Svečių Wi-Fi prijungtas, bet ar svečiai mato įmonės įrenginius?
Atskiras belaidžio tinklo pavadinimas dar neparodo, kaip apribotas srautas. Patikrinkite, ar svečių įrenginiai atskirti nuo įmonės sistemų ir vieni nuo kitų.
Kitas Wi-Fi pavadinimas dar nereiškia atskirto tinklo
Į svečius atvykęs tiekėjas gauna biuro „Guest“ belaidžio tinklo slaptažodį. Prie interneto jis prisijungia sėkmingai. Tačiau ar jo kompiuteris gali pasiekti spausdintuvą, bendrą failų saugyklą arba kameros administravimo puslapį? Vien iš tinklo pavadinimo į tai neatsakysime.
Tai iliustracinis scenarijus. Svečių belaidis tinklas gali būti tinkamai apribotas, tačiau jo konfigūraciją reikia patikrinti. Tinklo atskyrimo klaidos gali likti nepastebėtos, kol prie jo neprisijungia įrenginys, kuriam nereikėtų matyti įmonės paslaugų.
Ką atskiria VLAN, o ką – klientų izoliacija?
VLAN leidžia priskirti įrenginius atskiriems loginiams tinklams, pavyzdžiui, darbuotojų, svečių ir kamerų. Tačiau skirtingų VLAN ryšį vis tiek turi valdyti maršrutizatoriaus arba ugniasienės taisyklės. Vien VLAN sukūrimas savaime neapibrėžia, kokios įmonės paslaugos svečiams pasiekiamos.
Atskiras klausimas – ar to paties svečių tinklo klientai gali susisiekti tarpusavyje. „Ubiquiti“ dokumentacijoje šios funkcijos atskirtos: tinklo izoliavimas riboja srautą tarp VLAN, o „Client Isolation“ riboja ryšį tarp klientų tame pačiame prieigos taške. Kurios galimybės prieinamos, priklauso nuo įrangos ir jos valdiklio. Žr. UniFi tinklo ir klientų izoliavimo vadovą.
Leiskite svečiams tai, ko jiems reikia
INsec siūlome svečių tinklo taisykles pradėti nuo poreikio: interneto prieiga ir, jei būtina, aiškiai įvardytos paslaugos, pavyzdžiui, konferencijų ekranas. Kitos įmonės zonos turi būti blokuojamos pagal konkretų tinklo projektą. Nereikalinga prieiga prie administravimo sąsajų, kamerų ar darbuotojų įrenginių neturėtų atsirasti vien dėl to, kad taip paprasčiau sukonfigūruoti Wi-Fi.
Užrašykite, kokiam VLAN priskirtas kiekvienas belaidis tinklas. Patikrinkite, ar prieigos taškai teisingai perduoda VLAN žymas, o komutatoriaus ir maršrutizatoriaus konfigūracija jas apdoroja taip, kaip numatyta. Kai tinklas turi kelis įrangos gamintojus, kiekvieno gamintojo konfigūracija gali naudoti skirtingus terminus toms pačioms tinklo užduotims.
Patikrinkite svečio ir darbuotojo scenarijus
Sukurkite bandomąjį svečio įrenginį ir patikrinkite, ar jis gauna interneto ryšį, bet negali pasiekti vidinių paslaugų, kurioms neturi leidimo. Atskirai patikrinkite du svečių įrenginius: jei jie neturi bendrauti, įsitikinkite, kad vienas negali matyti kito bendrinamų paslaugų.
Tada pakartokite bandymą su įmonės įrenginiu. Jis turi pasiekti darbui reikalingas paslaugas ir likti atskirtas nuo svečių tinklo. Patikrai naudokite konkrečius adresus ir portus, o rezultatus užrašykite. Vien faktas, kad svečias negali atidaryti vidinio tinklalapio, dar neparodo, kad užblokuoti visi nepageidaujami keliai.
Patikrinkite ir IPv6 bei laidines jungtis
Jeigu įmonėje įjungtas IPv6, patikros metu įsitikinkite, kad izoliavimo taisyklės taikomos ir jam. Taip pat peržiūrėkite laidinius lizdus posėdžių salėse: svečio kompiuteris, prijungtas kabeliu, gali patekti į kitą tinklą nei numatyta. Svečių prieiga kartais apima ne tik belaidį SSID, bet ir viešiems susitikimams skirtas jungtis.
Jei svečiams reikalingas spausdinimas, ekranas ar kita vietinė paslauga, sukurkite jai aiškiai apibrėžtą išimtį ir po pakeitimo pakartokite izoliavimo testą. Taip išvengiama situacijos, kai „laikina“ plati taisyklė lieka galioti pasibaigus susitikimui.
Kas turi pastebėti konfigūracijos pasikeitimą?
INsec rekomenduojame užrašyti, kas tinkle gali kurti SSID, keisti VLAN priskyrimą ir ugniasienės taisykles. Po belaidžio tinklo ar maršrutizatoriaus pakeitimų numatykite trumpą pakartotinį bandymą. Svečių tinklo slaptažodį taip pat periodiškai keiskite pagal įmonės tvarką, ypač pasikeitus aptarnaujantiems tiekėjams ar viešos prieigos sąlygoms.
Pirmas patikrinimas: prisijunkite prie svečių Wi-Fi ir patikrinkite, ar pasiekiamos tik suplanuotos paslaugos. Rezultatą palyginkite su tinklo schema bei ugniasienės taisyklėmis ir užfiksuokite, kas taisys rastą neatitikimą.
INsec projektuoja ir prižiūri MikroTik bei UniFi tinklus ir jų segmentavimą. Aptarkime jūsų belaidžio tinklo saugumą.
Šaltiniai
Įrangos funkcijų aprašai paremti gamintojo dokumentacija; tinklo patikros veiksmai pateikiami kaip INsec praktinės rekomendacijos.