Kaip projektuojame VLAN tinklą gamybinėje įmonėje

Kodėl gamybos tinkle neužtenka vieno LAN?

Tipinėje įmonėje tame pačiame fiziniame tinkle atsiranda darbuotojų kompiuteriai, serveriai, spausdintuvai, kameros, NVR, Wi‑Fi, telefonai, valdikliai, robotai, apskaitos terminalai ir rangovų įranga. Jei visi jie yra viename L2 segmente, vieno įrenginio kompromitavimas ar net paprasta konfigūracijos klaida gali turėti daug didesnį poveikį.

CISA rekomenduoja stiprią tinklo segmentaciją naudojant ACL, stateful firewall ir VLAN/PVLAN kaip defense-in-depth dalį. MikroTik RouterOS savo ruožtu turi VLAN-aware bridge, ingress filtering ir frame-type kontrolę, tačiau pats gamintojas pabrėžia, kad neteisinga Bridge VLAN konfigūracija gali sukelti ir saugumo, ir našumo problemų. citeturn0search2turn0search0

Pavyzdinė architektūra: ne VLAN skaičius, o funkcijos

Žemiau – pavyzdinis, anonimizuotas modelis. VLAN numeriai nėra standartas: realiame projekte juos parenkame pagal esamą infrastruktūrą, filialus, IP planą ir administravimo taisykles.

                         INTERNET
                            │
                    ┌──── MikroTik ────┐
                    │ routing/firewall │
                    └────────┬─────────┘
                             │ 802.1Q trunk
                       ┌─────┴─────┐
                       │ Core switch│
                       └─────┬─────┘
        ┌──────────┬─────────┼──────────┬──────────┐
     Office     Servers   Production  Cameras    Wi-Fi/AP
       │           │          │          │          │
   PC/users      AD/DNS     PLC/robot   NVR      Corp SSID → Office
                                                  Guest SSID → Guest

 Management VLAN → tik IT administravimui
 Backup VLAN     → atskirta nuo vartotojų ir mažiau patikimų įrenginių

Firewall: VLAN be taisyklių nėra saugumo strategija

Vien VLAN sukūrimas tik atskiria broadcast domenus. Tikroji kontrolė atsiranda L3 lygyje: tarp segmentų turi būti aiškios firewall taisyklės. Mūsų pradinis principas – default deny tarp skirtingo pasitikėjimo zonų, o tada leidžiame konkrečius srautus pagal verslo poreikį.

Trunk ir access portai: kur dažniausiai suklystama

RouterOS Bridge VLAN Filtering naudoja VLAN lentelę, PVID, tagged/untagged portus, ingress filtering ir frame-types. Access porte nepažymėtas srautas priskiriamas PVID, o trunk porte perduodami pažymėti VLAN. MikroTik rekomenduoja naudoti ingress filtering ir tinkamai apriboti, kokio tipo kadrai leidžiami porte. citeturn0search0turn0search1

UniFi Wi‑Fi: SSID taip pat turi patekti į tinkamą zoną

Wi‑Fi nėra atskiras pasaulis. Darbuotojų SSID paprastai priskiriame Office ar specialiam Corporate VLAN, svečių SSID – Guest VLAN, o IoT SSID – IoT segmentui. Taip svečio telefonas ar pigus IoT įrenginys fiziškai naudojasi tais pačiais AP, bet logiškai neatsiduria tame pačiame tinkle kaip serveriai.

Gamybinė įranga reikalauja daugiau atsargumo

PLC, robotai ir senos linijų sistemos dažnai negali būti administruojamos kaip įprasti Windows kompiuteriai. Todėl segmentaciją diegiame etapais: pirmiausia inventorizuojame realius srautus, nustatome, kas su kuo komunikuoja, tik tada griežtiname taisykles. Kritiniame gamybos tinkle „uždaryti viską ir žiūrėti, kas nustos veikti“ nėra tinkamas metodas.

Ką tikriname prieš laikydami projektą baigtu

• Ar access portai patenka tik į jiems skirtą VLAN.
• Ar trunk portuose leidžiami tik reikalingi VLAN.
• Ar Guest, Cameras ir IoT negali pasiekti Management.
• Ar administravimo servisai nepasiekiami tiesiai iš interneto.
• Ar tarp VLAN galioja dokumentuota firewall politika.
• Ar DHCP, DNS ir NTP veikia tik ten, kur numatyta.
• Ar monitoringas mato routerius, switch'us, AP ir kritinius serverius.
• Ar konfigūracijų backup ir pakeitimų dokumentacija saugomi atskirai.
• Ar yra saugus nuotolinis administravimas per VPN.
• Ar po pakeitimų atlikti testai iš kiekvienos zonos.

Dažniausios klaidos

Praktikoje problemą dažniausiai sukuria ne pats 802.1Q, o neaiški architektūra: VLAN 1 naudojamas viskam, management pasiekiamas iš darbuotojų tinklo, kameros turi neribotą internetą, Guest gali maršrutizuotis į LAN, trunk'e leidžiami visi VLAN arba firewall tarp zonų paliekamas „allow any“. MikroTik dokumentacija atskirai perspėja, kad netinkama Bridge VLAN Filtering konfigūracija gali sukelti saugumo ir throughput problemų. citeturn0search0

Galutinis tikslas – sumažinti incidento spindulį

Segmentacija nėra daroma tam, kad tinklo schema atrodytų sudėtingiau. Ji turi užtikrinti, kad užkrėstas biuro kompiuteris negalėtų laisvai kalbėtis su kameromis, backup saugykla, tinklo įrenginių valdymu ir gamybine linija. Kuo aiškesnės zonos ir taisyklės, tuo paprasčiau stebėti srautą, diagnozuoti gedimus ir reaguoti į incidentą.

Šaltiniai