English · Ελληνικά
Όλοι ξέρουν ότι πρέπει να «χρησιμοποιούν VLANs». Πολύ λιγότεροι μπορούν να απαντήσουν πόσα, ποια, γιατί, και πού πηγαίνουν τα όρια. Το segmentation δεν είναι ένα feature που ενεργοποιείς — είναι ένας σχεδιασμός που σκέφτεσαι με βάση την εμπιστοσύνη και το blast-radius. Αυτό είναι το πώς σχεδιάζεις τις ζώνες πριν κονφιγκουράρεις έστω και μία.
Το segmentation υπάρχει για να περιορίζει το blast radius: όταν — όχι αν — μια συσκευή παραβιαστεί, πόσο μακριά μπορεί να φτάσει ο επιτιθέμενος; Ένα επίπεδο δίκτυο απαντάει «παντού». Το καλό segmentation απαντάει «τη μία ζώνη όπου βρισκόταν αυτή η συσκευή». Το ερώτημα σχεδιασμού λοιπόν δεν είναι «πόσα VLANs υποστηρίζει ο vendor» αλλά «ποιες είναι οι ζώνες εμπιστοσύνης μου, και τι επιτρέπεται να περνάει ανάμεσά τους;» Κάθε VLAN, VRF, κανόνας firewall, και πολιτική 802.1X είναι απλά η υλοποίηση αυτής της απάντησης.
Η μέθοδος είναι τρία βήματα: απαρίθμησε τις ζώνες εμπιστοσύνης ανάλογα με το ποιος/τι ζει εκεί και πόσο το εμπιστεύεσαι· όρισε την πολιτική inter-zone ως default-deny με ρητά, ελάχιστα allow· και διάλεξε το layer επιβολής για κάθε όριο (VLAN + ACL, VRF, firewall, ή host isolation). Αυτό το post είναι ο σχεδιασμός· οι υλοποιήσεις είναι τα posts VLAN, ACL, port-security, και 802.1X, και οδηγεί φυσικά στο zero-trust.
01
Κατέγραψε κάθε κατηγορία συσκευής ανάλογα με το πόσο την εμπιστεύεσαι και πόσο ευαίσθητη είναι. Οι ζώνες βγαίνουν από αυτό το πλέγμα — μην ξεκινάς από αριθμό VLAN, ξεκίνα από εμπιστοσύνη.
Μια ζώνη είναι ένα σύνολο συσκευών που μοιράζονται ένα επίπεδο εμπιστοσύνης και έναν σκοπό. Το κλασικό σετ για επιχειρήσεις: guests (μη έμπιστοι, μόνο internet), staff/corporate (έμπιστοι χρήστες), servers/PMS (ευαίσθητα δεδομένα — κάρτες, αρχεία), CCTV/IoT (αδύναμα, σπάνια patched, επικίνδυνα αν παραβιαστούν), VoIP (χρειάζεται QoS + isolation), OT/BMS (συστήματα κτιρίου/βιομηχανικά — ποτέ στο δίκτυο γραφείου), και μια ζώνη management για τις ίδιες τις συσκευές δικτύου. Δεν τα έχει όλα αυτά κάθε site, και κάποια χωρίζονται περαιτέρω — αλλά το να τα ονομάσεις με βάση την εμπιστοσύνη είναι αυτό που σου λέει πού πηγαίνουν οι τοίχοι.
Δύο κατηγορίες συσκευών ανήκουν σε διαφορετικές ζώνες αν η απάντηση στο «θα έπρεπε μια παραβίαση της μίας να μπορεί να φτάσει την άλλη;» είναι όχι. Ένα laptop guest που φτάνει τον καταγραφέα CCTV: όχι → ξεχωριστές ζώνες. Δύο PC reception που φτάνουν το ένα το άλλο: εντάξει → ίδια ζώνη. IoT που φτάνει το internet αλλά τίποτα εσωτερικό: δική του ζώνη με πολιτική μόνο-internet. Εφάρμοσε αυτό το ένα ερώτημα σε όλο το inventory συσκευών σου και ο χάρτης ζωνών σχεδιάζεται μόνος του — καθόλου μαντεψιά για το «πόσα VLANs».
02
Η πολιτική είναι ένας πίνακας: εξ ορισμού τίποτα δεν περνάει τα όρια ζωνών, και προσθέτεις τα λίγα flows που πρέπει. Αν δεν μπορείς να ονομάσεις γιατί υπάρχει ένα flow, δεν υπάρχει.
Σχεδίασε τις ζώνες σε έναν άξονα και στον άλλο· κάθε κελί είναι μια πολιτική. Ξεκίνα κάθε κελί στο deny, μετά άνοιξε τη χούφτα που πραγματικά χρειάζεται η επιχείρηση: staff → PMS (κρατήσεις), staff → CCTV (παρακολούθηση), VoIP → PBX, όλα → internet (εκτός CCTV/OT). Η πειθαρχία είναι ότι κάθε allow είναι συγκεκριμένο (ζώνη προέλευσης, host/port προορισμού) και δικαιολογημένο. Ένας κανόνας που δεν μπορείς να εξηγήσεις είναι κανόνας που θα χρησιμοποιήσει ένας επιτιθέμενος.
| Απο → Προς | Πολιτικη |
|---|---|
| Guest → οτιδήποτε εσωτερικό | Deny (μόνο internet) |
| Staff → PMS/servers | Allow συγκεκριμένα ports (app, print) |
| Staff → CCTV | Allow μόνο το port παρακολούθησης |
| CCTV/IoT → internet | Deny (απομακρυσμένη προβολή μέσω VPN) |
| Οποιαδήποτε → Ζώνη Management | Deny εκτός από το host admin |
| OT/BMS ↔ γραφείο | Deny και προς τις δύο κατευθύνσεις |
03
Δεν επιβάλλεται κάθε όριο με τον ίδιο τρόπο. Ταίριαξε τον μηχανισμό με το όριο — VLAN+ACL για τα περισσότερα, firewall για τα υψηλού διακυβεύματος, host isolation μέσα σε κοινή ζώνη.
| Αναγκη οριου | Επιβολη με |
|---|---|
| Ξεχωριστά broadcast domains + βασικό φιλτράρισμα inter-zone | VLAN + SVI ACL |
| Stateful, καταγεγραμμένο, υψηλού διακυβεύματος (guest↔servers, DMZ) | Firewall / zone-based |
| Πλήρης απομόνωση routing/table (multi-tenant) | VRF |
| Συσκευή-προς-συσκευή μέσα σε μία ζώνη (guests) | Client isolation / horizon |
| Ποιος επιτρέπεται καθόλου σε ένα port | 802.1X / MAB |
| Rogue-DHCP / ARP spoofing μέσα σε μια ζώνη | DHCP snooping + DAI |
Η κλασική αποτυχία: τα VLANs είναι ρυθμισμένα, όλοι νιώθουν segmented, και το inter-VLAN routing στο core προωθεί ευτυχώς τα πάντα ανάμεσά τους γιατί δεν εφαρμόστηκε κανένα ACL. Ένα VLAN είναι όριο broadcast-domain, όχι όριο ασφαλείας — το όριο ασφαλείας είναι η πολιτική στο σημείο routing/firewall. Παρομοίως, το να απομονώνεις ζώνες αλλά να αφήνεις ανοιχτή την κίνηση guest-προς-guest μέσα στο VLAN guest (χωρίς client isolation) αφήνει όλο τον πληθυσμό guest εκτεθειμένο ο ένας στον άλλο. Απόδειξε κάθε όριο δοκιμάζοντας από τη λάθος πλευρά: από το Wi-Fi guest, μπορείς να φτάσεις το PMS; Αν ναι, είναι διακόσμηση.
04
Ένας σχεδιασμός segmentation που κανείς δεν μπορεί να διαβάσει διαβρώνεται σε έξι μήνες. Κωδικοποίησε τη ζώνη μέσα στο πλάνο διευθύνσεων και τα ονόματα ώστε η πρόθεση να επιβιώνει την εναλλαγή προσωπικού.
Κάνε το τρίτο octet το VLAN/ζώνη ώστε μια διεύθυνση να σου λέει τη ζώνη της με μια ματιά (10.10.20.x = VLAN 20 = guest), κράτα έναν πίνακα μία-γραμμή-ανά-ζώνη στο runbook, και ονόμασε interfaces και αντικείμενα firewall με βάση τις ζώνες (GUEST-IN, PMS-SRV) όχι αριθμούς. Το segmentation είναι τόσο καλό όσο η ικανότητα του επόμενου μηχανικού να το καταλάβει χωρίς εσένα — το έγγραφο σχεδιασμού και ένα ευανάγνωστο πλάνο διευθύνσεων είναι μέρος της αρχιτεκτονικής, όχι μεταγενέστερη σκέψη.
Βασικα Συμπερασματα
Σχεδιάζω ζώνες εμπιστοσύνης και όρια default-deny, μετά κάνω το κομμάτι που τα περισσότερα segmentation projects παραλείπουν — προσπαθώ να τα σπάσω από τη λάθος πλευρά πριν πω ότι η δουλειά τελείωσε.
Κλεισε μια Discovery Call →