Paljudes väikekontorites on kõik seadmed – arvutid, printerid, kaamerad, külaliste telefonid – ühes võrgus. Kui üks neist nakatub, pääseb ründaja otse ka raamatupidamise arvutite ja serveri juurde. VLAN-idega jagate võrgu osadeks ning FortiGate otsustab tulemüüri reeglitega, kes kuhu ligi pääseb.
Miks võrku segmenteerida
- Häkitud IP-kaamera või nutiteler ei näe arvuteid ega faile, sest selle VLAN-ist pole sinna reeglit.
- Külalised saavad ainult internetti ega näe ühtegi kontori seadet.
- Lunavara levib ühes võrgus kiiresti; segmenteerimine piirab kahju.
- Liiklus on paremini nähtav: FortiGate logib VLAN-ide vahelise liikluse ja selle saab ka turvaprofiilidega kontrollida.
Tüüpiline VLAN-plaan väikekontorile
| VLAN ID | Nimi | Alamvõrk (näide) | Kellele | Ligipääs |
|---|---|---|---|---|
| 10 | STAFF | 10.0.10.0/24 | Töötajate arvutid | Internet, printerid, serverid |
| 20 | SERVERS | 10.0.20.0/24 | Server, NAS | Ainult vajalikud pordid STAFF-ist |
| 30 | PRINT-IOT | 10.0.30.0/24 | Printerid, kaamerad, ekraanid | Ei algata ühendusi STAFF-i |
| 40 | VOICE | 10.0.40.0/24 | IP-telefonid | Internet, telefonikeskus |
| 50 | GUEST | 10.0.50.0/24 | Külalised | Ainult internet |
Numbrid ja aadressid on näited; oluline on, et plaan oleks dokumenteeritud ja alamvõrgud ei kattuks kodukontorite ega VPN-võrkudega.
VLAN-ide loomine ja portide määramine
FortiSwitch on FortiGate’iga ühendatud FortiLink’i kaudu ja seda hallatakse otse FortiGate’ist (WiFi & Switch Controller → Managed FortiSwitches).
- Avage WiFi & Switch Controller → FortiSwitch VLANs ja valige Create New.
- Sisestage nimi ja VLAN ID; liideseks on FortiLink-liides.
- Määrake FortiGate’i IP-aadress selles VLAN-is (see on seadmete vaikelüüs) ja lubage DHCP Server.
- Lubage Administrative Access all ainult see, mida vaja – külaliste ja IoT VLAN-is ei tohi olla HTTPS-i ega SSH-d.
- Korrake iga VLAN-i jaoks.
Seejärel avage WiFi & Switch Controller → FortiSwitch Ports. Iga pordi juures on kaks olulist välja:
- Native VLAN – sildistamata (untagged) VLAN. Tavalise arvuti, printeri või kaamera pordis on see seadme VLAN, nt printeri pordis PRINT-IOT.
- Allowed VLANs – sildistatud (tagged) VLAN-id. Neid on vaja nt pordis, kus on FortiAP mitme SSID-ga, või IP-telefonil, mille taga on arvuti (telefon VOICE tagged, arvuti STAFF native).
Märkige portidele kirjeldus („Printer 2. korrus“), siis on hiljem selge, mis kuhu ühendatud on. Kasutamata pordid pange eraldi tühja VLAN-i või lülitage välja.
Reeglid VLAN-ide vahel
VLAN-ide vaheline liiklus läbib FortiGate’i, nii et vaikimisi on see keelatud, kuni lisate reegli menüüs Policy & Objects → Firewall Policy:
- STAFF → internet ja STAFF → PRINT-IOT (nt ainult printimise pordid);
- STAFF → SERVERS ainult vajalike teenustega (nt SMB, RDP);
- GUEST → internet, ilma ühegi reeglita sisevõrku;
- PRINT-IOT → internet ainult siis, kui seade seda tõesti vajab (püsivara uuendused, pilveteenus).
Lisaks saab kasutada NAC Policies funktsiooni (WiFi & Switch Controller → NAC Policies), mis paigutab seadme näiteks tootja või MAC-aadressi järgi automaatselt õigesse VLAN-i, ning porditurvet 802.1X-iga, et võõras seade võrku ei pääseks.
Levinud vead
- Lubav reegel „all → all“ VLAN-ide vahel – siis pole segmenteerimisest kasu.
- Printer või skanner jääb pärast VLAN-i vahetust leidmatuks, sest mDNS/broadcast ei liigu üle VLAN-ide; lisage printer arvutitesse IP-aadressiga.
- FortiAP pordis on SSID-de VLAN-id lisamata Allowed VLANs alla.
- Haldusligipääs (HTTPS, SSH) on lubatud külaliste või IoT VLAN-is.
- Muudatusi tehakse tööajal ilma varuplaanita – vale native VLAN võib hetkega katkestada kogu korruse ühenduse.
Millal kutsuda abi
Kui võrgus on server, IP-telefonid või palju erinevaid seadmeid, tasub VLAN-plaan enne muudatusi spetsialistiga läbi arutada ja üleminek teha väljaspool tööaega. ITABIKS seadistab FortiGate’i ja FortiSwitchi lahendusi; helistage +372 53 888 229.