Nettverkssegmentering: en praktisk guide

Hvorfor segmentere?

• Sikkerhet. Løsepengevirus og angripere beveger seg sideveis i nettet. Når gjestenett, skrivere og servere står i hvert sitt segment med brannmur imellom, stopper et angrep ofte i det første segmentet.
• Mindre støy. Hvert subnett er et eget broadcastdomene. Tusen maskiner i ett nett gir mye unødvendig trafikk og vanskelig feilsøking.
• Ulike regler for ulike ting. Gjester skal bare på internett. Skrivere skal kunne nås fra ansatte, men ikke fra elever. Uten segmenter kan du ikke uttrykke slike regler.
• Oversikt. Når adressen forteller hva slags enhet det er (10.10.60.x er skrivere), går feilsøking raskere.
• Krav. Mange bransjer og forsikringsselskaper forventer segmentering av sensitive systemer.

Begrepene

Ruting mellom segmentene kan skje i en brannmur eller i en lag 3-svitsj. Går trafikken gjennom brannmuren, kan du styre den med regler – det er som regel det du vil for alt unntatt de mest trafikktunge nettene.

Velg adresseområde

Internt brukes private adresser fra RFC 1918:

Et oversiktlig mønster er `10.<lokasjon>.<vlan>.0/24`: lokasjon 20 og VLAN 30 blir 10.20.30.0/24. Da forteller adressen både hvor og hva. Trenger et segment mer enn 254 adresser, gir du det et større nett (for eksempel /22) og hopper over de VLAN-numrene som dekkes.

Hvor store skal nettene være?

1. Tell enhetene i hvert segment i dag – også telefoner, nettbrett og IoT.
2. Legg til vekst. 30–50 % er et godt utgangspunkt for klientnett. Å bytte adresser senere er mye mer arbeid.
3. Legg til adresser for gateway og eventuelle reserverte adresser.
4. Velg minste nett som har plass. Hold klientnett på /22 eller mindre, så broadcastdomenene ikke blir for store.

VLSM-kalkulatoren gjør denne jobben for deg.

Vanlige segmenter

Brannmurregler mellom segmentene

Start med alt stengt mellom segmentene, og åpne bare det som trengs. En enkel matrise gjør det tydelig:

Eksempel: kontor med 60 ansatte

For et større eksempel, se oppsettet for skoler eller helse og kommune.

Slik gjennomfører du det

1. Kartlegg hva som finnes i dag. En innsamler fra auto-deteksjon gir deg raskt en liste over aktive adresser.
2. Bestem segmentene og hvem som skal snakke med hvem.
3. Lag adresseplanen og dokumenter den i ipmanager før du konfigurerer noe.
4. Konfigurer svitsjene: VLAN, trunker og tilgangsporter.
5. Konfigurer gateway (brannmur eller lag 3-svitsj) med ett grensesnitt per VLAN.
6. Sett opp DHCP med ett scope per segment, og DHCP-relay der serveren står i et annet nett.
7. Skriv brannmurreglene etter matrisen.
8. Flytt ett segment om gangen, og start med det minst kritiske – ofte gjester eller skrivere.
9. Kontroller at alt fungerer, og oppdater dokumentasjonen.

Vanlige feil

• Adresseområder som kolliderer med VPN-brukernes hjemmenett eller med samarbeidspartnere.
• Ett enormt /16 for alle klienter «for å ha nok».
• Glemt DHCP-relay, slik at klientene i det nye VLAN-et ikke får adresse.
• Skrivere på DHCP uten reservasjon – adressen endres og utskrift slutter å virke.
• VLAN 1 brukt som vanlig nett, eller administrasjonsgrensesnitt tilgjengelig fra klientnettet.
• Ingen dokumentasjon – planen finnes bare i hodet til den som laget den.

Og IPv6?

Segmenteringen blir den samme med IPv6: ett /64 per VLAN, og samme brannmurregler for begge protokollene. Se IPv6 i praksis.

Slik hjelper ipmanager

Segmenteringshjelp i ipmanager har maler for skole, kontor, datasenter og helse. Du oppgir antall enheter, og får en plan med riktig justerte subnett, gateway, VLAN-forslag og plass til vekst. Planen sjekkes mot nett du allerede har, og kan opprettes med ett klikk. Kom i gang gratis.