Netværkssegmentering: en praktisk guide

Hvorfor segmentere?

• Sikkerhed. Ransomware og angribere bevæger sig sidelæns i netværket. Når gæstenet, printere og servere står i hvert sit segment med firewall imellem, stopper et angreb ofte i det første segment.
• Mindre støj. Hvert subnet er sit eget broadcastdomæne. Tusind maskiner i ét net giver meget unødig trafik og besværlig fejlfinding.
• Forskellige regler for forskellige ting. Gæster skal kun på internettet. Printere skal kunne nås fra medarbejderne, men ikke fra eleverne. Uden segmenter kan du ikke udtrykke den slags regler.
• Overblik. Når adressen fortæller, hvilken slags enhed det er (10.10.60.x er printere), går fejlfindingen hurtigere.
• Krav. Mange brancher og forsikringsselskaber forventer, at følsomme systemer er segmenteret.

Begreberne

Routingen mellem segmenterne kan ske i en firewall eller i en lag 3-switch. Går trafikken gennem firewallen, kan du styre den med regler – det er som regel det, du vil, for alt undtagen de mest trafiktunge net.

Vælg adresseområde

Internt bruges private adresser fra RFC 1918:

Et overskueligt mønster er `10.<lokation>.<vlan>.0/24`: lokation 20 og VLAN 30 bliver 10.20.30.0/24. Så fortæller adressen både hvor og hvad. Har et segment brug for mere end 254 adresser, giver du det et større net (for eksempel /22) og springer de VLAN-numre over, der dækkes.

Hvor store skal nettene være?

1. Tæl enhederne i hvert segment i dag – også telefoner, tablets og IoT.
2. Læg vækst til. 30–50 % er et godt udgangspunkt for klientnet. At skifte adresser senere er meget mere arbejde.
3. Læg adresser til gateway og eventuelle reserverede adresser til.
4. Vælg det mindste net, der er plads nok i. Hold klientnet på /22 eller mindre, så broadcastdomænerne ikke bliver for store.

VLSM-beregneren gør dette arbejde for dig.

Almindelige segmenter

Firewallregler mellem segmenterne

Start med alt lukket mellem segmenterne, og åbn kun det, der er brug for. En enkel matrix gør det tydeligt:

Eksempel: kontor med 60 medarbejdere

Et større eksempel finder du i opsætningen for skoler eller sundhed og kommune.

Sådan gennemfører du det

1. Kortlæg, hvad der findes i dag. En indsamler fra automatisk registrering giver dig hurtigt en liste over aktive adresser.
2. Beslut segmenterne, og hvem der skal tale med hvem.
3. Lav adresseplanen, og dokumentér den i ipmanager, før du konfigurerer noget.
4. Konfigurér switchene: VLAN, trunks og accessporte.
5. Konfigurér gatewayen (firewall eller lag 3-switch) med ét interface pr. VLAN.
6. Sæt DHCP op med ét scope pr. segment og DHCP-relay, hvor serveren står i et andet net.
7. Skriv firewallreglerne efter matrixen.
8. Flyt ét segment ad gangen, og start med det mindst kritiske – ofte gæster eller printere.
9. Kontrollér, at alt virker, og opdatér dokumentationen.

Almindelige fejl

• Adresseområder, der kolliderer med VPN-brugernes hjemmenet eller med samarbejdspartnere.
• Ét kæmpe /16 til alle klienter »for at have nok«.
• Glemt DHCP-relay, så klienterne i det nye VLAN ikke får en adresse.
• Printere på DHCP uden reservation – adressen skifter, og print holder op med at virke.
• VLAN 1 brugt som almindeligt net, eller administrationsinterfaces tilgængelige fra klientnettet.
• Ingen dokumentation – planen findes kun i hovedet på den, der lavede den.

Og IPv6?

Segmenteringen er den samme med IPv6: ét /64 pr. VLAN og de samme firewallregler for begge protokoller. Se IPv6 i praksis.

Sådan hjælper ipmanager

Hjælp til segmentering i ipmanager har skabeloner til skole, kontor, datacenter og sundhed. Du angiver antallet af enheder og får en plan med korrekt justerede subnet, gateway, VLAN-forslag og plads til vækst. Planen tjekkes mod de net, du allerede har, og kan oprettes med ét klik. Kom gratis i gang.