, reguły zapory sieciowej i NAT muszą być zgodne.

Artykuł opisuje ogólny przepływ zapory Sophos i kluczowe decyzje operacyjne dotyczące segmentacji, strefy, DHCP, reguł i testowania. Jeśli chodzi o konkretną implementację przełączników UniFi, artykuł VLAN pasuje do Sophos Firewall i konfiguruje przełącznik UniFi. W przypadku specjalnych mostów po SFOS 22, Sophos Firewall Sprawdź sieci VLAN mostu po SFOS 22 jest lepszym początkiem.

Krótka odpowiedź

Utworzono VLAN na Sophos Firewall w Network > Interfaces > Add interface > Add VLAN. Następnie zwykle potrzebujesz:

• strefa dopasowania
• statyczny adres IP jako brama
• Serwer DHCP lub przekaźnik DHCP
• DNS projekt
• Device Access dla lokalnych usług zapory ogniowej
• Reguły zapory sieciowej dla Internetu, sieci wewnętrznych lub serwerów
• Rejestrowanie i krótki test akceptacyjny

Tylko wtedy, gdy klient testowy pokaże adres IP, bramę, DNS, połączenia dozwolone, zablokowane połączenia i odpowiednie wpisy dziennika, VLAN zostanie całkowicie zaakceptowane.

Kiedy VLAN ma sens

Sieci VLAN logicznie oddzielają od siebie sieci warstwy 2. W Sophos Firewall są one często używane do trasowania wielu sieci przez to samo fizyczne łącze nadrzędne lub LAG.

Typowe zastosowania:

• Oddzielna sieć klienta i sieć serwerów
• Izoluj Wi-Fi gościa od wewnętrznego LAN
• Umieść telefony VoIP w ich własnej sieci
• Ogranicz IoT, kamery i drukarki
• Utwórz sieć zarządzania dla komputerów administracyjnych, przełączników i monitorowania
• Kieruj sieć DMZ lub serwer przez wspólne łącze nadrzędne przełącznika

VLAN nie zastępuje reguł zapory sieciowej. Zapewnia techniczną separację w warstwie 2. Następnie Sophos Firewall decyduje, czy ruch pomiędzy sieciami VLAN jest dozwolony poprzez strefy, routing, reguły zapory sieciowej, NAT i zasady bezpieczeństwa.

Zaplanuj architekturę VLAN

Najważniejszym pytaniem nie jest to, jak utworzyć VLAN. Ważniejsze pytanie brzmi: jakie obszary bezpieczeństwa powinny znajdować się w sieci. Wiele problemów pojawia się, ponieważ sieci VLAN są tworzone czysto technicznie: VLAN 10, VLAN 20, VLAN 30. Po kilku miesiącach nikt nie wie, jaka komunikacja powinna być dozwolona i dlaczego niektóre sieci zostały odłączone.

Zalecamy planowanie sieci VLAN w pierwszej kolejności w oparciu o ryzyko, funkcję i odpowiedzialność operacyjną. Dobra struktura początkowa często wygląda tak:

• Zarządzanie: Komputery administracyjne, przełączniki, punkty dostępowe, monitorowanie i kontrolery. Dostęp do interfejsów administracyjnych powinien być bardzo ściśle kontrolowany.
• Klienci: Urządzenia stacji roboczych, notebooki i zwykłe urządzenia użytkowników. Zwykle jest to standardowa sieć z dostępem do Internetu i docelowymi zatwierdzeniami wewnętrznymi.
• Serwer: Kontroler domeny, serwer plików i serwer aplikacji. Serwery nie powinny być bezpośrednio dostępne z każdej sieci klienckiej.
• Goście: Wi-Fi dla gości i urządzenia zewnętrzne. Sieć ta zwykle potrzebuje jedynie Internetu i nie ma dostępu do systemów wewnętrznych.
• IoT i kamery: Kamery, drukarki, czujniki i technologia budynkowa. Wiele z tych urządzeń ma słabe modele aktualizacji i zabezpieczeń.
• VoIP: Telefony, centrale PBX i SBC. Często pomocne są tutaj własne opcje DHCP, QoS i przejrzysta dostępność.
• Kopia zapasowa: Serwery kopii zapasowych, repozytoria i niezmienna pamięć masowa. Separacja chroni przed oprogramowaniem ransomware i ruchem bocznym.
• DMZ: Systemy publicznie dostępne lub odwrotne proxy. Usługi odsłonięte należą do osobnego obszaru.

To nie jest sztywny schemat. Małe biuro niekoniecznie potrzebuje dziesięciu sieci VLAN. Jednakże środowisko z wieloma lokalizacjami, serwerami, sieciami WLAN, kamerami, systemami kopii zapasowych i dostępem zewnętrznym nie powinno umieszczać wszystkiego w jednym wielkim LAN.

Realistyczna klasyfikacja mikrosegmentacji

Mikrosegmentacja nie oznacza, że każde urządzenie potrzebuje własnego VLAN. W praktyce lepszym początkiem jest zwykle czysta segmentacja makro: klienci, serwery, zarządzanie, goście, IoT, kopie zapasowe i DMZ są oddzieleni. Szczególnie krytyczne systemy można następnie dokładniej podzielić na segmenty.

Przykłady dokładniejszej segmentacji:

• Umieść kontroler domeny we własnej podsieci serwerów.
• Udostępnij systemy kopii zapasowych tylko z kilku źródeł.
• Zezwalaj na sieć kamer tylko dla NVR lub VMS.
• Udostępnij drukarki tylko za pośrednictwem serwerów druku lub zdefiniowanych sieci klienckich.
• Otwarte zarządzanie VLAN tylko dla urządzeń administracyjnych i monitorowania.

Ważne: każda dodatkowa separacja generuje również koszty operacyjne. Potrzebuje reguł, dzienników, testów, dokumentacji i kogoś, kto będzie obsługiwał wyjątki. Dobra segmentacja nie jest tak skomplikowana, jak to tylko możliwe, ale raczej zrozumiała i możliwa do sprawdzenia.

Przygotowanie do ZTNA i nowoczesnych dostępów

Czysta struktura VLAN pomaga również później w przypadku ZTNA, VPN, SASE lub innych koncepcji dostępu. Jeśli aplikacje wewnętrzne znajdują się już w przejrzystych sieciach serwerów lub aplikacji, dostęp można opublikować w bardziej szczegółowy sposób i nie trzeba wypuszczać kompletnego płaskiego LAN.

Poniższe informacje są szczególnie pomocne w przypadku ZTNA:

• Serwery aplikacji znajdują się w znanych sieciach serwerów.
• Dostęp do zarządzania jest oddzielony od normalnego ruchu klienta.
• DNS nazwy i trasy wewnętrzne są przejrzyście udokumentowane.
• Reguły zapory sieciowej pokazują, którzy użytkownicy lub grupy lokalizacji wymagają jakich obiektów docelowych.
• Stare reguły koca LAN to LAN lub Any to Any zostaną zdemontowane.

Jeśli później zostanie użyty Sophos ZTNA, dostęp będzie możliwy poprzez Zaplanuj i utwórz bramkę Sophos ZTNA. Planowanie VLAN nie jest w tym przypadku wymogiem koniecznym, ale sprawia, że ​​późniejsze operacje są znacznie czystsze.

Ile sieci VLAN potrzebujesz?

Nie ma ustalonego prawidłowego numeru. Powinieneś utworzyć sieci VLAN, w których konieczna jest własna decyzja dotycząca bezpieczeństwa.

Oddzielny VLAN zwykle ma sens, jeśli ma zastosowanie co najmniej jeden z poniższych punktów:

• Sieć wymaga innych reguł zapory sieciowej. Następnie należy zaplanować własną strefę lub przynajmniej własny obiekt VLAN.
• Device Access powinno wyglądać inaczej. Oddzielna strefa jest często czystsza.
• Opcje DHCP są różne, na przykład dla VoIP, PXE lub sieci dla gości.
• Ruch powinien być rejestrowany, monitorowany i oceniany oddzielnie.
• Urządzenia charakteryzują się znacznie różnym ryzykiem, na przykład IoT, goście, tworzenie kopii zapasowych lub zarządzanie.
• Istnieją inne strony odpowiedzialne lub ich własny proces operacyjny.

Ale nie powinieneś od razu zmuszać każdego małego, specjalnego tematu do nowego VLAN. Jeśli dwie sieci klienckie mają dokładnie te same zasady, tę samą politykę sieciową i ten sam Device Access, może wystarczyć wspólna strefa z przejrzystymi obiektami sieciowymi.

Planuj z wyprzedzeniem

VLAN powinien zostać krótko udokumentowany przed utworzeniem. Nie musi to być duży plan sieciowy, ale najważniejsze wartości powinny być jasne.

Często wystarczy kompaktowy zestaw do planowania:

• VLAN Nazwa: na przykład Clients
• VLAN Identyfikator: na przykład 100
• Podsieć: na przykład 10.100.0.0/24
• Brama na Sophos Firewall: na przykład 10.100.0.1
• Interfejs rodzica: na przykład Port3 lub LAG1
• Linia: na przykład Client, LAN, Guest, Server lub DMZ
• DHCP: Sophos Firewall, DHCP Przekaźnik lub serwer zewnętrzny
• DNS: Zapora sieciowa, wewnętrzne serwery DNS lub celowo inny projekt
• Przeznaczenie: na przykład klienci stacji roboczych z dostępem do Internetu

Strefa jest szczególnie ważna. To ustawienie ma później wpływ na reguły zapory sieciowej, Device Access, zasady sieciowe, IPS, logi i rozwiązywanie problemów. Sophos Firewall Konfiguruj strefy i interfejsy nadaje się do podstawowego planowania stref.

Identyfikator VLAN musi należeć do prawidłowego zakresu od 1 do 4094. Tego samego identyfikatora VLAN nie można utworzyć wiele razy w tym samym fizycznym interfejsie nadrzędnym. W sieciach produkcyjnych identyfikator powinien być przypisany nie tylko pod względem technicznym, ale powinien także zawierać nazwę wraz z konfiguracją przełącznika, identyfikatorem SSID sieci WLAN, zakresem DHCP, dokumentacją i monitorowaniem. Jeśli VLAN 100 nazywa się Clients na zaporze, ale Office na przełączniku i LAN-neu na DHCP, rozwiązywanie problemów staje się niepotrzebnie uciążliwe.

Zrozumienie interfejsu nadrzędnego i tagowania przełączników

Interfejs nadrzędny to fizyczny port, most lub grupa LAG, na której Sophos Firewall odbiera oznaczone pakiety VLAN. Identyfikator VLAN na Sophos Firewall musi dokładnie odpowiadać temu, co przełącznik wysyła na tym łączu.

Typowe konstrukcje:

• Port fizyczny jako łącze trunkingowe: Łącze zwrotne przełącznika transportuje wiele sieci VLAN oznaczonych do zapory ogniowej.
• LAG jako łącze: Kilka portów fizycznych tworzy LAG, na którym znajduje się kilka interfejsów VLAN.
• Interfejs RED: Sieci VLAN można także zaplanować na odpowiednich interfejsach RED, jeśli tryb witryny i strona przełącznika są zgodne.
• Port dostępu bez znacznika VLAN: Urządzenie końcowe zawiesza się nieoznaczone w VLAN. Tagowanie odbywa się na przełączniku, a nie na kliencie.
• Most z sieciami VLAN: ​​Specjalny przypadek, który należy dokładnie sprawdzić, zwłaszcza w przypadku migracji lub projektów przezroczystych.

Kiedy zwykły komputer kliencki jest bezpośrednio podłączony do portu przełącznika, zwykle wysyła nieoznakowany. Następnie przełącznik przypisuje ten port do VLAN. Sophos Firewall widzi VLAN na łączu zwrotnym tylko wtedy, gdy przełącznik przesyła oznaczony tag VLAN do zapory ogniowej.

Indywidualne porty czy VLAN łącze trunkingowe przez LAG?

Teoretycznie możesz używać własnego fizycznego portu zapory ogniowej na VLAN. Jest to zrozumiałe w przypadku bardzo małych instalacji, ale skalowanie jest słabe. Portów staje się mało, okablowanie staje się skomplikowane, a zmiany w strefach, przełącznikach lub HA stają się później bardziej uciążliwe.

W środowiskach produkcyjnych projekt łącza jest zwykle czystszy:

1. Sophos Firewall jest podłączony do jednego lub większej liczby przełączników rdzeniowych.
2. Port fizyczny lub grupa LAG transportuje wiele oznakowanych sieci VLAN.
3. Na zaporze sieciowej dla każdego VLAN tworzone są oddzielne interfejsy VLAN na tym interfejsie nadrzędnym.
4. Zapora pozostaje domyślną bramą dla sieci VLAN i decyduje o routingu i zasadach bezpieczeństwa.

Naszym preferowanym wariantem jest często LAG z dwoma szybkimi łączami nadrzędnymi, na przykład 2x SFP+, o ile zapora sieciowa i przełączniki to obsługują. Następnie sieci VLAN działają na nim jako oznakowane interfejsy. Nie zapewnia to automatycznie dwukrotnie większej prędkości w przypadku pojedynczej sesji, ale zapewnia większą redundancję, więcej rezerw i przejrzystszą konstrukcję niż wiele pojedynczych portów miedzianych na VLAN.

Najważniejsze warianty:

• Jeden port zapory ogniowej na VLAN: łatwy do zrozumienia i wdrożenia przy niewielkiej wiedzy VLAN. Ale słabo się skaluje, wymaga wielu portów i szybko powoduje zamieszanie w okablowaniu.
• Port trunk z sieciami VLAN: ​​prosty, przejrzysty i z niewielką liczbą kabli. Jednakże pojedyncze łącze wysyłające pozostaje pojedynczym punktem awarii.
• LAG z VLAN trunk: nadmiarowy, przejrzysty i łatwo skalowalny. Przełącznik i zapora sieciowa muszą poprawnie obsługiwać LAG lub LACP.
• Routing na przełączniku głównym: bardzo wydajny w dużych sieciach. Jednak zapora nie widzi już całkowicie wewnętrznego ruchu wschód-zachód.

W przypadku wielu małych i średnich sieci oraz sieci średniej wielkości zapora sieciowa jako domyślna brama dla sieci VLAN jest lepszą decyzją dotyczącą bezpieczeństwa. Wewnętrzny ruch pomiędzy sieciami VLAN przebiega następnie przez Sophos Firewall i może być kontrolowany za pomocą reguł zapory sieciowej, IPS, zasad sieciowych, rejestrowania i późniejszych funkcji bezpieczeństwa. Routing na głównym przełączniku może być przydatny, jeśli wymagana jest bardzo duża wewnętrzna przepustowość wschód-zachód. Ale wtedy trzeba świadomie zaakceptować fakt, że firewall nie widzi już każdej komunikacji wewnętrznej.

Ogólna zasada:

• Zorientowane na bezpieczeństwo i przejrzyste: Bramy VLAN na Sophos Firewall.
• Bardzo wysoka wydajność wewnętrzna: Sprawdź routing na przełączniku głównym, ale dodaj czysto strefy bezpieczeństwa i listy ACL.
• Nowe instalacje: Kieruj sieci VLAN do firewalla przez łącze trunk lub LAG, nie marnuj ani jednego portu na VLAN.
• Małe lokalizacje: Pojedynczy port trunk może wystarczyć, jeśli nie jest wymagana nadmiarowość.

Typowe błędne przekonania:

• Na zaporze utworzono VLAN, ale łącze nadrzędne przełącznika nie przesyła go.
• VLAN jest oznaczony na porcie dostępowym, chociaż klient oczekuje, że nie będzie on oznaczony.
• Identyfikator VLAN nie jest zgodny na przełączniku i zaporze.
• VLAN został utworzony w niewłaściwym interfejsie nadrzędnym.
• Interfejs nadrzędny działał jako normalny port dostępowy, a nie łącze trunkingowe.
• W interfejsie nadrzędnym utworzono już VLAN, po czym port fizyczny powinien zostać spontanicznie zmieniony na DHCP lub PPPoE. Takie zmiany muszą być zaplanowane z wyprzedzeniem, ponieważ Sophos nie pozwala na dowolną zmianę przypisania IP statycznego interfejsu fizycznego na DHCP lub PPPoE po konfiguracji VLAN.

Utwórz interfejs VLAN

Ścieżka menu:

Network > Interfaces > Add interface > Add VLAN

Procedura:

1. Nazwa przypisana, na przykład Clients VLAN 100.
2. Wybierz interfejs nadrzędny jako Interfejs, na przykład Port3 lub LAG1.
3. Network strefa świadomie wybierz.
4. Wprowadź VLAN ID, na przykład 100.
5. W konfiguracji IPv4 najczęściej używa się Static.
6. Wprowadź adres IP i maskę podsieci, na przykład 10.100.0.1/24.
7. Zapisz.

W przypadku wewnętrznych sieci VLAN adres IP zapory jest zwykle domyślną bramą klientów. Jeśli inny System routuje lub zapora widzi tylko określone sieci, projekt ten musi być wyraźnie udokumentowany. W przeciwnym razie będziesz później szukać reguł zapory sieciowej, nawet jeśli klient nie używa Sophos Firewall jako bramy.

Po zapisaniu powinieneś otworzyć interfejs nadrzędny pod Network > Interfaces lub użyć filtra VLAN. Sophos pokazuje interfejsy VLAN poniżej interfejsu nadrzędnego, a także w widoku VLAN. Automatycznie wygenerowana nazwa sprzętu jest oparta na interfejsie nadrzędnym i identyfikatorze VLAN; Jednak opisowa nazwa interfejsu jest szczególnie ważna dla działania, ponieważ pojawia się w innych ustawieniach, logach i regułach.

Należy również utworzyć odpowiedni obiekt sieciowy dla reguł zapory sieciowej:

Hosts and services > IP host

Przykład:

• Nazwa: NET_Client_VLAN100
• IP version: IPv4
• Typ: Network
• Adres IP: 10.100.0.0
• Podsieć: /24

Dzięki takim obiektom reguły, przeszukiwanie dzienników i późniejsze przeglądanie są znacznie wyraźniejsze niż surowe zakresy adresów IP w każdej pojedynczej regule.

Skonfiguruj DHCP i DNS

Po interfejsie VLAN konieczna jest decyzja o przypisaniu adresów.

• DHCP do Sophos Firewall: odpowiednie dla prostych lokalizacji, sieci klienckich, gościnnych, IoT lub VoIP.
• DHCP Przekaźnik: przydatny dla centralnego serwera Windows DHCP lub istniejącej infrastruktury DHCP.
• Zewnętrzny serwer DHCP w VLAN: Specjalny przypadek, gdy serwer jest bezpośrednio odpowiedzialny w VLAN.
• Statyczne adresy IP: odpowiednie dla małych serwerów, sieci zarządzających lub infrastruktury.

DHCP na Sophos Firewall jest tworzone pod Network > DHCP. Ważny jest interfejs, zasięg, brama, serwer DNS i domena wyszukiwania. Opcje specjalne, takie jak PXE, VoIP lub wartości specyficzne dla producenta są opisane w Sophos Firewall DHCP Konfiguracja opcji.

Sophos Firewall umożliwia konfigurację serwera DHCP i przekaźnika DHCP na interfejsach fizycznych i wirtualnych, takich jak sieci VLAN, sieci bezprzewodowe i mosty. To nie jest właściwe miejsce na temat interfejsów aliasów. Jeśli DHCP jest planowane na trasach VPN, należy również sprawdzić, czy konkretny projekt VPN obsługuje przekaźnik DHCP; Nie dzieje się to automatycznie w przypadku sieci VPN opartych na trasach.

Projektując DNS, powinieneś jasno zdecydować, czy klienci używają Sophos Firewall jako forwarderów DNS, czy też bezpośrednio zwracają się do wewnętrznych serwerów DNS. Gdy zapora sieciowa działa jako forwarder DNS, domeny wewnętrzne często muszą być przekazywane do właściwych serwerów DNS poprzez DNS Trasy żądań na Sophos Firewall.

Sprawdź Device Access

Device Access kontroluje lokalne usługi Sophos Firewall. To nie to samo, co reguła zapory sieciowej między sieciami VLAN.

Typowe przykłady:

• Klienci powinni używać zapory sieciowej jako serwera DNS: zezwól na DNS dla strefy.
• Rozwiązywanie problemów powinno pozwolić na ping na zaporze: świadomie włącz Ping/Ping6.
• Zwykły klient, gość lub sieci VLAN IoT nie powinny mieć dostępu WebAdmin ani SSH.
• Dostęp do zarządzania powinien działać poprzez własną sieć administracyjną lub usługę lokalną ACL Exception Rules.

Dokładna procedura jest opisana w Sophos Firewall Bezpieczny dostęp: poprawnie skonfiguruj Device Access.

Dodaj reguły zapory sieciowej i NAT

Nowy VLAN wymaga zatem odpowiednich reguł zapory sieciowej. Bez reguły klient może uzyskać adres IP, ale nie automatycznie w Internecie lub innych sieciach wewnętrznych.

Prosta reguła dotycząca pierwszego Internetu może wyglądać następująco:

• Rule name: Clients_to_WAN
• Strefy źródłowe: Client lub LAN
• Sieci źródłowe: VLAN sieć, na przykład 10.100.0.0/24
• Strefy docelowe: WAN
• Sieci docelowe: Any
• Services: świadomie wymagane usługi, a nie automatycznie Any
• Log firewall traffic: aktywowany

Należy utworzyć osobne reguły dla dostępu wewnętrznego. Gość, IoT lub kamera VLAN nie powinny mieć dostępu do serwera ani sieci zarządzania. Planowanie reguł opisano bardziej szczegółowo w Sophos Firewall-Zrozumienie i bezpieczne konfigurowanie reguł.

NAT nie jest konieczne dla każdego ruchu VLAN. W przypadku normalnego dostępu do Internetu często używana jest istniejąca reguła MASQ lub SNAT. Pomiędzy wewnętrznymi sieciami VLAN, NAT jest zwykle niepoprawne, ponieważ systemy docelowe nie widzą już prawdziwego adresu IP klienta. Klasyfikacja jest w NAT rozumie Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Test akceptacyjny

VLAN nie jest gotowy, dopóki nie zostanie sprawdzony przepływ pakietów. Pojedynczy ping nie wystarczy.

Przydatna sekwencja testowa:

1. Podłącz klienta testowego do odpowiedniego portu przełącznika lub identyfikatora SSID.
2. Sprawdź, czy klient otrzymuje adres IP z prawidłowego VLAN.
3. Sprawdź bramę, serwer DNS i wyszukaj domenę.
4. Pinguj adres IP zapory sieciowej w VLAN, jeśli ping jest dozwolony.
5. Sprawdź rozdzielczość DNS dla nazw wewnętrznych i zewnętrznych.
6. Test pozwolił na dostęp do Internetu.
7. Test zezwala na dostęp wewnętrzny, jeśli jest dostępny.
8. Celowo nie zezwolono na test dostępu wewnętrznego i blok kontrolny w Log Viewer.
9. W Log Viewer sprawdź Rule ID, Source zone, Destination zone i NAT ID.
10. Jeśli nie jest to jasne, użyj przechwytywania pakietów w interfejsie VLAN.

Do oceny z Log Viewer, testem zasad i Packet Capture, regułą testową Sophos Firewall z dopasowaniem Log Viewer, testem zasad i Packet Capture.

Typowe błędy

• VLAN nie jest dozwolone na łączu nadrzędnym przełącznika: Klient nie otrzymuje adresu IP lub nie osiąga bramy. Sprawdź łącze lub otaguj VLAN na przełączniku.
• Nieprawidłowy interfejs nadrzędny: Zapora sieciowa nie widzi ruchu. Porównaj interfejs VLAN i okablowanie fizyczne.
• VLAN Identyfikator już istnieje na tym samym interfejsie nadrzędnym: Sophos Firewall nie pozwala na dwukrotne użycie tego samego identyfikatora VLAN na tym samym interfejsie fizycznym. W takim przypadku zamiast tworzyć duplikat, sprawdź istniejące interfejsy VLAN.
• Port klienta oznaczony zamiast nieoznaczonego: Zwykli klienci nie trafiają do VLAN. Sprawdź port dostępu lub natywny profil VLAN.
• DHCP brak lub jest nieprawidłowy DHCP odpowiedzi: Klient nie otrzymuje adresu IP lub adres IP jest nieprawidłowy. Sprawdź dzierżawy DHCP i Packet Capture pod kątem UDP 67/68.
• Brak obiektu hosta IP dla VLAN: Reguły zawierają surowe sieci lub nieprawidłowe obiekty. Utwórz czysty host IP pod Hosts and services i użyj go w regułach.
• Brak DNS Device Access: Ruch IP działa, ale rozpoznawanie nazw nie. Sprawdź Device Access i klienta DNS.
• Wybrano niewłaściwą strefę: Reguły lub polityki nie mają zastosowania zgodnie z oczekiwaniami. Porównaj reguły strefy interfejsu i zapory sieciowej.
• Brak reguły zapory sieciowej: Klient ma adres IP, ale ruch jest blokowany. Sprawdź Log Viewer i Rule ID.
• NAT pomiędzy wewnętrznymi sieciami VLAN: ​​Systemy docelowe widzą nieprawidłowy źródłowy adres IP. Sprawdź reguły NAT i zaplanuj wewnętrzne wyjątki NAT.

Jeśli reguła nie jest dopasowana, problem często dotyczy oznaczania strefy, źródła Network, bramy lub przełącznika. Artykuł Sophos Firewall nie ma zastosowania: sprawdź przyczyny pomaga w rozróżnieniu.

Kontrola działania

W przypadku produktywnych sieci VLAN nie tylko konfiguracja początkowa powinna być prawidłowa. Ważne jest, aby późniejsi administratorzy mogli zrozumieć, dlaczego VLAN istnieje i jakie zasady do niego należą.

Powinieneś udokumentować:

• VLAN Identyfikator, nazwa i podsieć
• Interfejs nadrzędny i łącze wysyłające
• automatycznie wygenerowana nazwa sprzętu i opisowa nazwa interfejsu
• Strefa i cel bezpieczeństwa
• Obiekt hosta IP dla reguł zapory
• Źródło DHCP i serwer DNS
• dozwolone docelowe strefy i usługi
• Decyzja NAT
• odpowiedzialny właściciel
• Klient testowy lub metoda testowa
• Data ostatniego sprawdzenia reguły

W przypadku większych środowisk opłacalna jest również prosta macierz dostępu. Taka macierz pokazuje, które sieci VLAN mogą ze sobą rozmawiać, a które celowo trzyma się oddzielnie.

Prosta macierz dostępu może wyglądać następująco:

• Klienci Internetu: dozwoleni przy użyciu Polityki sieciowej, DNS Protection i logowania.
• Klienci do serwera: tylko zdefiniowane porty aplikacji.
• Goście wewnętrzni: zablokowani.
• IoT do Internetu: wymagane są tylko miejsca docelowe i porty.
• IoT do serwera: tylko do NVR, serwera druku lub systemów zarządzania.
• Zarządzanie infrastrukturą: dozwolone dla protokołów administratora.
• Kopia zapasowa na serwerze: specjalnie dozwolona, ​​poważnie ograniczająca kierunek odwrotny.

Ta macierz jest często ważniejsza niż sama lista VLAN. Zapobiega to późniejszemu tworzeniu ogólnych reguł, które w rzeczywistości unieważniają segmentację.

Häufige Fragen