Podziel sieć według funkcji i ryzyka
Typowe segmenty obejmują użytkowników, serwery, administrację, drukarki, telefonię, Wi-Fi gościnne, IoT, monitoring, kontrolę dostępu i środowiska OT. Podział powinien wynikać z potrzeb komunikacyjnych i poziomu zaufania, a nie tylko z fizycznej lokalizacji.
Zbyt mała liczba segmentów zwiększa zasięg incydentu, natomiast nadmiernie skomplikowany podział utrudnia utrzymanie. Potrzebny jest kompromis między bezpieczeństwem, przejrzystością i kosztami administracji.
Zdefiniuj komunikację między strefami
Dla każdej pary segmentów należy określić, czy komunikacja jest potrzebna, w jakim kierunku, na jakich usługach i przez jaki punkt kontroli. Domyślna blokada z precyzyjnymi wyjątkami jest czytelniejsza niż szerokie reguły dopuszczające.
Routing może odbywać się na firewallu, przełączniku warstwy trzeciej lub w architekturze mieszanej. Wybór wpływa na wydajność, widoczność i możliwość stosowania zaawansowanych profili bezpieczeństwa.
Uwzględnij urządzenia i tożsamość
NAC, 802.1X, profile urządzeń i uwierzytelnianie użytkowników mogą dynamicznie przypisywać dostęp. Jest to szczególnie przydatne w sieciach z urządzeniami mobilnymi, gośćmi lub dużą rotacją sprzętu.
Urządzenia bez nowoczesnych mechanizmów uwierzytelniania można umieszczać w wydzielonych strefach i ograniczać ich komunikację do niezbędnych serwerów.
Dokumentuj i testuj
Schemat powinien zawierać adresację, VLAN ID, bramy, strefy, reguły komunikacji i odpowiedzialność za każdy segment. Po wdrożeniu należy sprawdzić zarówno dozwolone usługi, jak i próby połączeń, które powinny być blokowane.
Zmiany w segmentacji mogą wpływać na systemy korzystające z rozgłoszeń, stałych adresów lub niestandardowych portów. Dlatego migrację warto prowadzić etapami i obserwować logi.
Informacje, które warto zebrać.
- lista typów użytkowników i urządzeń
- strefy zaufania oraz poziom ryzyka
- macierz wymaganych połączeń
- miejsce routingu i egzekwowania polityk
- DHCP, DNS, NTP i inne usługi wspólne
- Wi-Fi gościnne, IoT, kamery i OT
- NAC lub 802.1X
- dokumentacja i testy blokad
Najczęstsze pytania
Czy VLAN zabezpiecza ruch?
VLAN rozdziela logicznie sieć, ale do kontroli komunikacji potrzebne są ACL, firewall lub inne mechanizmy egzekwowania polityk.
Czy wszystkie VLAN powinny przechodzić przez firewall?
Nie zawsze. Zależy to od wymaganej widoczności, wydajności, ryzyka i architektury.
Jak migrować płaską sieć?
Najlepiej etapami: inwentaryzacja, projekt stref, pilotaż, migracja grup urządzeń i stopniowe ograniczanie komunikacji.