Para parceiros
O objetivo deste artigo é explicar os conceitos e as etapas para executar as melhores práticas e dicas de segurança ao configurar VLANs em equipamentos comerciais da Cisco.
Quer tornar sua rede empresarial mais eficiente e, ao mesmo tempo, mantê-la segura? Uma das maneiras de fazer isso é configurar corretamente as redes locais virtuais (VLANs).
Uma VLAN é um grupo lógico de estações de trabalho, servidores e dispositivos de rede que parecem estar na mesma LAN (Local Area Network, rede local) apesar de sua distribuição geográfica. Em resumo, o hardware nas mesmas VLANs permite que o tráfego entre os equipamentos seja separado e mais seguro.
Por exemplo, você pode ter um departamento de Engenharia, Marketing e Contabilidade. Cada departamento tem funcionários em diferentes andares do prédio, mas eles ainda precisam acessar e comunicar informações em seu próprio departamento. É essencial para o compartilhamento de documentos e serviços da Web.
As VLANs precisam ser configuradas com as melhores práticas para manter sua rede segura. Faça as seguintes opções inteligentes ao configurar VLANs. Você não vai se arrepender!
Porta de acesso: Uma porta de acesso transporta tráfego para apenas uma VLAN. As portas de acesso são frequentemente chamadas de portas não marcadas, pois há apenas uma VLAN nessa porta e o tráfego pode ser passado sem marcas.
Porta de tronco: Uma porta em um switch que transporta tráfego para mais de uma VLAN. As portas de tronco são frequentemente chamadas de portas marcadas, pois há mais de uma VLAN nessa porta e o tráfego para todas, exceto uma VLAN, precisa ser marcado.
VLAN nativo: A única VLAN em uma porta de tronco que não recebe uma marca. Qualquer tráfego que não tenha uma marca será enviado para a VLAN nativa. É por isso que ambos os lados de um tronco precisam ter a mesma VLAN nativa ou o tráfego não vai para o lugar correto.
Para defini-las corretamente, navegue até LAN > VLAN Settings. Selecione as IDs da VLAN e clique no ícone de edição. Selecione o menu suspenso para qualquer uma das interfaces LAN para VLANs listadas para editar a marcação de VLAN. Clique em Apply.
Confira este exemplo de cada VLAN atribuída a sua própria porta LAN:
Veja este exemplo de várias VLANs que estão todas em portas de tronco. Para defini-las corretamente, selecione as IDs de VLAN que precisam ser editadas. Clique no ícone de edição. Altere-os com base nas suas necessidades, seguindo as recomendações acima. A propósito, você observou que a VLAN 1 é excluída de cada porta de LAN? Isso será explicado na seção Práticas recomendadas para a VLAN 1 padrão.
Por que uma VLAN não é marcada quando é a única VLAN nessa porta?
Como há apenas uma VLAN atribuída em uma porta de acesso, o tráfego de saída da porta é enviado sem nenhuma marca de VLAN nos quadros. Quando o quadro alcança a porta do switch (tráfego de entrada), o switch adicionará a marca da VLAN.
Por que as VLANs são marcadas quando fazem parte de um tronco?
Isso é feito para que o tráfego que passa não seja enviado para a VLAN errada nessa porta. As VLANs estão compartilhando essa porta. Semelhante aos números de apartamentos adicionados a um endereço para garantir que o e-mail vá para o apartamento correto dentro desse prédio compartilhado.
Por que o tráfego permanece sem marcação quando faz parte da VLAN nativa?
Uma VLAN nativa é uma forma de transportar tráfego não marcado através de um ou mais switches. O switch atribui qualquer quadro não marcado que chega em uma porta rotulada à VLAN nativa. Se um quadro na VLAN nativa deixar uma porta de tronco (rotulada), o switch retira a marca da VLAN.
Por que as VLANs são excluídas quando não estão nessa porta?
Isso mantém o tráfego nesse tronco somente para as VLANs que o usuário especificamente deseja. É considerada uma boa prática.
Todas as portas precisam ser atribuídas a uma ou mais VLAN, incluindo a VLAN nativa. Os roteadores Cisco Business vêm com a VLAN 1 atribuída a todas as portas por padrão.
Uma VLAN de gerenciamento é a VLAN usada para gerenciar, controlar e monitorar remotamente os dispositivos na sua rede usando Telnet, SSH, SNMP, syslog ou FindIT da Cisco. Por padrão, essa também é a VLAN 1. Uma boa prática de segurança é separar o gerenciamento e o tráfego de dados do usuário. Portanto, é recomendável que, ao configurar VLANs, você use VLAN 1 somente para fins de gerenciamento.
Para se comunicar remotamente com um switch Cisco para fins de gerenciamento, o switch deve ter um endereço IP configurado na VLAN de gerenciamento. Os usuários em outras VLANs não seriam capazes de estabelecer sessões de acesso remoto ao switch a menos que fossem roteados para a VLAN de gerenciamento, fornecendo uma camada adicional de segurança. Além disso, o switch deve ser configurado para aceitar apenas sessões SSH criptografadas para gerenciamento remoto. Para ler algumas discussões sobre este tópico, clique nos links a seguir no site da Comunidade Cisco:
Por que a VLAN 1 padrão não é recomendada para segmentar virtualmente sua rede?
A principal razão é que os agentes hostis sabem que a VLAN 1 é o padrão e frequentemente usada. Eles podem usá-lo para obter acesso a outras VLANs através de "salto de VLAN". Como o nome indica, o ator hostil pode enviar tráfego falsificado que se posiciona como VLAN 1, permitindo o acesso às portas de tronco e, portanto, a outras VLANs.
Posso deixar uma porta não utilizada atribuída à VLAN 1 padrão?
Para manter sua rede segura, você não deve. Recomenda-se configurar todas essas portas para serem associadas a VLANs diferentes da VLAN 1 padrão.
Não quero atribuir nenhuma de minhas VLANs de produção a uma porta não utilizada. O que eu posso fazer?
É recomendável criar uma VLAN "dead-end" seguindo as instruções da próxima seção deste artigo.
Etapa 1. Navegue até LAN > VLAN Settings.
Escolha qualquer número aleatório para a VLAN. Certifique-se de que essa VLAN não tenha DHCP, roteamento entre VLANs ou gerenciamento de dispositivos habilitados. Isso mantém as outras VLANs mais seguras. Coloque qualquer porta LAN não utilizada nesta VLAN. No exemplo abaixo, a VLAN 777 foi criada e atribuída à LAN5. Isso deve ser feito com todas as portas LAN não utilizadas.
Etapa 2. Clique no botão Aplicar para salvar as alterações de configuração feitas por você.
O tráfego de voz tem requisitos rigorosos de qualidade de serviço (QoS). Se a sua empresa tiver computadores e telefones IP na mesma VLAN, cada um tentará usar a largura de banda disponível sem considerar o outro dispositivo. Para evitar esse conflito, é uma boa prática usar VLANs separadas para tráfego de voz e dados de telefonia IP. Para saber mais sobre essa configuração, consulte os seguintes artigos e vídeos:
As VLANs são configuradas para que o tráfego possa ser separado, mas às vezes você precisa que as VLANs possam rotear entre si. Esse é o roteamento entre VLANs e geralmente não é recomendado. Se isso for necessário para sua empresa, configure-a o mais seguro possível. Ao usar o roteamento entre VLANs, certifique-se de restringir o tráfego usando ACLs (Access Control Lists, listas de controle de acesso) para servidores que contêm informações confidenciais.
As ACLs executam a filtragem de pacotes para controlar a movimentação de pacotes através de uma rede. A filtragem de pacotes fornece segurança limitando o acesso do tráfego a uma rede, restringindo o acesso de usuários e dispositivos a uma rede e impedindo que o tráfego saia de uma rede. As listas de acesso IP reduzem a chance de falsificação e ataques de negação de serviço e permitem acesso de usuário dinâmico e temporário por meio de um firewall.
Aqui está, agora você conhece algumas práticas recomendadas para configurar VLANs seguras. Lembre-se dessas dicas ao configurar VLANs para sua rede. Listados abaixo estão alguns artigos que têm instruções passo a passo. Isso o manterá em direção a uma rede produtiva e eficiente, ideal para a sua empresa.
Revisão | Data de publicação | Comentários |
---|---|---|
1.0 |
27-Jan-2020 |
Versão inicial |