an toàn trong mạng VLAN

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢI KHOA CÔNG NGHỆ THÔNG TIN BÁO CÁO TÌM HIỂU ĐỀ TÀI MÔN AN NINH MẠNG Đề tài Nghiên cứu về an toàn trong mạng VLAN Giảng viên hướng dẫn Lê Thanh Tấn Lớp 70DCTM21 Sinh viên thực hiện Phạm Văn Khiết Trần Quốc Khánh Dương Ngọc Phương HÀ NỘI 2022 MỤC LỤC 1 GIỚI THIỆU 3 2 PHÂN LOẠI 4 Có 3 loại VLAN, bao gồm 4 3 ƯU ĐIỂM CỦA VLAN 5 4 CẤU TRÚC HOẠT ĐỘNG CỦA VLAN 5 5 PHÂN LOẠI CÁC KIỂU VLAN 10 6 CÁC MÔ HÌNH MẠNG VLAN 12 a Mô hình cài đặt VLAN dựa.

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢI KHOA CƠNG NGHỆ THƠNG TIN ********** ******* BÁO CÁO TÌM HIỂU ĐỀ TÀI MÔN AN NINH MẠNG Đề tài: Nghiên cứu an toàn mạng VLAN Giảng viên hướng dẫn Lớp Sinh viên thực : Lê Thanh Tấn : 70DCTM21 : Phạm Văn Khiết Trần Quốc Khánh Dương Ngọc Phương HÀ NỘI-2022 MỤC LỤC GIỚI THIỆU PHÂN LOẠI Có loại VLAN, bao gồm: ƯU ĐIỂM CỦA VLAN .5 CẤU TRÚC HOẠT ĐỘNG CỦA VLAN 5 PHÂN LOẠI CÁC KIỂU VLAN 10 CÁC MƠ HÌNH MẠNG VLAN .12 a Mơ hình cài đặt VLAN dựa cổng: 12 b Mơ hình cài đặt VLAN tĩnh: 13 c Mơ hình cài đặt VLAN động : .14 d Mơ hình thiết kế VLAN với mạng đường trục: .14 CÁC BƯỚC CẤU HÌNH MỘT VLAN 15 Tài liệu tham khảo 17 GIỚI THIỆU VLAN viết tắt Virtual Local Area Network hay gọi mạng LAN ảo VLAN kỹ thuật cho phép tạo lập mạng LAN độc lập cách logic kiến trúc hạ tầng vật lý Việc tạo lập nhiều mạng LAN ảo mạng cục (giữa khoa trường học, cục công ty, ) giúp giảm thiểu vùng quảng bá (broadcast domain) tạo thuận lợi cho việc quản lý mạng cục rộng lớn Với mạng LAN thơng thường, máy tính địa điểm (cùng phịng ) kết nối với thành mạng LAN, sử dụng thiết bị tập trung hub switch Có nhiều mạng LAN khác cần nhiều hub, swich Tuy nhiên thực tế số lượng máy tính LAN thường khơng nhiều, ngồi nhiều máy tính địa điểm (cùng phịng) thuộc nhiều LAN khác tốn nhiều hub, switch khác Do vừa tốn tài nguyên số lượng hub, switch lãng phí số lượng port Ethernet Với nhu cầu tiết kiệm tài nguyên, đồng thời đáp ứng nhu cầu sử dụng nhiều LAN địa điểm, giải pháp đưa nhóm máy tính thuộc LAN khác vào tập trung switch Giải pháp gọi mạng LAN ảo hay VLAN Hiện nay, VLAN đóng vai trị quan trọng cơng nghệ mạng LAN Để thấy rõ lợi ích VLAN, xét trường hợp sau : Giả sử công ty có phận là: Engineering, Marketing, Accounting, phận lại trải tầng Để kết nối máy tính phận với ta lắp cho tầng switch Điều có nghĩa tầng phải dùng switch cho phận, nên để kết nối tầng công ty cần phải dùng tới switch Rõ ràng cách làm tốn mà lại tận dụng hết số cổng (port) vốn có switch Chính lẽ đó, giải pháp VLAN đời nhằm giải vấn đề cách đơn giản mà tiết kiệm tài nguyên Như hình vẽ ta thấy tầng công ty cần dùng switch, switch chia VLAN Các máy tính phận kỹ sư (Engineering) gán vào VLAN Engineering, PC phận khác gán vào VLAN tương ứng Marketing kế tốn (Accounting) Cách làm giúp ta tiết kiệm tối đa số switch phải sử dụng đồng thời tận dụng hết số cổng (port) sẵn có switch PHÂN LOẠI Có loại VLAN, bao gồm:  VLAN dựa cổng (port based VLAN): Mỗi cổng (Ethernet Fast Ethernet) gắn với VLAN xác định Do máy tính/thiết bị host kết nối với cổng switch thuộc VLAN Đây cách cấu hình VLAN đơn giản phổ biến  VLAN dựa địa vật lý MAC (MAC address based VLAN): Mỗi địa MAC gán tới VLAN định Cách cấu hình phức tạp khó khăn việc quản lý  VLAN dựa giao thức (protocol based VLAN): tương tự với VLAN dựa địa MAC sử dụng địa IP thay cho địa MAC Cách cấu hình khơng thơng dụng ƯU ĐIỂM CỦA VLAN  Tiết kiệm băng thông hệ thống mạng: VLAN chia mạng LAN thành nhiều đoạn (segment) nhỏ, đoạn vùng quảng bá (broadcast domain) Khi có gói tin quảng bá (broadcast), truyền VLAN tương ứng Do việc chia VLAN giúp tiết kiệm băng thơng hệ thống mạng  Tăng khả bảo mật: Do thiết bị VLAN khác truy nhập vào (trừ ta sử dụng router nối VLAN) Như ví dụ trên, máy tính VLAN kế tốn (Accounting) liên lạc với Máy VLAN kế toán khơng thể kết nối với máy tính VLAN kỹ sư (Engineering)  Dễ dàng thêm hay bớt máy tính vào VLAN: Việc thêm máy tính vào VLAN đơn giản, cần cấu hình cổng cho máy vào VLAN mong muốn  Giúp mạng có tính linh động cao: VLAN dễ dàng di chuyển thiết bị Giả sử ví dụ trên, sau thời gian sử dụng công ty định để phận tầng riêng biệt Với VLAN, ta cần cấu hình lại cổng switch đặt chúng vào VLAN theo yêu cầu VLAN cấu hình tĩnh hay động Trong cấu hình tĩnh, người quản trị mạng phải cấu hình cho cổng switch Sau đó, gán cho vào VLAN Trong cấu hình động cổng switch tự cấu hình VLAN cho dựa vào địa MAC thiết bị kết nối vào CẤU TRÚC HOẠT ĐỘNG CỦA VLAN Cấu trúc mạng VLAN gồm tầng thiết bị hình Tầng 1: Router làm nhiệm vụ định tuyến VLAN Tầng 2: switch Trên cổng switch chia thành VLAN Tầng 3: workstation Ký hiệu T: đường Trunk Mơ hình cấu trúc tổng thể VLAN 4.1 Cách thức tạo lập VLAN Mỗi cổng switch chia cho VLAN Những cổng chia sẻ cho VLAN chia sẻ broadcast Cổng khơng thuộc VLAN khơng chia sẻ broadcast Những cải tiến VLAN làm giảm bớt broadcast lãng phí băng thơng Có phương thức để tạo lập VLAN: ·VLAN tĩnh (Static VLAN) ·VLAN động (Dynamic VLAN) 4.1.1 Static VLAN Phương thức ám port-base membership Việc gán cổng switch vào VLAN tạo static VLAN Giống thiết bị kết nối vào mạng, tự động thừa nhận VLAN cổng Nếu user thay đổi cổng cần truy cập vào VLAN, người quản trị mạng cần phải khai báo cổng tới VLAN cho kết nối tới 4.1.2 Dynamic VLAN VLAN tạo thông qua việc sử dụng phần mềm Ciscowork 2000 Với VMPS (VLAN Management Policy Server) đăng ký cổng cuả switch vào VLAN cách tự động dựa địa MAC nguồn thiết bị nối vào cổng Dynamic VLAN thời tính đến thành viên dựa địa MAC thiết bị Như mộ thiết bị mạng, truy vấn sở liệu VMPS VLAN thành viên Trên switch cổng gán cho VLAN cụ thể độc lập với user hệ thống gắn với cổng Điều có nghĩa tất user nằm cổng nên thành viên VLAN Một workstation hay HUB kết nối vào cổng VLAN Người quản trị mạng thực gán VLAN Cổng mà cấu hình Static khơng thể thay đổi cách tự động tới VLAN khác mà cấu hình lại switch Khi user gắn với phân đoạn mạng chia sẻ, tất user chia sẻ băng thông phân đoạn mạng Mỗi user gắn vào mơi trường chia sẻ, có băng thơng sẵn có cho user, tất user đầu nằn miền xung đột Nếu chia sẻ trở nên lớn, xung đột sảy q mức trình ứng dụng bị chất lượng Các switch làm giảm xung đột cách cung cấp băng thông thiết bị sử dụng Micro segmentation (Vi phân đoạn), nhiên switch chuyển gói tin dạng ARP (Address Resolution Protocol – Giao thức độ phân giải địa chỉ) VLAN đưa nhiều băng thông cho user mạng chia sẻ cách hạn chế miền quảng bá cụ thể VLAN mặc định cho tất cổng switch VLAN1 management VLAN VLAN mặc định khơng thể xố, nhiên VLAN thêm vào tạo cổng gán lại tới VLAN sen kẽ Mỗi cổng giao diện switch giống cổng bridge switch đơn giản bridge nhiều cổng Các bridge lọc tải mạng mà không cần quan tâm đến phân đoạn mạng nguồn mà cần quan tâm đến phân đoạn mạng đích Nếu frame cần chuyển qua bridge , địa MAC đích biết được, bridge chuyển frame tới cổng giao diện xác Nếu bridge switch khơng biết đích đến, chuyển gói tin qua tất cổng vùng quản bá (VLAN) trừ cổng nguồn Mỗi VLAN nên có địa lớp địa subnet đựoc đăng ký Điều giúp Router chuyển mạch gói VLAN Các VLAN tồn mạng End –to-end (Từ đầu cuối đến đầu cuối) 4.2 Các End-to-End VLAN (VLAN đầu cuối) Các End-to-end VLAN cho phép thiết bị nhóm sử dụng chung tài nguyên Bao gồm thơng số server lưu trữ, nhóm dự án phịng ban Mục đích End-to-end VLAN trì 80% thơng lượng VLAN thời Một End-to-end VLAN có đặc điểm sau: ·Các user nhóm vào VLAN độc lập vị trí vật lý lại phụ thuộc vào nhóm chức nhóm đặc thù cơng việc ·Tất user VLAN nên có kiểu truyền liệu 80/20 (80% băng thông cho VLAN hiên thời/ 20% băng thông cho truy cập từ xa) ·Như user di chuyển khuôn viên mạng, VLAN dành cho user khơng nên thay đổi ·Mỗi VLAN có bảo mật riêng cho thành viên Như vậy, End-to-end VLAN, user nhóm vào thành nhóm dựa theo chức năng, theo nhóm dự án theo cách mà người dùng sử dụng tài nguyên mạng 4.3 Geographic VLANs (Các VLAN cục bộ) Nhiều hệ thống mạng mà cần có di chuyển tới nơi tập trung tài nguyên, End-to-end VLAn trở nên khó trì Những user u cầu sử dụng nhiều nguồn tài nguyên khác nhau, nhiều số khơng cịn VLAN chúng Bởi thay đổi địa điểm cách sử dụng tài nguyên Các VLAN tạo xung quanh giới hạn địa lý giới hạn thông thường Vị trí địa lý rộng tồn tồ nhà, nhỏ switch wiring closet Trong cấu trúc VLAN cục bộ, cách để tìm ngun tắc 20/80 hiệu với 80% thông luợng truy cập từ xa 20% thông lượng thời tới user Điều trái ngược với End-to-end VLAN hình thái mạng user phải qua thiết bị lớp để đạt 80% tài nguyên khai thác Thiết kế cho phép cung cấp cho dự định, phương thức chắn việc xác nhận tài ngun 4.4 Các kiểu VLAN Có mơ hình để xác định điều khiển gói tin gán vào VLAN: ·VLAN dựa cổng – port-base VLANs ·VLAN dựa địa MAC – MAC address-base VLANs ·VLAN dựa giao thức – Protocol-base VLANs Số lượng VLAN switch khác nhau, phụ thuộc vào vài yếu tố Như: kiểu lưu lượng, kiểu ứng dụng, nhu cầu quản lý mạng nhóm thơng dụng Thêm phải xem xét vấn đề quan trọng việc xác địng rõ kích cỡ switch số lượng VLAN xếp dãy địa IP 4.5 Nhận dạng VLAN Frame Với VLAN sử dụng nhiều switch, frame header đóng gói sử dụng lại để phản hồi lại VLAN Id trước Frame gửi vào nối kết switch Trước chuyển gói tin đến điểm cuối, Frame header thay đổi trở lại với định dạng ban đầu VLAN nhận dạng cách: gói tin thuộc VLAN Phương thức đa mạch nối (Multiple trunking) tồn tại, bao gồm IEEE 802.1q, ISL, 802.10 LANE Trong khuôn khổ luận văn đề cập đến IEEE 802.1q ISL 4.5.1 IEEE 802.1q: Frame tagging Giao thức phương thức chuẩn IEEE để dành cho việc nhận dạng VLAN cách thêm vào Frame header đặc điểm cuả VLAN Phương thức gọi gắn thẻ cho Frame (Frame tagging) Hình minh hoạ định dạng Frame 802.1q với VLAN Id Mỗi cổng 802.1q gán cho đường trunk tất cổng đường trunk Native VLAN Mỗi cổng 802.1q gán giá trị nhận dạng native VLAN Id (Mặc định VLAN 1) Tất Frame không gắn thẻ gán vào LAN mà theo lý thuyết nằm tham số Id Một đường trunk 802.1q kết hợp cổng trunk có giá trị Native VLAN Tuy nhiên trạm làm việc thơng thường đọc Native Frame không gắn thẻ lại không đọc Frame gắn thẻ IEEE 802.1q Frame tagging đưa phương truyền thông VLAN switch 4.5.2 Inter-Switch Link Protocol ISL giao thức đóng gói Cisco Giao thức dùng để đa liên kết hệ thống đa switch, hỗ trợ, tương thích switch tốt Router Dòng switch Castalyst sử dụng ISL frame tagging kỹ thuật có độ trễ thấp, dùng cho việc dồn kênh từ nhiều VLAN đường dây vật lý ISL thực thi cho kết nối switch, Router NIC sử dụng node server Để hỗ trợ chức ISL, thiết bị kết nối phải cấu hình ISL PHÂN LOẠI CÁC KIỂU VLAN Có nhiều kiểu VLAN khác : VLAN / Default VLAN / User VLAN / Native VLAN / Management VLAN Mặc định, tất giao diện Ethernet Cisco switch nằm VLAN VLAN Mặc định, thiết bị lớp sử dụng VLAN mặc định để đưa tất cổng thiết bị vào Thêm vào có nhiều giao thức lớp CDP, PAgP, VTP cần phải gửi tới VLAN xác định đường trunk Chính mục đích mà VLAN mặc định chọn VLAN CDP, PagP, VTP, DTP luôn truyền qua VLAN mặc định thay đổi Các khuyến cáo Cisco VLAN nên dành cho giao thức kể Default VLAN VLAN gọi default VLAN Chính vậy, mặc định, native VLAN, management VLAN user VLAN thành viên VLAN Tất giao diện Ethernet switch Catalyst mặc định thuộc VLAN Các thiết bị gắn với giao diện thành viên VLAN 1, trừ giao diện cấu hình sang VLAN khác User VLANs Hiểu đơn giản User VLAN VLAN tạo nhằm tạo nhóm người sử dụng mà khơng phụ thuộc vào vị trí địa lý hay logic tách biệt với phần lại mạng ban đầu Câu lệnh switchport access vlan dùng để định giao diện vào VLAN khác Native VLAN Một chủ đề hay gây nhầm lẫn Native VLAN Native VLAN VLAN có cổng cấu hình trunk Khi cổng switch cấu hình trunk, phần tag frame qua cổng thêm số hiệu VLAN thích hợp Tất frames thuộc VLAN qua đường trunk gắn thêm tag giao thức 802.1q ISL, ngoại trừ frame VLAN Như vậy, theo mặc định frames VLAN qua đường trunk không gắn tag Khả cho phép cổng hiểu 802.1Q giao tiếp với cổng cũ không hiểu 802.1Q cách gửi nhận trực tiếp luồng liệu không gắn tag Tuy nhiên, tất trường hợp khác, điều lại gây bất lợi, gói tin liên quan đến native VLAN bị tag Native VLAN chuyển thành VLAN khác câu lệnh : Switch(config-if)#switchport trunk native vlan vlan-id Chú ý : native VLAN không nên sử dụng user VLAN hay management VLAN Management VLAN Hiện nay, đa số thiết bị router, switch truy cập từ xa cách telnet đến địa IP thiết bị Đối với thiết bị mà cho phép truy cập từ xa nên đặt vào VLAN, gọi Management VLAN VLAN độc lập với VLAN khác user VLAN, native VLAN Do mạng có vấn đề : hội tụ với STP, broadcast storms, Management VLAN cho phép nhà quản trị truy cập vào thiết bị giải vấn đề Một yếu tố khác để tạo Management VLAN độc lập với user VLAN việc 10 tách thiết bị đáng tin cậy với thiết bị không tin cậy Do làm giảm khả user khác đạt quyền truy cập vào thiết bị Các chế độ VLAN Các cổng (port) switch hoạt động chế độ: Chế độ trung kế (trunking mode) chế độ truy nhập (access mode) -Trunking mode Trunking mode cho phép tập hợp lưu lượng từ nhiều VLAN qua cổng vật lý đơn Các kết nối trung kế thường sử dụng kết nối switch với -Access mode Giao diện thuộc VLAN Thông thường cổng switch gắn tới thiết bị người dùng đầu cuối server Cổng Trunk gì? Khi liên kết hai switch router switch truyền tải lưu lượng nhiều VLAN cổng gọi cổng trunk Cổng trunk phải chạy giao thức đường truyền đặc biệt Giao thức sử dụng giao thức độc quyền ISL Cisco IEEE chuẩn 802.1q CÁC MƠ HÌNH MẠNG VLAN a Mơ hình cài đặt VLAN dựa cổng: 11 Trong sơ đồ này, nút nối cổng switch thuộc VLAN Mơ hình tăng cường tối đa hiệu suất chuyển tải thơng tin vì: - Người sử dụng gán dựa cổng - VLANs quản lý cách dễ dàng - Tăng cường tối đa tính an tồn VLAN - Các gói tin khơng rị rỉ sang vùng khác - VLANs thành phần điều khiển cách dễ dàng tồn mạng b Mơ hình cài đặt VLAN tĩnh:  VLAN tĩnh nhóm cổng switch mà nhà quản trị mạng gán vào VLAN Các cổng thuộc VLAN mà gán nhà quản trị thay đổi  Kiểu VLAN thường hoạt động tốt mạng mà di dời điều khiển quản lý 12 c Mơ hình cài đặt VLAN động :  VLAN động nhóm cổng switch mà chúng xác định tự động việc gán VLAN cho chúng Hầu hết nhà sản xuất switch sử dụng phần mềm quản lý thông minh  Sự vận hành VLAN động dựa địa vật lý MAC, địa luận lý hay kiểu giao thức gói tin  Khi trạm nối kết lần vào cổng switch, switch tương ứng kiểm tra mục từ chứa địa MAC sở liệu quản trị VLAN tự động cấu hình cổng vào VLAN tương ứng  Thông thường, cần nhiều quản trị trước để thiết lập sở liệu phần mềm quản trị VLAN trì sở liệu xác tất máy tính tồn mạng d Mơ hình thiết kế VLAN với mạng đường trục:  Đường trục thông thường hoạt động điểm tập hợp nhiều lượng thơng tin lớn Nó mang thơng tin người dùng cuối VLAN nhận dạng switch, router server nối trực tiếp 13 CÁC BƯỚC CẤU HÌNH MỘT VLAN Tùy vào SWITCH khác háng hay khác hãng sản xuất mà có cách cấu hình khác nhau.Xin đưa cách khái quát bước cấu hình VLAN: Bước 1: Cấu hình Switch: a Vào mức cấu hình b Cấu hình tên Switch c Cấu hình password enable d Cấu hình Authentication e Cấu hình cho phép telnet console với sách bảo mật cho telnet console f Cấu hình VLAN cho Switch (optional) g Cấu hình enterface hoạt động trunk interface h Cấu hình routing cho VLANs (optional) i Cấu hình địa IP cho VLAN j Cấu hính SNMP phục vụ cho nhu cầu quản trị k Kết thúc cấu hình Bước 2: Cấu hình VTP Bước 3: Cấu hình VLANs Bước 4: Định tuyến VLAN 14 Ngồi cịn cấu hình tham khảo như:  Cấu hình Port Security  Cấu hình PortFast  Cấu hình UplinkFast  Cấu hình BackboneFast 15 Tài liệu tham khảo - http://tailieu.vn/xem-tai-lieu/vlan-trunking-and-vtp-domain.66140.html - http://tailieu.vn/tag/tai-lieu/VLAN.html - Tài liệu VLAN: http://www.mediafire.com/?tmeogmim2jt 16 ... VLAN Có mơ hình để xác định điều khiển gói tin gán vào VLAN: ? ?VLAN dựa cổng – port-base VLANs ? ?VLAN dựa địa MAC – MAC address-base VLANs ? ?VLAN dựa giao thức – Protocol-base VLANs Số lượng VLAN. .. lập VLAN: ? ?VLAN tĩnh (Static VLAN) ? ?VLAN động (Dynamic VLAN) 4.1.1 Static VLAN Phương thức ám port-base membership Việc gán cổng switch vào VLAN tạo static VLAN Giống thiết bị kết nối vào mạng, ... kiểu VLAN khác : VLAN / Default VLAN / User VLAN / Native VLAN / Management VLAN Mặc định, tất giao diện Ethernet Cisco switch nằm VLAN VLAN Mặc định, thiết bị lớp sử dụng VLAN mặc định để đưa