Обеспечение безопасности сетей с использованием частных виртуальных локальных сетей и списков управления доступом

Обеспечение безопасности сетей с использованием частных виртуальных локальных сетей и списков управления доступом Содержание Введение Перед началом работы Условные обозначения Предварительные условия Используемые компоненты Базовые сведения Важность принудительного включения правильной модели доверия Частные сети VLAN Списки управления доступом виртуальной LAN Известные ограничения виртуальных LAN и частных виртуальных LAN Наглядные примеры Транзит через демилитаризированную зону (DMZ) Внешняя DMZ Концентратор VPN параллельно с межсетевым экраном Дополнительные сведения Введение Одним из ключевых факторов для создания успешного проекта безопасности сети является определение и применение правильной модели доверия.

Правильная модель доверия определяет объекты общения и типы передаваемого трафика; остальной трафики отклоняется. Как только идентифицирована правильная модель доверия, разработчик средств безопасности должен решить, как задействовать модель. По мере расширения глобального доступа к критичным ресурсам и появления новых видов сетевых атак усложняется инфраструктура сетевой безопасности и расширяется спектр продуктов обеспечения безопасности. Такие продукты и технологии как межсетевые экраны, маршрутизаторы, коммутаторы локальных сетей LAN, системы защиты от несанкционированного доступа, серверы AAA и виртуальные частные сети VPN помогают реализовать модель доверия.

Разумеется, каждый из подобных продуктов играет особую роль в использовании общих систем защиты. И разработчику важно понимать, как применяются все ее элементы. Перед началом работы Условные обозначения Дополнительные сведения об условных обозначениях в документах см. в статье Условные обозначения, используемые в технической документации Cisco. Предварительные условия В этом документе описаны конфигурации PVLAN на коммутаторах, работающих только с CatOS. Дополнительные сравнительные примеры конфигурации сетей PVLAN для коммутаторов под управлением Cisco IOS и CatOS см. в документе Конфигурация изолированных частных сетей VLAN для коммутаторов Catalyst.

Не все коммутаторы и версии программного обеспечения поддерживают частные виртуальные локальные сети (PVLAN). О возможностях поддержки платформ и версий программного обеспечения сетями PVLAN см. в статье Матрица поддержки частных VLAN коммутатором Catalyst.

Стр. 1

Используемые компоненты Настоящий документ не имеет жесткой привязки к устройству или какой-либо версии ПО. Общие сведения Определение и применение правильной модели доверия казалось основной задачей. Но после нескольких лет поддержки использования систем безопасности опыт показывает, что проблемы возникают из-за некачественного проектирования системы безопасности. Обычно некачественные разработки являются прямым следствием того, что надлежащая модель доверия не включена принудительно. Это происходит по разным причинам: иногда из-за нечеткого понимания необходимых действий, а иногда из-за того, что применяемые технологии не полностью освоены либо неправильно используются.

В документе приведены подробные сведения о двух функциях, доступных в коммутаторах Catalyst: частных виртуальных локальных сетях (PVLAN) и списках управления доступом сетей (VACLs). Применение этих функций гарантирует адекватную модель доверия как в корпоративной среде, так и в среде провайдера услуг. Важность принудительного включения правильной модели доверия Если принудительно не включить адекватную модель доверия, это немедленно приведет к снижению сопротивляемости всего механизма безопасности вредоносным действиям. Демилитаризованные зоны (DMZ) обычно внедряются без применения политик прав, т.е. способствуют деятельности потенциальных злоумышленников.

В этом разделе приводится анализ частоты применения DMZ и последствий некачественного проектирования. Здесь также объясняется, как ограничить, а лучше избежать некоторых этих последствий. Обычно серверы DMZ только обрабатывают входящие запросы из Интернета и через определенное время инициируют подключение к внутренним серверам (таким как сервер базы данных), находящимся во внутреннем или другом сегменте DMZ. В то же время не предполагается взаимодействие DMZ-серверов друг с другом или инициирование подключений к внешнему миру. Таким образом, необходимые потоки трафика описываются с использованием простой модели доверия. Однако зачастую этот тип модели применяется неадекватно.

Проектировщики обычно хотят применить DMZ с помощью общего сегмента для всех серверов без управления трафиком между ними. Например, все серверы находятся в общей сети VLAN. Поскольку внутри той же самой VLAN трафик не контролируется, то если один серверов скомпрометирован, этот сервер может быть использован в качестве источника атаки на любой из серверов и хостов в том же сегменте. Это облегчает деятельность потенциального злоумышленника во время проверки перенаправления порта или атаки на прикладном уровне. Обычно для управления входящими соединениями используются межсетевые экраны и фильтры пакетов, но ограничение соединений, инициируемых из DMZ, не применяется.

Не так давно существовали известные уязвимости в сценарии cgi-bin: злоумышленник мог запустить сеанс X-term, просто отправив поток данных HTTP; это трафик, который должен быть разрешен межсетевым экраном. Если злоумышленник был достаточно удачлив, он мог использовать еще один способ получения корневого приглашения, обычно - вид атаки с переполнением буфера. В большинстве случаев подобного рода проблем можно избежать путем принудительного включения правильной модели доверия. Во-первых, не предполагаются переговоры серверов друг с другом, и, во-вторых, никакие соединения не должны исходить от этих серверов к внешнему миру.

Одни и те же комментарии применимы ко многим другим сценариям, начиная от обычных ненадежных сегментов и заканчивая фермами серверов поставщиков услуг доступа к приложениям. Сети PVLAN и списки VACL в коммутаторах Catalyst помогают определить правильную модель доверия. Сети PVLAN помогают ограничить трафик между хостами в общем сегменте, тогда как списки VACL обеспечивают дальнейший контроль потока трафика, созданного или предназначенного определенному сегменту. Эти средства рассматриваются в следующих разделах.

Частные сети VLAN Сети PVLAN доступны для Catalyst 6000 под управлением CatOS версии 5.4 или более поздней, Catalyst 4000, 2980G, 2980G-A, 2948G и 4912G под управлением CatOS версии 6.2 или более поздней.

Стр. 2

С нашей точки зрения сети PVLAN являются инструментом, способствующим разделению трафика на уровне 2 (L2) за счет превращения широковещательного сегмента в нешироковещательный сегмент с множественным доступом. Трафик, приходящий на коммутатор из смешанного порта (то есть порта, который может пересылать и в первичные, и во вторичные VLAN), может выходить на все порты, принадлежащие той же первичной VLAN. Трафик, приходящий на коммутатор из порта, соответствующего вторичной VLAN (это может быть изолированная сеть, сообщество или двунаправленная VLAN сообщества) может быть направлен на случайный порт или порт, принадлежащий тому же сообществу VLAN.

Несколько портов, сопоставляемых с одной изолированной VLAN, не могут обмениваться трафиком. На следующем рисунке отображена данная концепция. Рис. 1. Частные сети VLAN Первичные сети VLAN представлены голубым цветом; вторичные – красным и желтым. Хост 1 подключен к порту коммутатора, принадлежащему ко вторичной (красной) сети VLAN. Хост 2 подключен к порту коммутатора, принадлежащего желтой вторичной VLAN. Когда хост выполняет передачу, трафик переносится во вторичной VLAN. Например, когда хост 2 передает трафик, он идет по желтой сети VLAN. Когда хосты принимают трафик, он идет из первичной (голубой) сети VLAN.

Порты с соединенными маршрутизаторами и межсетевыми экранами называются смешанными, так как они способны пересылать трафик по вторичной сети VLAN, обозначенной на схеме как первичная VLAN. Порты, соединенные с каждым из хостов, способны пересылать трафик как из первичной, так и из вторичной сети VLAN, настроенной на этот порт. На рисунке представлены частные VLAN как разные магистрали, соединяющие маршрутизаторы и хосты: магистраль, связывающая все остальные сети VLAN, является первичной VLAN (голубой), а трафик по голубым сетям VLAN передается из маршрутизаторов в хосты. Внутренние магистрали первичной сети VLAN являются вторичными VLAN, а трафик в них передается из хостов к маршрутизатору.

Как показано на рисунке, первичная сеть VLAN может объединять одну или несколько вторичных сетей VLAN. Ранее в настоящем документе было упомянуто, что сети PVLAN содействуют продвижению соответствующей модели доверия путем обеспечения сегрегации хостов в рамках общего сегмента. Теперь, больше узнав о частных VLAN, рассмотрим, как это можно реализовать в нашем начальном сценарии DMZ. Предполагается, что серверы не общаются друг с другом, но им, тем не менее, необходимо обмениваться данными с межсетевым экраном или маршрутизатором, с которым они соединены.

В данном случае серверы должны быть подключены к изолированным портам, а маршрутизаторы и межсетевые экраны должны быть подключены к портам, работающим в режиме приема всех пакетов. Таким образом, если один из серверов скомпрометирован, злоумышленник не сможет использовать его в качестве источника атаки на другой сервер в том же сегменте. Коммутатор отбросит любой пакет, передаваемый со скоростью проводной передачи без нарушения производительности. Еще одно важное замечание: контроль такого типа можно применить только к устройствам L2, так как все серверы принадлежат одной подсети.

Межсетевой экран или маршрутизатор никак не могут на это повлиять, поскольку серверы будут пытаться связаться напрямую. Кроме того, можно установить порт межсетевого экрана для каждого сервера, но это, скорее всего, не масштабируется и будет слишком сложно и дорого.

Стр. 3

В последующем разделе подробно описаны типичные сценарии использования данной функции. Списки управления доступом VLAN Списки VACL доступны в коммутаторах Catalyst серии 6000 под управлением CatOS 5.3 или более поздних версий. Списки VACL можно настроить на Catalyst 6500 на уровне L2 без необходимости в маршрутизаторе (требуется лишь карта Policy Feature Card (PFC)). Эти функции применяются на скорости проводной передачи (без нарушения производительности) при настройке списков VACL в маршрутизаторе Catalyst 6500. Поскольку поиск списков VACL выполняется на аппаратном уровне вне зависимости от размера списка доступа, скорость пересылки остается неизменной.

Списки VACL могут сопоставляться отдельно в первичной или вторичной сетях VLAN. Настройка списков VACL во вторичных VLAN позволяет фильтровать трафик, генерируемый хостами, не затрагивая трафик между маршрутизаторами и межсетевыми экранами. Путем объединения списков VACL и частных сетей VLAN возможно фильтровать трафик на основе его направления (передачи). Так, если два маршрутизатора подключены к тому же сегменту, что и некоторые хосты (например серверы), можно настроить списки VACL во вторичных VLAN так, чтобы фильтровать только трафик, генерируемый хостами, не затрагивая трафик обмена данными между маршрутизаторами. Для применения соответствующей модели доверия могут быть развернуты VACL.

Рассмотрим пример демилитаризованной зоны (DMZ). Предполагается, что серверы DMZ работают только с входящими соединениями, они не запускают соединения во внешние сети. Для управления исходящим трафиком данных серверов к вторичным сетям VLAN может быть применен список VACL. Важно отметить, что при использовании списков VACL трафик отбрасывается на аппаратном уровне, поэтому никакого воздействия ни на CPU маршрутизатора, ни на CPU коммутатора не оказывается. В случае, если один из серверов окажется источником атаки распределенного отказа от обслуживания (DDoS), коммутатор сбросит незаконный трафик со скоростью проводной передачи без нарушения производительности.

Похожие фильтры применяются в маршрутизаторах или межсетевых экранах, присоединенных к серверам, но обычно это имеет серьезные последствия, связанные с производительностью. Известные ограничения VACL и PVLAN При настройке фильтрации со списками VACL будьте осторожны с обработкой фрагментов на PFC, а также с настройкой в соответствии со спецификацией оборудования. Учитывая конструктивные особенности PFC модуля Supervisor 1 в Catalyst 6500, лучше всего в явной форме запретить фрагменты ICMP. Причиной является то, что фрагменты протокола ICMP и эхо-ответ воспринимаются аппаратным обеспечением одинаково и по умолчанию аппаратное обеспечение программируется на явное разрешение фрагментов.

Поэтому, если необходимо остановить пакеты эхо-ответа от сервера, необходимо в явном виде указать это с помощью команды deny icmp any any fragment . В конфигурациях, описанных в данном документе, эти особенности принимаются во внимание. Существует известное ограничение безопасности для PVLAN: возможность того, что маршрутизатор перенаправит трафик обратно в ту же подсеть, из которой он пришел. Маршрутизатор может распределять трафик через изолированные порты, отменяя назначение PVLAN. Это ограничение обусловлено тем, что PVLAN являются средством, которое предоставляет изоляцию на уровне 2 (L2), а не на уровне 3 (L3).

Одноадресный обратный путь пересылки (uRPF) плохо сочетается с портами хостов сети PVLAN, поэтому uRPF с данной сетью не используется. Эта проблема устраняется путем настройки списков VACL в первичных сетях VLAN. В этом исследовании описаны списки VACL, которые нужно создать в первичной VLAN для сброса трафика, вышедшего из одной подсети и направленного обратно в нее же. На некоторых картах предусмотрены определенные ограничения по конфигурации сопоставления, карт и магистральных портов PVLAN, например, конфигурация нескольких сопоставлений PVLAN возможна, только если они принадлежат специализированным интегральным схемам (ASIC) с различными портами.

Эти ограничения переносятся на новый порт ASIC Coil3. Дополнительные сведения о настройке ПО см. в последней версии документации к коммутаторам Catalyst.

Стр. 4