- Å skille bedriftsnettverket og gjestenettverket kan gjøres med subnett og VLAN-er uten å duplisere hele infrastrukturen.
- Kombinert bruk av NAT, statiske ruter og brannmurregler lar deg kontrollere hvilke enheter som får tilgang til Internett og hvilke ressurser.
- Å tilknytte forskjellige SSID-er til forskjellige VLAN-er isolerer ansattes WiFi fra kundens WiFi, samtidig som det opprettholdes ett enkelt fysisk nettverk.
- Filtrering etter IP, domene og segmentering bidrar til å beskytte kameraer, skrivere og servere mot uautorisert tilgang.
Å skille kontornettverket fra gjeste- eller klientnettverket har blitt nesten obligatorisk for enhver bedrift, uansett hvor liten den er. Dette handler ikke bare om personvern, men også om å unngå hverdagsproblemer som en nabo som ser på IP-kameraene dine eller klienter som overbelaster forbindelsen som brukes av ansatte i jobbsammenheng. Hvis du trenger å forbedre Wi-Fi-sikkerheten din, kan du se hvordan du beskytter et gjeste- eller klientnettverk.
Det kan virke komplisert å sette opp to helt separate nettverk på samme ruter eller infrastruktur i starten, spesielt når konsepter som VLAN, NAT eller statiske ruter kommer inn i bildet. Med god planlegging og forståelse av funksjonen til hvert element (ruter, svitsj, brannmur, tilgangspunkter osv.) er det imidlertid mulig å ha et sikkert internt nettverk for bedriften og et separat, isolert nettverk for klienter, naboer eller mindre pålitelige enheter.
Typisk scenario: to uavhengige nettverk som deler infrastruktur
Et av de vanligste scenarioene på kontorer og i små bedrifter er å ha to separate logiske nettverk som av ulike årsaker deler noe av maskinvaren eller til og med internettforbindelsen. For eksempel et selskap som deler linjen sin med bedriften i etasjen under, eller et kontor som ønsker å tilby Wi-Fi til kunder uten å gi dem tilgang til serverne eller kameraene sine.
Tenk deg et veldig vanlig scenario fra virkeligheten : bedriften i første etasje abonnerer på en internettforbindelse og har sin egen ruter på 192.168.1.x-nettverket. Ovenpå kobler et annet kontor sin egen ruter til den første og oppretter sitt eget 192.168.2.x-nettverk. Problemet oppstår når bedriften i første etasje, på grunn av en hendelse, trenger tilgang til IP-kameraene og DVR-en som er koblet til nettverket i andre etasje, men ikke har tilgang til resten av utstyret.
I denne sammenhengen er nøkkelen å kontrollere hvilken trafikk som er tillatt mellom subnett og hvilken trafikk som blokkeres. Svært spesifikk tilgang (for eksempel til Reolink DVR-porten) kan åpnes ved hjelp av finjusterte brannmurregler, slik at naboer kan se kameraene, men aldri få tilgang til datamaskiner, servere eller interne ressurser.
Et annet typisk scenario involverer to bygninger eller to etasjer som er sammenkoblet via en mellomliggende ruter eller en trådløs forbindelse (for eksempel med Ubiquiti-antenner), der hver bygning har sitt eget subnett (192.168.1.0/24 og 192.168.2.0/24) og en brannmur eller pfSense-ruter som administrerer internettilgangen. Her eksisterer nettverksseparasjon allerede, men det må tas avgjørelser om hva som kan og ikke kan rutes mellom bygninger, og hvordan WAN-tilgang skal administreres når flere tilkoblinger er tilgjengelige.
Bruk av flere internettforbindelser og sikkerhetskopiering på tvers av nettverk
Mange kontorer kombinerer flere internettlinjer , enten for å øke båndbredden eller for å gi redundans i tilfelle den primære forbindelsen svikter. Det er vanlig å se to uavhengige rutere eller brannmurer, hver med sin egen internettleverandør, og to separate interne nettverk. Dette reiser spørsmålet: kan det andre nettverkets internettleverandør brukes som backup hvis linjen min svikter?
Når internettleverandørmodemer bruker PPPoE og kobler seg direkte til hver brannmur, er det ikke alltid mulig å koble en annen brannmur direkte til samme modemet. I så fall er den vanlige tilnærmingen å bruke en mellomliggende enhet som utfører NAT og distribuerer tilkoblingen til begge brannmurene. Denne ideen er gyldig, men den introduserer høyere latens, mer maskinvare og flere feilpunkter, så det er verdt å vurdere alternativer.
Et profesjonelt alternativ er å sentralisere internettilgang på én enhet (for eksempel en kraftig brannmur eller en bedriftsruter) som har flere WAN-tilkoblinger og håndterer lastbalansering og failover. På denne måten får begge interne nettverk (bedrift og klienter) tilgang til internett gjennom den samme enheten, men forblir isolerte på rutings- og brannmurnivå.
Hvis det allerede finnes to helt separate brannmurer eller rutere , er én løsning å koble dem sammen ved hjelp av et tredje grensesnitt eller et transitt-subnett, og bruke regler som tillater at den ene ruterens WAN brukes som sikkerhetskopi for bestemte segmenter av det andre nettverket. Her er det avgjørende å jobbe med rutemålinger (statiske eller dynamiske) og, i mer avanserte løsninger, med rutingsprotokoller eller skript som oppdager feil på hovedlinjen.
Isoler nettverk for sikkerhet ved hjelp av VLAN-er og delnett
Når vi snakker om å skille ansattnettverket fra gjestenettverket , gjøres det ofte ikke med to fysiske rutere, men med én enkelt infrastruktur som støtter flere VLAN-er og subnett. Dette er grunnlaget for nesten alle moderne bedriftsnettverk og også for mange små og mellomstore bedrifter (SMB-er) som bruker utstyr fra TP-Link, Cisco, Mikrotik og andre.
Vanlig praksis i bedriftsnettverk er å dele trafikken inn etter avdeling: FoU, markedsføring, produkt, administrasjon osv. Hver avdeling har sitt eget subnett og VLAN. Hvis administrerte tilgangspunkter også brukes (som TP-Links CAP/AC-løsning), kan hver Wi-Fi SSID knyttes til et spesifikt VLAN, slik at gjeste-Wi-Fi og bedrifts-Wi-Fi går gjennom separate logiske "tunneler" selv om de deler samme nettverk.
Den typiske topologien i denne typen scenario inkluderer en gateway-ruter som utfører NAT til Internett, en lag 3-svitsj der VLAN-ene og L3-grensesnittene er definert (én IP per VLAN/subnett), og flere CAP-er (administrerte tilgangspunkter) som kringkaster forskjellige SSID-er tilknyttet de tilsvarende VLAN-ene.
For at alle disse nettverkene skal få tilgang til internett , må gateway-ruteren støtte Multi-Net NAT. Hvert delnett, sammen med delnettmasken, er integrert i ruterens webgrensesnitt, noe som indikerer at det er LAN-trafikk som må oversettes til WAN. Samtidig opprettes statiske ruter der destinasjonen er hvert interne delnett og neste hopp er IP-adressen til Layer 3-svitsjen som fungerer som nettverkets «kjerne».
Hvis det allerede finnes to helt separate brannmurer eller rutere , er én løsning å koble dem sammen ved hjelp av et tredje grensesnitt eller et transitt-subnett, og bruke regler som tillater at den ene ruterens WAN brukes som sikkerhetskopi for bestemte segmenter av det andre nettverket. Her er det avgjørende å jobbe med rutemålinger (statiske eller dynamiske) og, i mer avanserte løsninger, med rutingsprotokoller eller skript som oppdager feil på hovedlinjen.
Konfigurering av VLAN-er, porter og ruting på svitsjen
Det neste trinnet i å separere nettverk innenfor den samme fysiske infrastrukturen er å konfigurere VLAN-ene og rollen til hver port på svitsjen riktig. Dette er ofte kjernen i nettverket når man har å gjøre med miljøer med flere SSID-er, flere kontorer eller en kombinasjon av kablede og trådløse nettverk.
I 802.1Q VLAN-delen av svitsjen defineres først portene som skal operere i trunk-modus, vanligvis de som kobles til CAP-ene eller annet distribusjonsutstyr. En trunk-port kan bære tagget trafikk fra flere VLAN-er samtidig, mens tilgangsporter bare bærer ett utagget VLAN, beregnet for PC-er, skrivere eller andre sluttenheter.
Deretter opprettes selve VLAN-ene , og portene som skal være medlemmer legges til hver av dem. For eksempel, for VLAN100 og VLAN200, tilknyttet to forskjellige SSID-er, inkluderes portene 1/0/37 og 1/0/39 (som CAP-ene er koblet til) som medlemsporter. På denne måten vil trafikk som ankommer merket med VLAN100 eller 200 passere gjennom disse portene.
Det er også vanlig å definere et administrasjons-VLAN (for eksempel VLAN 10) som grupperer porten der kontrolleren (AC), CAP-ene og en spesifikk port for administrasjons-PC-en er koblet til. Disse portene tildeles PVID 10 slik at all umerket trafikk går gjennom administrasjons-VLAN-et, slik at bare den PC-en kan administrere Wi-Fi og resten av det trådløse nettverket.
Lag 3-svitsjer oppretter L3-grensesnitt for hvert VLAN , og tilordner dem en statisk IP-adresse og subnettmaske som fungerer som gateway for hvert subnett. En DHCP-server aktiveres deretter for hvert VLAN for å distribuere IP-adresser til trådløse og kablede klienter. Denne serveren definerer IP-adresseområdet, gatewayen (svitsjens eget L3-grensesnitt) og DNS-serverne (vanligvis den utgående ruteren eller offentlige DNS-servere som 8.8.8.8).
Det er viktig å huske at DHCP-serveren ofte er deaktivert som standard på mange svitsjer, så etter at du har opprettet adressegruppene, må du eksplisitt aktivere den. Hvis du glemmer dette trinnet, vil ikke enheter som kobler seg til SSID-ene få en IP-adresse, og Wi-Fi-et vil se ut som om det er nede.
Til slutt defineres en standard statisk rute (0.0.0.0/0) på svitsjen, som peker til gateway-ruteren. Dette sikrer at all trafikk som er ment for et ikke-internt subnett videresendes til gatewayen for å nå internett. Denne ruten garanterer ekstern tilkobling for alle segmenter (VLAN100, VLAN200, VLAN10 osv.), samtidig som eventuelle brannmurregler som senere brukes, respekteres.
Knytt SSID til VLAN for å skille ansattes og kunders WiFi
En av de største fordelene med å bruke CAP/AC eller andre administrerte Wi-Fi-løsninger er muligheten til å opprette flere SSID-er med forskjellige policyer og knytte dem til forskjellige VLAN-er. Dette er akkurat det vi trenger når vi ønsker å skille bedrifts-Wi-Fi fra gjeste- eller kunde-Wi-Fi.
Den generelle prosedyren er vanligvis som følger : først startes kontrolleren (AC) og alle CAP-er tas i bruk. Når administrasjonen er sentralisert, legges de nødvendige SSID-ene (for eksempel "Office" og "Clients") til den trådløse tjenesteseksjonen med sine respektive sikkerhetskonfigurasjoner.
Hver SSID kobles deretter til en radio på CAP-en (2,4 GHz eller 5 GHz, etter behov) og, viktigst av alt for isolering, tilknyttet VLAN-et som tidligere ble opprettet på svitsjen. Et typisk eksempel ville være å tilknytte SSID-en «v100» til VLAN100 og SSID-en «v200» til VLAN200, noe som fører til at trafikken til hvert trådløse nettverk går gjennom et annet delnett og kringkastingsdomene.
Kontrolleren fungerer vanligvis også som en DHCP-server for administrasjonssegmentet (nettverket der CAP-ene befinner seg), og tilordner automatisk IP-adresser til dem. Det finnes vanligvis en standard DHCP-server hvis område samsvarer med IP-adressen som er konfigurert på AC-grensesnittet, slik at CAP-ene mottar konfigurasjon uten å kreve ytterligere endringer.
Med denne utformingen vil en bærbar PC som kobler seg til den ansattes SSID for eksempel motta en IP-adresse som 172.16.10.x, mens en enhet som kobler seg til gjestens SSID vil motta en IP-adresse som 172.16.20.x. Begge vil ha internettilgang uten problemer, men bare bedriftssegmentet vil ha innsyn i interne servere, skrivere eller kameraer, slik brannmuren tillater det.
Kontroller hvilke enheter som har tilgang til Internett med brannmurregler
Når nettverkene er separert, er neste trinn å bestemme hvem som kan få tilgang til internett og hvor. Det er her ruterens brannmur eller selve sikkerhetsenheten (som pfSense eller en brannmur integrert i en Teltonika-ruter) kommer inn i bildet.
På Teltonika-rutere brukes for eksempel menyen Nettverk – Brannmur – Trafikkregler til å opprette videresendingsregler som tillater eller blokkerer trafikk fra LAN til WAN. I delen «Legg til ny videresendingsregel» defineres et navn for regelen, kildesonen (LAN) og destinasjonssonen (WAN), og deretter legges den til for å begynne å konfigurere den.
Hvis du vil blokkere internettilgang fullstendig for alle enheter på LAN-et, setter du ganske enkelt protokollen til «Any» og handlingen til «Drop». Fra det øyeblikket av vil ingen enheter på det LAN-et kunne nå WAN-et. Hvis du senere trenger å tillate internettrafikk igjen, kan du slette eller deaktivere regelen uten å måtte gjøre hele konfigurasjonen på nytt.
Det er også mulig å være mer selektiv og blokkere bare én eller flere klienter på nettverket. I så fall angis den spesifikke IP-adressen som skal blokkeres i feltet Kildeadresse (for eksempel 192.168.1.100) eller til og med et område, ved hjelp av CIDR-notasjon (for eksempel 192.168.1.100/30 for å dekke adresser fra .100 til .103). På denne måten blir en maskin eller gruppe maskiner avskåret fra internett, mens resten forblir upåvirket.
Et annet nyttig alternativ er å begrense tilgangen til kun bestemte offentlige IP-adresser eller nettverk . I stedet for å blokkere basert på kilden, målretter du destinasjonen ved å spesifisere IP-adressen eller blokken med IP-adresser til serverne som skal begrenses i feltet Destinasjonsadresse. Dette er en enkel måte å forhindre klienter i å få tilgang til visse eksterne tjenester samtidig som resten av internett holdes tilgjengelig.
I industrielle miljøer er det ofte ønskelig å blokkere all internettilgang bortsett fra trafikk til et veldig spesifikt sett med skyservere som samler inn data fra PLS-er eller sensorer. For å revidere og verifisere disse retningslinjene, anbefales det å revidere den lokale nettverkssikkerheten med Nmap og Wireshark før du distribuerer regler. Dette innebærer å opprette to regler: den første tillater trafikk bare til de spesifikke IP-adressene på WAN-nettverket, og den andre blokkerer all annen trafikk. Rekkefølgen på reglene er kritisk, ettersom ruteren evaluerer dem ovenfra og ned, og når den finner en samsvarende kobling, slutter å sjekke påfølgende regler.
Dette sikrer at produksjonsenheter kun kommuniserer med autoriserte adresser, noe som reduserer angrepsflaten og oppfyller sikkerhetskrav eller interne forskrifter uten behov for svært komplekst utstyr.
Blokkering av bestemte nettsteder og filtrering etter domener
Utover blokkering etter IP eller subnett, ønsker mange selskaper å filtrere etter domene for å forhindre uautorisert tilgang til nedlastingssider, vokseninnhold, strømming eller direktemeldinger på gjestenettverket eller til og med bedriftsnettverket.
På Teltonika-rutere gjøres ikke denne typen filtrering gjennom brannmuren , men snarere fra menyen Tjenester – Nettfilter. Der aktiverer du tjenesten og velger driftsmodus: «Svarteliste» for å blokkere bare bestemte domener eller «Hviteliste» for å tillate bare noen få og blokkere alt annet.
Prosessen innebærer å legge til hvert domene i den tilhørende listen ett etter ett. Ved å bruke Bla gjennom-alternativet legger du til nettstedene som skal blokkeres eller tillates, og husk alltid å klikke på «Legg til» og deretter «Lagre og bruk» for at endringene skal tre i kraft. Det er et enkelt, men effektivt system for å kontrollere typen nettrafikk som flyter gjennom klientnettverket.
Denne typen filter passer godt inn i konseptet med to nettverk : strengere filtrering kan opprettholdes på gjestenettverket, mens et bredere utvalg av nettsteder er tillatt på bedriftens interne nettverk, alltid med respekt for organisasjonens policy. Kombinasjonen av VLAN-er og domenefiltrering gir ganske finjustert kontroll over hva hver brukerprofil kan gjøre.
Eksempler fra virkeligheten: IP-kameraer, skrivere og sameksistensproblemer
Behovet for å separere nettverk er ikke bare teoretisk ; det oppstår vanligvis når problemer i den virkelige verden oppstår. Et veldig vanlig eksempel er IP-kameraer og DVR-er som ligger på et kontornettverk, som et annet selskap eller en nabo trenger tilgang til av og til uten å se resten av infrastrukturen.
Dersom et Reolink-kamera eller en DVR er koblet til 192.168.2.x-nettverket, kan det hende at bedriften i første etasje (192.168.1.x) må se disse kameraene av sikkerhetsmessige årsaker. Løsningen er ikke å slå sammen nettverkene, men å opprette brannmurregler som bare tillater trafikk fra bestemte IP-adresser på 192.168.1.x-nettverket til DVR-ens IP-adresse og porter på 192.168.2.x.
Et annet vanlig problem oppstår med nettverksskrivere når to kontorer deler samme delnett eller trådløst nettverksutstyr. Utskriftsjobber som sendes til én skriver kan ende opp med å bli skrevet ut av en annen, spesielt hvis begge er av samme modell og dårlig differensierte. Å separere de to kontorenes nettverk i forskjellige delnett, hvert med sin egen gateway og VLAN, forhindrer at utskriftskøer "hopper" mellom dem. Hvis du støter på problemer med skrivergjenkjenning på Windows-datamaskiner, kan du sjekke ut løsninger som veiledningen for Windows 11 som ikke oppdager skriveren.
Hvis du bare har ett internettleverandørmodem og ett delt tilgangspunkt , kan du bruke en ekstra ruter (for eksempel en TP-Link) for å opprette et separat nettverk for Office 2. Dette nye nettverket vil ha sitt eget IP-område, sin egen WiFi-nøkkel, og takket være NAT vil resten av infrastrukturen se alle enheter som om de kommer fra én enkelt IP-adresse på Office 2-ruteren, noe som reduserer synligheten mellom segmentene.
I alle disse tilfellene er prinsippet det samme : separate subnett, separate gatewayer og en brannmur som kontrollerer hvilken trafikk som får krysse fra den ene til den andre. På denne måten har klienter, naboer eller mindre pålitelige enheter aldri direkte tilgang til «hjertet» i bedriftsnettverket.
Opprett et ekstra WiFi-nettverk på operatørrutere
Mange hjemmebrukere og små kontorer bruker operatørens ruter (for eksempel en «Smart WiFi») og lurer på om det er mulig å opprette et ekstra trådløst nettverk for å skille arbeidsutstyret fra besøkendes mobiltelefoner, nettbrett eller enheter.
De fleste av disse ruterne tilbyr et alternativ for gjeste-Wi-Fi-nettverk , som oppretter en separat SSID fra hovednettverket. Selv om den internt fortsatt kan tilhøre samme delnett eller et spesifikt VLAN for internettleverandørens utstyr, representerer den for brukeren en logisk separasjon som for eksempel forhindrer at gjester ser delte ressurser eller skrivere på hoved-PC-en.
Det er vanligvis veldig enkelt å sette det opp : gå inn på ruterens administrasjonsgrensesnitt, finn gjeste-WiFi-en eller delen «andre WiFi-nettverk», og aktiver den, og konfigurer et annet nettverksnavn og passord. Noen enheter lar deg til og med begrense båndbredden eller tilkoblingstiden til dette gjestenettverket.
Hvis internettleverandørens ruter ikke støtter ekte trafikkseparasjon (for eksempel isolerer den ikke gjestetrafikk fra hoved-LAN-et), kan du bruke din egen nøytrale ruter koblet til internettleverandørens ruter. Denne ruteren oppretter sitt eget subnett og til og med interne VLAN-er, slik at internettleverandørens nettverk kun fungerer som en bro til internett.
Filosofien er den samme som på et kontor : ett sikkert nettverk for arbeidsenheter og et annet nettverk, med mer begrensede tillatelser, for mobiltelefoner, nettbrett, IoT-enheter eller gjester. Denne strukturen bidrar til å minimere risikoer og opprettholde et minimumsnivå av orden når mange forskjellige enheter er koblet til samtidig.
Samlet sett lar alle disse teknikkene (subnett, VLAN-er, NAT, brannmurregler og separate SSID-er) deg bygge, selv med relativt enkel maskinvare, et nettverksmiljø der kontoret og klientene sameksisterer uten å forstyrre hverandre, trafikken kontrolleres, og kritiske ressurser (kameraer, DVR-er, skrivere, servere) forblir isolert fra uønsket tilgang, noe som forbedrer både sikkerheten og den daglige stabiliteten i bedriften.
Lidenskapelig forfatter om verden av bytes og teknologi generelt. Jeg elsker å dele kunnskapen min gjennom å skrive, og det er det jeg skal gjøre i denne bloggen, vise deg alle de mest interessante tingene om dingser, programvare, maskinvare, teknologiske trender og mer. Målet mitt er å hjelpe deg med å navigere i den digitale verden på en enkel og underholdende måte.