Tweet
PRIVATE VLANS
Private VLAN phân ra làm 2 khái niệm: primary VLAN và secondary VLAN. Trong đó Primary VLAN cung cấp kết nối logic giữa nó và các secondary VLAN. Một máy tính thuộc secondary VLAN có thể giao tiếp với một cổng thuộc primary VLAN nhưng không thể giao tiếp với một máy tính nằm trong secondary VLAN khác. Các máy tính trong secondary VLAN sẽ giao tiếp với thế giới bên ngoài (Internet) thông qua primary VLAN. Ta hình dung primary VLAN có tác dụng chuyên chở các máy tính nằm trong các secondary VLAN ra ngoài. Secondary VLAN chia ra làm 2 loại : isolated VLAN và community VLAN.
Tất cả secondary VLAN phải được kết hợp với một primary VLAN. Private VLAN là một loại VLAN đặc biệt nên nó chỉ có ý nghĩa cục bộ trên một switch mà thôi. Switch nào cấu hình private VLAN thì chỉ có switch đó mới có các VLAN này thôi. Giao thức VTP sẽ không quảng bá thông tin về private VLAN cho các switch khác. Và lúc cấu hình private VLAN thì chúng ta cũng bị yêu cầu phải cấu hình trên chế độ VTP transparent. Đối với một VLAN thường, chúng ta muốn gắn một cổng nào đó vào VLAN nào thì ta gõ câu lệnh “switchport access VLAN_id”. Nhưng đối với private VLAN thì lại định nghĩa ra hai dạng cổng: promiscuous và host. Promiscuous là cổng của switch kết nối với gateway Router. Qui luật của private VLAN không áp dụng cho loại cổng này. Cổng này có thể giao tiếp với các loại primary VLAN hay secondary VLAN mà không bị giới hạn nào cả. Máy tính kết nối với cổng của switch thuộc loại isolated VLAN hay community VLAN. Cổng loại này chỉ có thể giao tiếp với promiscuous cổng hoặc các cổng khác nằm trong cùng một community VLAN. Đối với các máy tính nằm trong isolated VLAN thì cũng không giao tiếp được với nhau luôn, mà chỉ có thể giao tiếp với promiscuous cổng mà thôi.
Trong hình trên cổng 2/1 của switch được cấu hình là cổng promiscuous. Cổng 1/1 , 1/2 thuộc về secondary VLAN 10. Community VLAN: các máy tính trong VLAN này có thể thấy nhau và thấy promiscuous cổng, tuy nhiên không thể thấy được các secondary VLAN khác. Các máy tính nằm trong secondary VLAN 10 có thể thấy nhau nhưng không thể thấy các máy tính nằm trong secondary VLAN 20. Cả 2 VLAN này đều là community nhưng chỉ là community trong nội bộ của VLAN đó mà thôi. Cổng 1/4, 1/5 thuộc về Secondary VLAN 20 ( community VLAN ). Cổng 1/3 thuộc về Isolated VLAN 30 (secondary VLAN 30). Các máy tính nằm trong VLAN 30 chỉ có thể giao tiếp với cổng promiscuous mà thôi, không thể giao tiếp với nhau và với các secondary VLAN khác. Cấu hình private VLAN chỉ có thể thực hiện trên Catalyst 6500. Switch 3550 không thực hiện được chức năng private-VLAN . Mặc dù trong switch 3550 cũng có câu lệnh private-VLAN nhưng các câu lệnh bổ sung không hề có, hoặc có nhưng không có tác động.
Switch(config)# vlan 10
Switch(config-vlan)# private-vlan community à định nghĩa secondary VLAN 10 có thuộc tính community
Switch(config)# vlan 20
Switch(config-vlan)# private-vlan community
Switch(config)# vlan 30
Switch(config-vlan)# private-vlan isolated à định nghĩa secondary VLAN 30 có thuộc tính isolated
Switch(config)# vlan 100
Switch(config-vlan)# private-vlan primary à VLAN 100 là primary VLAN
Switch(config-vlan)# private-vlan association 10,20,30 à các secondary vlan 10,20,30 sẽ giao tiếp với vlan 100
Switch(config-vlan)# exit
Switch(config)# interface range fastethernet 1/1 - 2
Switch(config-if)# switchport private-vlan host à 2 cổng này là 2 cổng gắn với máy tính
Switch(config-if)# switchport private-vlan host-association 100 10 à 2 cổng này gán cho vlan 10 . VLAN 10 giao tiếp được với primary vlan 100 .
Switch(config)# interface range fastethernet 1/4 - 5
Switchconfig# switchport private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 20
Switch(config)# interface fastethernet 1/3
Switch(config-if)# switchport private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 30
Switch(config)# interface fastethernet 2/1
Switch(config-if)# switchport mode private-vlan promiscuous à port promiscuous này kết nối với gateway router .
Switch(config-if)# switchport private-vlan mapping 100 10,20,30 à cổng này giao tiếp với tất cả các vlan 100,10,20,30 .
Switch(config)# interface vlan 100
Switch(config-if)# ip address 192.168.199.1 255.255.255.0 à đặt địa chỉ ip cho VLAN primary để thực hiện routing lưu lượng của các VLAN khác ra ngoài .
Switch(config-if)# private-vlan mapping 10,20,30 à các VLAN 10,20,30 được mang đi bởi primary vlan để ra internet. Khi cấu hình Private VLAN, cần phải lưu ý những điều sau:
Trước hết phải cấu hình VTP ở chế độ transparent , sau khi đã cấu hình private vlan rồi thì không thể quay lại chế độ VTP client hay VTP server dược nữa
Không thể cấu hình vlan 1 hay vlan 1002à1005 là private vlan .
Cấu hình giao diện lớp 3 VLAN (interface VLAN) chỉ cho primary vlan. Trên switch lúc này chỉ có giao diện lớp 3 của primary VLAN là hoạt động mà thôi. Private VLAN không áp dụng cho cổng được cấu hình tính năng Etherchannel. Nếu một cổng là SPAN đích thì mọi cấu hình private VLAN dành cho cổng đó không có tác dụng. Đối với private VLAN, hỗ trợ các đặc điểm của SPAN sau: có thể cấu hình private VLAN cổng là một cổng nguồn của SPAN. Có thể sử dụng tính năng SPAN dựa trên VLAN trên primary, isolated, community VLAN. Một primary VLAN có thể có 1 isolated VLAN và nhiều community VLAN đi kèm với nó. Isolated VLAN hay Community VLAN chỉ có thể có 1 primary VLAN đi kèm với nó. Bật tính năng portfast và BPDU guard trên các cổng thuộc isolated VLAN và community VLAN nhằm tránh bị lặp vòng STP do cấu hình sai và tăng tốc độ hội tụ của STP. Nếu ta xóa một VLAN đã được cấu hình là private VLAN thì các cổng thuộc về vlan đó sẽ không sử dụng được nữa. Đối với một cổng nằm trong nhóm 12 cổng ( 1-12, 13-24,25-36,37-48) là trunk hay cấu hình SPAN đích, hay cổng thuộc promiscuous VLAN thì 11 cổng còn lại không thể cấu hình thuộc isolated VLAN hay community VLAN. Nếu cố tình cấu hình thì 11 cổng này sẽ không sử dụng được nữa. Nếu muốn sử dụng lại thì phải xóa cấu hình isolated VLAN và community VLAN đã cấu hình trước đó. Dùng câu lện shutdown và no shutdown để cho phép giao diện đó hoạt động trở lại. Private vlan không nhất thiết phải nằm trên một switch, nó có thể nằm trên 2 switch khác nhau miễn là 2 switch này kết nối qua trunk và trên kết nối trunk này isolated VLAN và community VLAN vẫn chưa bị xóa. VTP không hỗ trợ tính năng private VLAN. Bạn phải cấu hình bằng tay tính năng private VLAN trên mỗi thiết bị mà bạn muốn. Có thể áp dụng các cấu hình chất lượng dịch vụ (QoS) khác nhau cho primary, isolated, và community VLAN. Không thể áp đặt danh sách điều khiên truy cập trong VLAN (VACL) cho secondary VLAN. Áp đặt danh sách điều khiển truy cập (ACL) vào giao diện lớp 3 của primary VLAN, ACL này cũng sẽ tự động áp đặt cho isolated vlan và primary vlan.
Kiểu tấn công VLAN Hopping
Giao thức Dynamic Trunking Protocol (DTP) tự động cấu hình trung kế (trunk) ISL/802.1Q và được sử dụng để trao đổi thông tin giữa các switch. Nó đồng bộ chế độ của trung kế giữa hai đầu cuối của tuyến và hạn chế sự cần thiết của việc can thiệp các biên pháp quản lý tại mỗi switch. Nhân viên quản trị mạng có thể cấu hình trạng thái DTP trên mỗi cổng trung kế. Các trạng thái bao gồm On, Off, Desirable, Auto và Non-Negotiate.
On: trạng thái này được sử dụng khi switch khác không hiểu giao thức DTP.
Off: trạng thái này được sử dụng khi cổng đã được cấu hình từ trước không với mục đích trở thành cổng trung kế.
Desirable: trạng thái này được sử dụng khi cổng switch muốn trở thành cổng trung kế.
Auto: Đây là trạng thái mặc định trên nhiều switch.
Non-Negotiate: trạng thái này được sử dụng khi người quản trị mạng muốn một loại trung kế ISL hay dot1Q cụ thể. Đặc điểm chính cần nhớ về giao thức DTP là chế độ mặc định của các cổng trên phần lớp các switch là tự động.
Kiểu tấn công VLAN hopping cơ bản
Vụ tấn công xảy ra khi kẻ tấn công đánh lừa switch để switch nghĩ hắn là một switch đang muốn một kết nối trunk. Kỹ thuật này đòi hỏi một thiết lập "trunking-favorable", kiểu như thiết lập Auto, thì mới có thể tấn công thành công. Bây giờ, kẻ tấn công đã trở thành thành viên của rất nhiều VLAN được kết nối đến switch và có thể gửi và nhận lưu lượng trên các VLAN này. Cách tốt nhất để ngăn chặn kiểu tấn công VLAN hopping cơ bản là tắt kết nối trên tất cả các cổng ngoại trừ những cổng cần thiết.
Kiểu tấn công VLAN hopping đóng gói kép
Kiểu tấn công này lợi dụng cách mà phần cứng trong phần lớn các switch hoạt động. Hiện nay, phần lớn các switch chỉ thực hiện đóng gói IEEE 802.1Q một mức. Điều này cho phép kẻ tấn công, trong những tính huống cụ thể, có khả năng gắn các đuôi 802.1Q (gọi là .1Q tag) của hắn vào khung. Khung này sẽ vào VLAN với đuôi .1Q đầu ra không xác định. Một đặc điểm quan trọng của kiểu tấn công VLAN hopping đóng gói kép là nó có thể tiến hành thậm chỉ với các cổng trunk kế đã được thiết lập ở chế độ Off. Ngăn chặn các cuộc tấn công kiểu này không dễ như việc ngăn chặn các cuộc tấn công kiểu VLAN hopping cơ bản. Biện pháp tốt nhất để đảm bảo các VLAN thuần của các cổng trung kế được phân biệt rạch ròi với các VLAN thuần của các cổng của người dùng. Để biêt thêm biện pháp ngăn chặn các cuộc tấn công kiểu này, xem tại kết nối .
Private VLAN phân ra làm 2 khái niệm: primary VLAN và secondary VLAN. Trong đó Primary VLAN cung cấp kết nối logic giữa nó và các secondary VLAN. Một máy tính thuộc secondary VLAN có thể giao tiếp với một cổng thuộc primary VLAN nhưng không thể giao tiếp với một máy tính nằm trong secondary VLAN khác. Các máy tính trong secondary VLAN sẽ giao tiếp với thế giới bên ngoài (Internet) thông qua primary VLAN. Ta hình dung primary VLAN có tác dụng chuyên chở các máy tính nằm trong các secondary VLAN ra ngoài. Secondary VLAN chia ra làm 2 loại : isolated VLAN và community VLAN.
- Isolated: bất kì cổng của switch nào gắn vào isolated VLAN sẽ chỉ có thể giao tiếp với primary VLAN mà thôi, không thể giao tiếp với các secondary VLAN khác. Thêm vào đó, nếu các máy tính thuộc cùng một isolated VLAN cũng không thể giao tiếp được với nhau mặc dù chúng cùng nằm trong một VLAN. Các máy tính này chỉ có thể giao tiếp với primary VLAN để đi ra khỏi local subnet mà thôi. Các máy tính nằm trong isolated VLAN độc lập hoàn toàn với mọi thứ, ngoại trừ primary VLAN.
- Community: các cổng của switch gắn vào community VLAN có thể nói chuyện được với nhau và với primary VLAN. Nhưng đối với các secondary VLAN khác thì không được.
Tất cả secondary VLAN phải được kết hợp với một primary VLAN. Private VLAN là một loại VLAN đặc biệt nên nó chỉ có ý nghĩa cục bộ trên một switch mà thôi. Switch nào cấu hình private VLAN thì chỉ có switch đó mới có các VLAN này thôi. Giao thức VTP sẽ không quảng bá thông tin về private VLAN cho các switch khác. Và lúc cấu hình private VLAN thì chúng ta cũng bị yêu cầu phải cấu hình trên chế độ VTP transparent. Đối với một VLAN thường, chúng ta muốn gắn một cổng nào đó vào VLAN nào thì ta gõ câu lệnh “switchport access VLAN_id”. Nhưng đối với private VLAN thì lại định nghĩa ra hai dạng cổng: promiscuous và host. Promiscuous là cổng của switch kết nối với gateway Router. Qui luật của private VLAN không áp dụng cho loại cổng này. Cổng này có thể giao tiếp với các loại primary VLAN hay secondary VLAN mà không bị giới hạn nào cả. Máy tính kết nối với cổng của switch thuộc loại isolated VLAN hay community VLAN. Cổng loại này chỉ có thể giao tiếp với promiscuous cổng hoặc các cổng khác nằm trong cùng một community VLAN. Đối với các máy tính nằm trong isolated VLAN thì cũng không giao tiếp được với nhau luôn, mà chỉ có thể giao tiếp với promiscuous cổng mà thôi.
Trong hình trên cổng 2/1 của switch được cấu hình là cổng promiscuous. Cổng 1/1 , 1/2 thuộc về secondary VLAN 10. Community VLAN: các máy tính trong VLAN này có thể thấy nhau và thấy promiscuous cổng, tuy nhiên không thể thấy được các secondary VLAN khác. Các máy tính nằm trong secondary VLAN 10 có thể thấy nhau nhưng không thể thấy các máy tính nằm trong secondary VLAN 20. Cả 2 VLAN này đều là community nhưng chỉ là community trong nội bộ của VLAN đó mà thôi. Cổng 1/4, 1/5 thuộc về Secondary VLAN 20 ( community VLAN ). Cổng 1/3 thuộc về Isolated VLAN 30 (secondary VLAN 30). Các máy tính nằm trong VLAN 30 chỉ có thể giao tiếp với cổng promiscuous mà thôi, không thể giao tiếp với nhau và với các secondary VLAN khác. Cấu hình private VLAN chỉ có thể thực hiện trên Catalyst 6500. Switch 3550 không thực hiện được chức năng private-VLAN . Mặc dù trong switch 3550 cũng có câu lệnh private-VLAN nhưng các câu lệnh bổ sung không hề có, hoặc có nhưng không có tác động.
Switch(config)# vlan 10
Switch(config-vlan)# private-vlan community à định nghĩa secondary VLAN 10 có thuộc tính community
Switch(config)# vlan 20
Switch(config-vlan)# private-vlan community
Switch(config)# vlan 30
Switch(config-vlan)# private-vlan isolated à định nghĩa secondary VLAN 30 có thuộc tính isolated
Switch(config)# vlan 100
Switch(config-vlan)# private-vlan primary à VLAN 100 là primary VLAN
Switch(config-vlan)# private-vlan association 10,20,30 à các secondary vlan 10,20,30 sẽ giao tiếp với vlan 100
Switch(config-vlan)# exit
Switch(config)# interface range fastethernet 1/1 - 2
Switch(config-if)# switchport private-vlan host à 2 cổng này là 2 cổng gắn với máy tính
Switch(config-if)# switchport private-vlan host-association 100 10 à 2 cổng này gán cho vlan 10 . VLAN 10 giao tiếp được với primary vlan 100 .
Switch(config)# interface range fastethernet 1/4 - 5
Switchconfig# switchport private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 20
Switch(config)# interface fastethernet 1/3
Switch(config-if)# switchport private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 30
Switch(config)# interface fastethernet 2/1
Switch(config-if)# switchport mode private-vlan promiscuous à port promiscuous này kết nối với gateway router .
Switch(config-if)# switchport private-vlan mapping 100 10,20,30 à cổng này giao tiếp với tất cả các vlan 100,10,20,30 .
Switch(config)# interface vlan 100
Switch(config-if)# ip address 192.168.199.1 255.255.255.0 à đặt địa chỉ ip cho VLAN primary để thực hiện routing lưu lượng của các VLAN khác ra ngoài .
Switch(config-if)# private-vlan mapping 10,20,30 à các VLAN 10,20,30 được mang đi bởi primary vlan để ra internet. Khi cấu hình Private VLAN, cần phải lưu ý những điều sau:
Trước hết phải cấu hình VTP ở chế độ transparent , sau khi đã cấu hình private vlan rồi thì không thể quay lại chế độ VTP client hay VTP server dược nữa
Không thể cấu hình vlan 1 hay vlan 1002à1005 là private vlan .
Cấu hình giao diện lớp 3 VLAN (interface VLAN) chỉ cho primary vlan. Trên switch lúc này chỉ có giao diện lớp 3 của primary VLAN là hoạt động mà thôi. Private VLAN không áp dụng cho cổng được cấu hình tính năng Etherchannel. Nếu một cổng là SPAN đích thì mọi cấu hình private VLAN dành cho cổng đó không có tác dụng. Đối với private VLAN, hỗ trợ các đặc điểm của SPAN sau: có thể cấu hình private VLAN cổng là một cổng nguồn của SPAN. Có thể sử dụng tính năng SPAN dựa trên VLAN trên primary, isolated, community VLAN. Một primary VLAN có thể có 1 isolated VLAN và nhiều community VLAN đi kèm với nó. Isolated VLAN hay Community VLAN chỉ có thể có 1 primary VLAN đi kèm với nó. Bật tính năng portfast và BPDU guard trên các cổng thuộc isolated VLAN và community VLAN nhằm tránh bị lặp vòng STP do cấu hình sai và tăng tốc độ hội tụ của STP. Nếu ta xóa một VLAN đã được cấu hình là private VLAN thì các cổng thuộc về vlan đó sẽ không sử dụng được nữa. Đối với một cổng nằm trong nhóm 12 cổng ( 1-12, 13-24,25-36,37-48) là trunk hay cấu hình SPAN đích, hay cổng thuộc promiscuous VLAN thì 11 cổng còn lại không thể cấu hình thuộc isolated VLAN hay community VLAN. Nếu cố tình cấu hình thì 11 cổng này sẽ không sử dụng được nữa. Nếu muốn sử dụng lại thì phải xóa cấu hình isolated VLAN và community VLAN đã cấu hình trước đó. Dùng câu lện shutdown và no shutdown để cho phép giao diện đó hoạt động trở lại. Private vlan không nhất thiết phải nằm trên một switch, nó có thể nằm trên 2 switch khác nhau miễn là 2 switch này kết nối qua trunk và trên kết nối trunk này isolated VLAN và community VLAN vẫn chưa bị xóa. VTP không hỗ trợ tính năng private VLAN. Bạn phải cấu hình bằng tay tính năng private VLAN trên mỗi thiết bị mà bạn muốn. Có thể áp dụng các cấu hình chất lượng dịch vụ (QoS) khác nhau cho primary, isolated, và community VLAN. Không thể áp đặt danh sách điều khiên truy cập trong VLAN (VACL) cho secondary VLAN. Áp đặt danh sách điều khiển truy cập (ACL) vào giao diện lớp 3 của primary VLAN, ACL này cũng sẽ tự động áp đặt cho isolated vlan và primary vlan.
Kiểu tấn công VLAN Hopping
Giao thức Dynamic Trunking Protocol (DTP) tự động cấu hình trung kế (trunk) ISL/802.1Q và được sử dụng để trao đổi thông tin giữa các switch. Nó đồng bộ chế độ của trung kế giữa hai đầu cuối của tuyến và hạn chế sự cần thiết của việc can thiệp các biên pháp quản lý tại mỗi switch. Nhân viên quản trị mạng có thể cấu hình trạng thái DTP trên mỗi cổng trung kế. Các trạng thái bao gồm On, Off, Desirable, Auto và Non-Negotiate.
On: trạng thái này được sử dụng khi switch khác không hiểu giao thức DTP.
Off: trạng thái này được sử dụng khi cổng đã được cấu hình từ trước không với mục đích trở thành cổng trung kế.
Desirable: trạng thái này được sử dụng khi cổng switch muốn trở thành cổng trung kế.
Auto: Đây là trạng thái mặc định trên nhiều switch.
Non-Negotiate: trạng thái này được sử dụng khi người quản trị mạng muốn một loại trung kế ISL hay dot1Q cụ thể. Đặc điểm chính cần nhớ về giao thức DTP là chế độ mặc định của các cổng trên phần lớp các switch là tự động.
Kiểu tấn công VLAN hopping cơ bản
Vụ tấn công xảy ra khi kẻ tấn công đánh lừa switch để switch nghĩ hắn là một switch đang muốn một kết nối trunk. Kỹ thuật này đòi hỏi một thiết lập "trunking-favorable", kiểu như thiết lập Auto, thì mới có thể tấn công thành công. Bây giờ, kẻ tấn công đã trở thành thành viên của rất nhiều VLAN được kết nối đến switch và có thể gửi và nhận lưu lượng trên các VLAN này. Cách tốt nhất để ngăn chặn kiểu tấn công VLAN hopping cơ bản là tắt kết nối trên tất cả các cổng ngoại trừ những cổng cần thiết.
Kiểu tấn công VLAN hopping đóng gói kép
Kiểu tấn công này lợi dụng cách mà phần cứng trong phần lớn các switch hoạt động. Hiện nay, phần lớn các switch chỉ thực hiện đóng gói IEEE 802.1Q một mức. Điều này cho phép kẻ tấn công, trong những tính huống cụ thể, có khả năng gắn các đuôi 802.1Q (gọi là .1Q tag) của hắn vào khung. Khung này sẽ vào VLAN với đuôi .1Q đầu ra không xác định. Một đặc điểm quan trọng của kiểu tấn công VLAN hopping đóng gói kép là nó có thể tiến hành thậm chỉ với các cổng trunk kế đã được thiết lập ở chế độ Off. Ngăn chặn các cuộc tấn công kiểu này không dễ như việc ngăn chặn các cuộc tấn công kiểu VLAN hopping cơ bản. Biện pháp tốt nhất để đảm bảo các VLAN thuần của các cổng trung kế được phân biệt rạch ròi với các VLAN thuần của các cổng của người dùng. Để biêt thêm biện pháp ngăn chặn các cuộc tấn công kiểu này, xem tại kết nối .