人们为什么告诉我不要使用VLAN进行安全保护？

25

按照标题，为什么人们告诉我不要出于安全目的使用VLAN？

我有一个网络，其中有几个VLAN。两个VLAN之间有一个防火墙。我正在使用HP Procurve交换机，并确保交换机到交换机的链接仅接受标记的帧，并且主机端口不接受标记的帧（它们不是“ VLAN Aware”）。我还确保中继链路的本机VLAN（PVID）与2个主机VLAN都不相同。我还启用了“入口过滤”。此外，我确保主机端口仅是单个VLAN的成员，这与相应端口的PVID相同。属于多个VLAN的唯一端口是中继端口。

有人可以向我解释为什么上述方法不安全吗？我相信我已经解决了双重标记问题。

谢谢

更新：两个开关均为HP Procurve 1800-24G

networking security vlan

— ni
source

1

您也可以尝试在security.stackexchange.com上询问是否要从安全专家

— 那里

这绝对应该在security.se上。

— Mark E. Haase 2013年

@mehaase，在一定时间后无法迁移问题。这个问题太旧了，无法迁移。

— Zoredache

18

人们为什么告诉我不要出于安全目的使用VLAN？

如果您不完全了解潜在问题，并正确设置网络以将风险降低到您的环境可以接受的程度，则存在实际风险。在许多位置，VLAN在两个VLAN之间提供了足够的隔离级别。

有人可以向我解释为什么上述方法不安全吗？

听起来您已经采取了完成相当安全的设置所需的所有基本步骤。但是我对HP设备并不完全熟悉。您可能已经为您的环境做了足够的工作。

值得一提的是《Cisco VLAN安全白皮书》。

它包括针对基于VLAN的网络的可能攻击的列表。其中一些在某些交换机上是不可能的，或者可以通过适当设计基础架构/网络来缓解。花一些时间来理解它们，并决定在您的环境中为避免这种风险而付出的努力是否值得。

引用本文。

MAC泛洪攻击
802.1Q和ISL标记攻击
双重封装的802.1Q /嵌套VLAN攻击
ARP攻击
专用VLAN攻击
组播蛮力攻击
生成树攻击

也可以看看：

— Zoredache
source

1

是的，我在发布此文章之前先阅读了该文章。确实，这是一篇非常好的文章。尽管我了解所涉及的所有风险，但白皮书仅真正适用于Cisco设备-至少适用于与故障固件有关的部分，例如泛洪和ARP攻击。

— jtnire 2011年

10

对于某些安全值是安全的。

固件错误，开关配置重置，人为错误可能使其不安全。只要只有很少的人可以访问交换机的配置以及交换机本身，那么在一般业务环境中就可以了。

我会为真正敏感的数据进行物理分离。

— 休伯特·卡里奥（Hubert Kario）
source

1

但是，所有这些问题都不适用于普通的第3层防火墙吗？

— jtnire 2011年

是的，应该将VLAN视为已连接到通用路由器。具有真正敏感数据的网络不应连接到其他任何设备。如果两个都可以上网，那您就可以了。

— 休伯特·卡里奥

2

+1您已经用第一句话打在了头上。

— 约翰·加迪尼尔

你能解释一下你的第一句话吗？由于我正试图将VLAN用于安全目的，所以我不能仅仅假设它们是不安全的，并且不将它们用于安全子网:)

— jtnire 2011年

1

这根本无法回答问题……只是常见的安全陈词滥调。

— Mark E. Haase 2013年

4

我似乎记得在过去，VLAN跳跃比较容易，所以这可能就是为什么“人们”这么说的原因。但是，为什么不问“人民”原因呢？我们只能猜测为什么他们告诉了你。我确实知道，HIPAA和PCI审核员可以通过VLAN来确保安全性。

— 芬尼
source

真？PCi Auditor可以吗？通过“人”，我的意思是在网上阅读：）

— jtnire 2011年

6

PCI审核员绝对可以接受，考虑到他们在确保系统安全时可能遇到的麻烦，这令人惊讶。VLAN只是在第2层上分离出广播域的工具。第3层及以上是大多数严重的漏洞所在。等到有人与您的系统距离足够近，以便摆弄VLAN时，您就会遇到更严重的问题！

— Niall Donegan

1

幸运的是，我不必处理与PCI DSS相关的无线问题，因此还没有出现。我通常会在托管环境中处理它，例如锁好的出租车和老式的电缆。

— Niall Donegan

1

是的，我计划为我的托管客户在自己的驾驶室中部署VLAN。交换机将被锁定在机架中：)我想VLAN在Colo环境中经常用于共享交换机，不是吗？

— jtnire 2011年

1

@jnire是的，PCI DSS确实需要对WLAN进行物理隔离。有线网络是不同的。

— sysadmin1138

2

我认为核心问题是，VLAN不安全，因为您只是隔离广播域，而不是隔离流量。来自多个VLAN的所有流量仍在同一物理线路上流动。可以始终将访问该流量的主机配置为混杂模式，并查看线路上的所有流量。

显然，使用交换机可以大大降低这种风险，因为交换机可以控制哪些数据实际出现在哪些端口上，但是基本风险仍然存在。

— 菲尔·霍尔伦巴克
source

3

对不起，我不明白这一点。由于交换机根据其VLAN成员资格来控制流向端口的流量，因此将主机置于混杂模式不会做任何事情。当然，如果攻击者可以访问中继线，那么混杂模式将起作用，但是如果攻击者可以访问另一物理防火墙网段的电缆，也可以说相同的方式。请纠正我，如果我错了..

— jtnire

好吧，如果攻击者可以通过网络访问您的交换机，他们可能会执行镜像端口之类的操作并从其他VLAN收集数据包，对吗？我认为问题可以归结为以下事实：VLAN是可编程功能，而电缆分开且具有物理保护层。

— Phil Hollenback

1

但是我仍然不明白这与常规的第3层防火墙有何不同-他们也使用软件进行编程。当然，我已尝试通过不在管理VLAN上放置不受信任的主机来缓解此问题，因此无法切换Web GUI。

— jtnire 2011年