Sophos Firewall VLAN skonfiguruj i przetestuj

VLAN na Sophos Firewall to więcej niż identyfikator VLAN. Aby nowa sieć naprawdę działała, interfejs nadrzędny, tagowanie przełączników, strefa, adres IP, DHCP, DNS, Device Access, reguły zapory sieciowej i NAT muszą być zgodne.

Artykuł opisuje ogólny przepływ firewalla Sophos i kluczowe decyzje operacyjne dotyczące segmentacji, strefy, DHCP, reguł i testowania. Jeśli chodzi o konkretną implementację przełączników UniFi, artykuł VLAN pasuje do Sophos Firewall i konfiguruje przełącznik UniFi. W przypadku specjalnych mostków zgodnie z SFOS 22, Sophos Firewall Sprawdź mostek-VLANs zgodnie z SFOS 22 jest lepszym początkiem.

Krótka odpowiedź

VLAN jest tworzony na Sophos Firewall pod Network > Interfaces > Add interface > Add VLAN. Następnie zwykle potrzebujesz:

• odpowiedniej strefy
• statyczny adres IP jako brama
• DHCP serwer lub DHCP przekaźnik
• DNS projekt
• Device Access dla lokalnych usług firewall
• reguły firewalla dla Internetu, sieci wewnętrznych lub serwerów
• Logowanie i krótki test akceptacyjny

Tylko wtedy, gdy klient testowy pokaże adres IP, bramę, DNS, połączenia dozwolone, zablokowane połączenia i odpowiednie wpisy w dzienniku, VLAN zostanie całkowicie zaakceptowane.

Kiedy VLAN ma sens,

VLANs logicznie oddziela sieci warstwy 2 od siebie. W Sophos Firewall są one często używane do trasowania wielu sieci przez to samo fizyczne łącze nadrzędne lub LAG.

Typowe zastosowania:

• Oddzielna sieć kliencka i serwerowa
• Izolacja gościa WLAN od wewnętrznego LAN
• Umieść telefony VoIP we własnej sieci
• Ogranicz IoT, kamery lub drukarki
• Sieć zarządzająca dla komputerów administracyjnych, przełączników i monitorowania
• DMZ lub wiodąca sieć serwerów za pośrednictwem wspólnego łącza zwrotnego

Jednakże VLAN nie zastępuje reguł zapory ogniowej. Zapewnia techniczną separację w warstwie 2. O tym, czy ruch pomiędzy VLANs jest dozwolony, decyduje Sophos Firewall poprzez strefy, routing, reguły zapory sieciowej, NAT i zasady bezpieczeństwa.

VLAN planowanie architektury

Najważniejszym pytaniem nie jest to, jak stworzyć VLAN. Ważniejsze pytanie brzmi: jakie obszary bezpieczeństwa powinny znajdować się w sieci. Wiele problemów pojawia się, ponieważ VLAN są tworzone czysto technicznie: VLAN 10, VLAN 20, VLAN 30. Po kilku miesiącach nikt nie wie, jaka komunikacja powinna być dozwolona i dlaczego niektóre sieci zostały odłączone.

Zalecamy zaplanowanie VLAN najpierw w oparciu o ryzyko, funkcję i odpowiedzialność operacyjną. Dobra struktura początkowa często wygląda tak:

To nie jest sztywny schemat. Małe biuro niekoniecznie potrzebuje dziesięciu VLAN. Jednakże środowisko z wieloma lokalizacjami, serwerami, WLAN, kamerami, systemami tworzenia kopii zapasowych i dostępem zewnętrznym nie powinno umieszczać wszystkiego w jednym wielkim LAN.

Realistyczna klasyfikacja mikrosegmentacji

Mikrosegmentacja nie oznacza, że ​​każde urządzenie potrzebuje własnego VLAN. W praktyce lepszym początkiem jest zwykle czysta segmentacja makr: klienci, serwery, zarządzanie, goście, IoT, kopie zapasowe i DMZ są oddzieleni. Szczególnie krytyczne systemy można następnie dokładniej podzielić na segmenty.

Przykłady dokładniejszej segmentacji:

• Umieść kontroler domeny w jego własnej podsieci serwerów.
• Spraw, aby systemy kopii zapasowych były dostępne tylko z kilku źródeł.
• Zezwalaj na podłączenie kamer tylko do NVR lub VMS.
• Udostępnij drukarki tylko za pośrednictwem serwerów druku lub zdefiniowanych sieci klienckich.
• Zarządzanie-VLAN otwarte tylko dla urządzeń administracyjnych i monitorowania.

Ważne: każda dodatkowa separacja generuje również koszty operacyjne. Potrzebuje reguł, dzienników, testów, dokumentacji i kogoś, kto będzie obsługiwał wyjątki. Dobra segmentacja nie jest tak skomplikowana, jak to tylko możliwe, ale raczej zrozumiała i możliwa do sprawdzenia.

Przygotowanie do ZTNA i nowoczesny dostęp

Czysta struktura VLAN pomaga również później w przypadku ZTNA, VPN, SASE lub innych koncepcji dostępu. Jeśli aplikacje wewnętrzne znajdują się już w przejrzystych sieciach serwerów lub aplikacji, dostęp można opublikować bardziej szczegółowo i nie trzeba wypuszczać kompletnego mieszkania LAN.

Dla ZTNA jest to szczególnie pomocne: serwery aplikacji

• znajdują się w znanych sieciach serwerów.
• Dostęp do zarządzania jest oddzielony od normalnego ruchu klienta.
• DNS nazwy i trasy wewnętrzne są wyraźnie udokumentowane.
• Reguły zapory sieciowej pokazują, którzy użytkownicy lub grupy lokalizacji wymagają jakich obiektów docelowych.
• Stare zasady ryczałtu LAN to LAN lub Any to Any zostaną zdemontowane.

Jeśli Sophos ZTNA zostanie użyty później, możesz rozpocząć pracę poprzez Zaplanuj i utwórz bramkę Sophos ZTNA. VLAN planowanie nie jest w tym przypadku koniecznym wymogiem, ale sprawia, że ​​późniejsze operacje są znacznie czystsze.

Ile VLAN potrzebujesz?

Nie ma ustalonego, prawidłowego numeru. Powinieneś utworzyć VLANs tam, gdzie konieczna jest własna decyzja dotycząca bezpieczeństwa.

Ale nie powinieneś od razu narzucać każdemu małemu, specjalnemu tematowi nowego VLAN. Jeśli dwie sieci klienckie mają dokładnie te same zasady, tę samą politykę sieciową i ten sam Device Access, może wystarczyć wspólna strefa z przejrzystymi obiektami sieciowymi.

Zaplanuj z wyprzedzeniem

Przed utworzeniem VLAN należy krótko udokumentować. Nie musi to być duży plan sieciowy, ale najważniejsze wartości powinny być jasne.

Strefa jest szczególnie ważna. To ustawienie ma później wpływ na reguły zapory sieciowej, Device Access, zasady sieciowe, IPS, logi i rozwiązywanie problemów. Sophos Firewall Konfiguruj strefy i interfejsy nadaje się do podstawowego planowania stref.

Zrozumienie interfejsu rodzica i znakowania przełączników

Interfejs rodzica to fizyczny port, most lub LAG, na którym Sophos Firewall odbiera oznaczone pakiety VLAN. Identyfikator VLAN na Sophos Firewall musi dokładnie odpowiadać temu, co przełącznik wysyła na tym łączu.

Typowe konstrukcje:

Jeśli zwykły komputer kliencki jest bezpośrednio podłączony do portu przełącznika, zwykle wysyła sygnał bez oznaczenia. Następnie przełącznik przypisuje ten port do VLAN. Sophos Firewall widzi VLAN na łączu zwrotnym tylko wtedy, gdy przełącznik transportuje oznaczony VLAN do firewalla.

Pojedyncze porty czy VLAN łącze poprzez LAG?

Teoretycznie możesz użyć własnego fizycznego portu zapory ogniowej na VLAN. Jest to zrozumiałe w przypadku bardzo małych instalacji, ale skalowanie jest słabe. Portów staje się mało, okablowanie staje się skomplikowane, a zmiany w strefach, przełącznikach lub HA stają się później bardziej uciążliwe.

W środowiskach produkcyjnych konstrukcja łącza jest zwykle czystsza:

1. Sophos Firewall jest podłączony do jednego lub większej liczby przełączników rdzeniowych.
2. Port fizyczny lub LAG transportuje wiele oznaczonych VLAN.
3. Na zaporze sieciowej tworzone są oddzielne interfejsy VLAN na tym interfejsie nadrzędnym dla każdego VLAN.
4. Zapora sieciowa pozostaje bramą domyślną dla VLAN i decyduje o routingu i zasadach bezpieczeństwa.

Naszym preferowanym wariantem jest często LAG z dwoma szybkimi łączami nadrzędnymi, na przykład 2x SFP+, o ile zapora sieciowa i przełączniki to obsługują. Następnie VLAN działają na nim jako oznaczone interfejsy. Nie oznacza to automatycznie dwukrotnie większej prędkości w przypadku pojedynczej sesji, ale zapewnia większą redundancję, więcej rezerw i przejrzystszą konstrukcję niż wiele pojedynczych portów miedzianych na VLAN.

Dla wielu sieci MŚP i średnich Zapora sieciowa jako domyślna brama dla VLANs jest lepszą decyzją w zakresie bezpieczeństwa. Następnie ruch wewnętrzny pomiędzy VLANs odbywa się poprzez Sophos Firewall i może być kontrolowany za pomocą reguł zapory sieciowej, IPS, zasad sieciowych, rejestrowania i późniejszych funkcji bezpieczeństwa. Routing na głównym przełączniku może być przydatny, jeśli wymagana jest bardzo duża wewnętrzna przepustowość wschód-zachód. Ale wtedy trzeba świadomie zaakceptować fakt, że firewall nie widzi już każdej komunikacji wewnętrznej.

Ogólna zasada:

• Zorientowane na bezpieczeństwo i jasne: Bramy VLAN na Sophos Firewall.
• Bardzo wysoka wydajność wewnętrzna: Sprawdź routing na przełączniku głównym, ale dodaj czysto strefy bezpieczeństwa i listy ACL.
• Nowe instalacje: Przekieruj VLANs do zapory ogniowej przez łącze trunk lub LAG, nie marnuj ani jednego portu na VLAN.
• Małe lokalizacje: Pojedynczy port trunk może wystarczyć, jeśli nie jest wymagana nadmiarowość.

Często spotykane błędne przekonania:

• Element VLAN jest tworzony na zaporze ogniowej, ale łącze nadrzędne przełącznika nie przesyła go.
• VLAN jest oznaczony na porcie dostępowym, chociaż klient oczekuje, że nie będzie on oznaczony.
• Identyfikator VLAN nie jest zgodny na przełączniku i zaporze.
• VLAN został utworzony w niewłaściwym interfejsie nadrzędnym.
• Interfejs nadrzędny działał jako normalny port dostępowy, a nie jako łącze trunkingowe.

Utwórz interfejs VLAN

Ścieżka menu:

Network > Interfaces > Add interface > Add VLAN

Procedura:

1. Nadaj nazwę, na przykład Clients VLAN 100.
2. Wybierz interfejs nadrzędny jako Interfejs, na przykład Port3 lub LAG1.
3. Strefa sieciowa wybieraj świadomie.
4. Wpisz VLAN ID, na przykład 100.
5. W konfiguracji IPv4 zwykle używaj Static .
6. Wprowadź adres IP i maskę podsieci, na przykład 10.100.0.1/24.
7. Zapisz.

W przypadku wewnętrznych VLAN adres IP zapory jest zwykle domyślną bramą klientów. Jeśli inny system routuje lub zapora widzi tylko określone sieci, projekt ten musi być wyraźnie udokumentowany. W przeciwnym razie będziesz później szukać reguł zapory sieciowej, nawet jeśli klient nie używa Sophos Firewall jako bramy.

DHCP i DNS skonfigurowane

Po interfejsie VLAN konieczna jest decyzja o przypisaniu adresów.

DHCP na Sophos Firewall jest tworzony pod Network > DHCP. Ważny jest interfejs, zasięg, brama, serwer DNS i domena wyszukiwania. Opcje specjalne, takie jak PXE, VoIP lub wartości specyficzne dla producenta są opisane w Sophos Firewall DHCP Konfiguracja opcji.

Projektując DNS, powinieneś jasno zdecydować, czy klienci używają Sophos Firewall jako forwarderów DNS, czy też bezpośrednio zwracają się do wewnętrznych serwerów DNS. Gdy zapora sieciowa działa jako forwarder DNS, domeny wewnętrzne często muszą być przekazywane do właściwych serwerów DNS poprzez DNS Trasy żądań na Sophos Firewall.

Device Access sprawdź

Device Access kontroluje lokalne usługi Sophos Firewall. To nie to samo, co reguła zapory sieciowej pomiędzy VLANs.

Typowe przykłady:

• Klienci powinni używać zapory sieciowej jako serwera DNS: zezwól na DNS dla strefy.
• Rozwiązywanie problemów powinno pozwolić na ping na zaporze ogniowej: świadomie włącz Ping/Ping6.
• Zwykły klient, gość lub IoT VLANs nie powinien mieć dostępu WebAdmin ani SSH.
• Dostęp do zarządzania powinien odbywać się poprzez dedykowaną sieć administracyjną lub reguły wyjątków ACL usług lokalnych.

Dokładna procedura jest opisana w Sophos Firewall Bezpieczny dostęp: poprawnie skonfiguruj Device Access. Reguły zapory

i dodatek NAT

Nowy VLAN wymaga zatem odpowiednich reguł zapory. Bez reguły klient może uzyskać adres IP, ale nie automatycznie w Internecie lub innych sieciach wewnętrznych.

Prosta pierwsza reguła internetowa mogłaby wyglądać następująco:

Dla dostępu wewnętrznego należy stworzyć osobne zasady. Gość, IoT lub kamera VLAN nie powinny mieć dostępu do serwera ani sieci zarządzania. Planowanie reguł opisano bardziej szczegółowo w Sophos Firewall-Zrozumienie i bezpieczne konfigurowanie reguł.

NAT nie jest konieczne dla każdego ruchu VLAN. W przypadku normalnego dostępu do Internetu często używana jest istniejąca reguła MASQ lub SNAT. Pomiędzy wewnętrznymi VLANs NAT jest zwykle błędne, ponieważ systemy docelowe nie widzą już prawdziwego adresu IP klienta. Klasyfikacja jest w NAT rozumie Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Test akceptacji

A VLAN jest gotowy dopiero po sprawdzeniu przepływu pakietów. Pojedynczy ping nie wystarczy.

Przydatna sekwencja testowa:

1. Podłącz klienta testowego do odpowiedniego portu przełącznika lub identyfikatora SSID.
2. Sprawdź, czy klient otrzymuje adres IP z prawidłowego VLAN.
3. Sprawdź bramę, serwer DNS i wyszukaj domenę.
4. Pinguj adres IP zapory sieciowej w VLAN, jeśli ping jest dozwolony.
5. DNS Testowanie rozdzielczości nazw wewnętrznych i zewnętrznych.
6. Test zezwolenia na dostęp do Internetu.
7. Test zezwala na dostęp wewnętrzny, jeśli jest dostępny.
8. Celowo przetestuj blokadę dostępu wewnętrznego i sprawdź blok w Log Viewer.
9. W Log Viewer Sprawdź identyfikator reguły, strefę źródłową, strefę docelową i identyfikator NAT.
10. Jeśli nie jest to jasne, użyj opcji Przechwytywanie pakietów w interfejsie VLAN.

Do oceny z Log Viewer, Testem zasad i Packet Capture, odpowiednia jest reguła testowa Sophos Firewall z Log Viewer, Testem zasad i Packet Capture.

Typowe błędy

Jeśli reguła nie jest dopasowana, problem często dotyczy oznaczania strefy, sieci źródłowej, bramy lub przełącznika. Artykuł Sophos Firewall nie ma zastosowania: sprawdź przyczyny pomaga w rozróżnieniu.

Kontrola działania

Aby produktywne VLANs, nie tylko początkowa konfiguracja powinna być prawidłowa. Ważne jest, aby późniejsi administratorzy mogli zrozumieć, dlaczego VLAN istnieje i jakie zasady do niego należą.

Powinieneś udokumentować:

• VLAN Identyfikator, nazwę i podsieć
• Interfejs nadrzędny i łącze przełączające
• Strefa i cel bezpieczeństwa
• DHCP źródło i DNS serwer
• dozwolone docelowe strefy i usługi
• NAT decyzja
• odpowiedzialny właściciel
• klient testowy lub procedura testowa
• data ostatniego sprawdzenia reguły

W przypadku większych środowisk warto także zastosować prostą matrycę dostępu. Taka macierz pokazuje, które VLAN mogą ze sobą rozmawiać, a które celowo pozostają oddzielone.

Prosta macierz dostępu może wyglądać następująco:

Ta macierz jest często ważniejsza niż sama lista VLAN. Zapobiega to późniejszemu tworzeniu ogólnych reguł, które w rzeczywistości unieważniają segmentację.

Często zadawane pytania