Melhores práticas de VLAN e Dicas de segurança para roteadores comerciais Cisco

Introduction

Quer tornar sua rede empresarial mais eficiente e, ao mesmo tempo, mantê-la segura? Uma das maneiras de fazer isso é configurar corretamente as redes locais virtuais (VLANs).

Uma VLAN é um grupo lógico de estações de trabalho, servidores e dispositivos de rede que parecem estar na mesma LAN (Local Area Network, rede local) apesar de sua distribuição geográfica. Em resumo, o hardware nas mesmas VLANs permite que o tráfego entre os equipamentos seja separado e mais seguro.

Por exemplo, você pode ter um departamento de Engenharia, Marketing e Contabilidade. Cada departamento tem funcionários em diferentes andares do prédio, mas eles ainda precisam acessar e comunicar informações em seu próprio departamento. É essencial para o compartilhamento de documentos e serviços da Web.

As VLANs precisam ser configuradas com as melhores práticas para manter sua rede segura. Faça as seguintes opções inteligentes ao configurar VLANs. Você não vai se arrepender!

Prática recomendada nº 1 - Atribuição de porta de VLAN

Conceitos básicos da atribuição de portas

• Cada porta LAN pode ser definida como uma porta de acesso ou porta de tronco.
• As VLANs que você não deseja no tronco devem ser excluídas.
• Uma VLAN pode ser colocada em mais de uma porta.

Configurando portas de acesso

• Uma VLAN atribuída a uma porta LAN
• A VLAN atribuída a esta porta deve ser rotulada como Não Marcada
• Todas as outras VLANs devem ser rotuladas como excluídas dessa porta

Para defini-las corretamente, navegue até LAN > VLAN Settings. Selecione as IDs da VLAN e clique no ícone de edição. Selecione o menu suspenso para qualquer uma das interfaces LAN para VLANs listadas para editar a marcação de VLAN. Clique em Apply.

Confira este exemplo de cada VLAN atribuída a sua própria porta LAN:

Essa imagem da interface gráfica do usuário (GUI) foi tirada de um roteador RV260W. Suas opções podem parecer um pouco diferentes. Por exemplo, na série RV34x, os rótulos Untagged, Excluded e Tagged são abreviados como apenas a primeira letra. O processo ainda é o mesmo.

Configurando portas de tronco

• Duas ou mais VLANs compartilham uma porta LAN
• Uma das VLANs pode ser rotulada como Não rotulada.
• O restante das VLANs que fazem parte da porta de tronco deve ser rotulado como Marcado.
• As VLANs que não fazem parte da porta de tronco devem ser rotuladas como excluídas para essa porta.

Veja este exemplo de várias VLANs que estão todas em portas de tronco. Para defini-las corretamente, selecione as IDs de VLAN que precisam ser editadas. Clique no ícone de edição. Altere-os com base nas suas necessidades, seguindo as recomendações acima. A propósito, você observou que a VLAN 1 é excluída de cada porta de LAN? Isso será explicado na seção Práticas recomendadas para a VLAN 1 padrão.

Perguntas mais freqüentes

Por que uma VLAN não é marcada quando é a única VLAN nessa porta?

Como há apenas uma VLAN atribuída em uma porta de acesso, o tráfego de saída da porta é enviado sem nenhuma marca de VLAN nos quadros. Quando o quadro alcança a porta do switch (tráfego de entrada), o switch adicionará a marca da VLAN. 

Por que as VLANs são marcadas quando fazem parte de um tronco?

Isso é feito para que o tráfego que passa não seja enviado para a VLAN errada nessa porta. As VLANs estão compartilhando essa porta. Semelhante aos números de apartamentos adicionados a um endereço para garantir que o e-mail vá para o apartamento correto dentro desse prédio compartilhado.

Por que o tráfego permanece sem marcação quando faz parte da VLAN nativa? 

Uma VLAN nativa é uma forma de transportar tráfego não marcado através de um ou mais switches. O switch atribui qualquer quadro não marcado que chega em uma porta rotulada à VLAN nativa. Se um quadro na VLAN nativa deixar uma porta de tronco (rotulada), o switch retira a marca da VLAN.

Por que as VLANs são excluídas quando não estão nessa porta?

Isso mantém o tráfego nesse tronco somente para as VLANs que o usuário especificamente deseja. É considerada uma boa prática.

Prática recomendada nº 2 - VLAN 1 padrão e portas não utilizadas

Todas as portas precisam ser atribuídas a uma ou mais VLAN, incluindo a VLAN nativa. Os roteadores Cisco Business vêm com a VLAN 1 atribuída a todas as portas por padrão.

Uma VLAN de gerenciamento é a VLAN usada para gerenciar, controlar e monitorar remotamente os dispositivos na sua rede usando Telnet, SSH, SNMP, syslog ou FindIT da Cisco. Por padrão, essa também é a VLAN 1. Uma boa prática de segurança é separar o gerenciamento e o tráfego de dados do usuário. Portanto, é recomendável que, ao configurar VLANs, você use VLAN 1 somente para fins de gerenciamento.

Para se comunicar remotamente com um switch Cisco para fins de gerenciamento, o switch deve ter um endereço IP configurado na VLAN de gerenciamento. Os usuários em outras VLANs não seriam capazes de estabelecer sessões de acesso remoto ao switch a menos que fossem roteados para a VLAN de gerenciamento, fornecendo uma camada adicional de segurança. Além disso, o switch deve ser configurado para aceitar apenas sessões SSH criptografadas para gerenciamento remoto. Para ler algumas discussões sobre este tópico, clique nos links a seguir no site da Comunidade Cisco:

• Discussão sobre VLAN de gerenciamento nº 1
• Discussão sobre VLAN de gerenciamento nº 2

Perguntas mais freqüentes

Por que a VLAN 1 padrão não é recomendada para segmentar virtualmente sua rede?

A principal razão é que os agentes hostis sabem que a VLAN 1 é o padrão e frequentemente usada. Eles podem usá-lo para obter acesso a outras VLANs através de "salto de VLAN". Como o nome indica, o ator hostil pode enviar tráfego falsificado que se posiciona como VLAN 1, permitindo o acesso às portas de tronco e, portanto, a outras VLANs.

Posso deixar uma porta não utilizada atribuída à VLAN 1 padrão?

Para manter sua rede segura, você não deve. Recomenda-se configurar todas essas portas para serem associadas a VLANs diferentes da VLAN 1 padrão.

Não quero atribuir nenhuma de minhas VLANs de produção a uma porta não utilizada. O que eu posso fazer?

É recomendável criar uma VLAN "dead-end" seguindo as instruções da próxima seção deste artigo.

Prática recomendada nº 3 - Criar uma VLAN "Dead End" para portas não utilizadas

Etapa 1. Navegue até LAN > VLAN Settings.

Escolha qualquer número aleatório para a VLAN. Certifique-se de que essa VLAN não tenha DHCP, roteamento entre VLANs ou gerenciamento de dispositivos habilitados. Isso mantém as outras VLANs mais seguras. Coloque qualquer porta LAN não utilizada nesta VLAN. No exemplo abaixo, a VLAN 777 foi criada e atribuída à LAN5. Isso deve ser feito com todas as portas LAN não utilizadas.

Etapa 2. Clique no botão Aplicar para salvar as alterações de configuração feitas por você.

Prática recomendada nº 4 - Telefones IP em uma VLAN

O tráfego de voz tem requisitos rigorosos de qualidade de serviço (QoS). Se a sua empresa tiver computadores e telefones IP na mesma VLAN, cada um tentará usar a largura de banda disponível sem considerar o outro dispositivo. Para evitar esse conflito, é uma boa prática usar VLANs separadas para tráfego de voz e dados de telefonia IP. Para saber mais sobre essa configuração, consulte os seguintes artigos e vídeos:

• Cisco Tech Talk: Configuração e configuração de VLAN de voz usando produtos Cisco Small Business (vídeo)
• Configurando a VLAN de voz automática com QoS no switch SG500 Series
• Configuração de VLAN de voz nos switches gerenciados 200/300 Series
• Cisco Tech Talk: Configurando a VLAN de Voz Automática nos Switches SG350 e SG550 Series (vídeo)

Prática recomendada nº 5 - Roteamento entre VLANs

As VLANs são configuradas para que o tráfego possa ser separado, mas às vezes você precisa que as VLANs possam rotear entre si. Esse é o roteamento entre VLANs e geralmente não é recomendado. Se isso for necessário para sua empresa, configure-a o mais seguro possível. Ao usar o roteamento entre VLANs, certifique-se de restringir o tráfego usando ACLs (Access Control Lists, listas de controle de acesso) para servidores que contêm informações confidenciais.

As ACLs executam a filtragem de pacotes para controlar a movimentação de pacotes através de uma rede. A filtragem de pacotes fornece segurança limitando o acesso do tráfego a uma rede, restringindo o acesso de usuários e dispositivos a uma rede e impedindo que o tráfego saia de uma rede. As listas de acesso IP reduzem a chance de falsificação e ataques de negação de serviço e permitem acesso de usuário dinâmico e temporário por meio de um firewall.

• Roteamento entre VLANs em um roteador RV34x com restrições de ACL direcionadas
• Cisco Tech Talk: Configurando o roteamento entre VLANs em switches SG250 Series (vídeo)
• Cisco Tech Talk: Configuração entre VLANs em RV180 e RV180W (vídeo)
• Limitação de acesso entre VLANs RV34x (correção de bug CSCvo92300)

Conclusão

Aqui está, agora você conhece algumas práticas recomendadas para configurar VLANs seguras. Lembre-se dessas dicas ao configurar VLANs para sua rede. Listados abaixo estão alguns artigos que têm instruções passo a passo. Isso o manterá em direção a uma rede produtiva e eficiente, ideal para a sua empresa.

• Definindo configurações de VLAN no RV160 e RV260
• Definir as configurações de rede local virtual (VLAN) em um roteador RV34x Series
• Configurar a participação de VLAN nos roteadores VPN RV320 e RV325
• Configurar a associação da rede local virtual (VLAN) em um roteador da série RV
• Configurar o endereço IPv4 da interface VLAN em um switch Sx350 ou SG350X através da CLI