Além das informações sobre Por que as pessoas me dizem para não usar VLANs por segurança? Aqui estão alguns bits mais específicos e gerais a serem considerados:
Considerações gerais sobre segurança O sistema mais seguro é aquele em que os hosts de cada sub-rede estão conectados a um switch com exatamente o número de portas que serão usadas pelos dispositivos conectados. Nessa configuração, você não pode conectar máquinas aleatórias em suas redes seguras, pois isso exigiria desconectar algo (e teoricamente seu sistema de monitoramento perceberia isso).
As VLANs oferecem algo semelhante em termos de segurança, dividindo seu switch em comutadores virtuais menores (LANs virtuais: VLANs) que são isolados um do outro logicamente, e com a configuração adequada pode aparecer em todos os sistemas conectados a eles como se estivessem fisicamente isolado.
Considerações gerais sobre configurações de VLAN relativamente seguras
Minha prática para switches compatíveis com VLAN é que todo o tráfego deve ser atribuído a uma VLAN, com a seguinte configuração básica:
Atribua todas as portas não utilizadas a uma VLAN "não utilizada".
Todas as portas que se conectam a um computador específico devem ser atribuídas nativamente à VLAN em que o computador deve estar. Essas portas devem estar em uma e apenas uma VLAN (exceto algumas exceções que ignoraremos por enquanto).
Nessas portas, todos os pacotes de entrada (para o switch) são marcados com a VLAN nativa, e os pacotes de saída (do switch) (a) se originam apenas da vlan atribuída e (b) não têm marcação e aparecem como qualquer Ethernet comum pacote.
As únicas portas que devem ser "troncos de VLAN" (portas em mais de uma VLAN) são portas de tronco - aquelas que transportam tráfego entre comutadores ou se conectam a um firewall que divide o tráfego da VLAN por conta própria.
Nas portas de tronco, os tags vlan recebidos no switch serão respeitados e os tags vlan não serão retirados dos pacotes que saem do switch.
A configuração descrita acima significa que o único lugar em que você pode facilmente injetar tráfego de "salto de VLAN" é em uma porta de tronco (impedindo um problema de software na implementação de VLAN dos seus comutadores) e, assim como no cenário "mais seguro", isso significa desconectar algo importante e causando um alarme de monitoramento. Da mesma forma, se você desconectar um host para conectar-se à VLAN, ela vive em seu sistema de monitoramento, observe o misterioso desaparecimento do host e o alertará.
Nos dois casos , estamos falando de um ataque que envolve acesso físico aos servidores - embora possa não ser completamente impossível interromper o isolamento da VLAN, é no mínimo muito difícil em um ambiente configurado como descrito acima.
Pensamentos específicos sobre VMWare e VLAN Security
Os comutadores virtuais VMWare podem ser atribuídos a uma VLAN - Quando esses comutadores virtuais são conectados a uma interface física no host VMWare, qualquer tráfego emitido terá o tag VLAN apropriado.
A interface física da sua máquina VMWare precisaria estar conectada a uma porta de tronco da VLAN (carregando as VLANs às quais ele precisará acessar).
Em casos como esse, é duplamente importante prestar atenção às práticas recomendadas do VMWare para separar a NIC de gerenciamento da NIC da máquina virtual: sua NIC de gerenciamento deve estar conectada a uma porta nativa em uma VLAN apropriada e a NIC da máquina virtual deve se conectar a um tronco que possui as VLANs que as máquinas virtuais precisam (que, idealmente, não devem transportar a VMWare Management VLAN).
Na prática, impor essa separação, em sintonia com os itens que mencionei e com o que tenho certeza de que outros irão criar, produzirá um ambiente razoavelmente seguro.
