セキュリティのためにVLANを使用しないように言われるのはなぜですか？
タイトルどおり、なぜセキュリティの目的でVLANを使用しないように言われるのですか？
ネットワークがあり、VLANがいくつかあります。 2つのVLANの間にファイアウォールがあります。 HP Procurveスイッチを使用しており、スイッチ間のリンクがタグ付きフレームのみを受け入れ、ホストポートがタグ付きフレームを受け入れないことを確認しました（これらは「VLAN対応」ではありません）。また、トランクリンクのネイティブVLAN（PVID）が2つのホストVLANのいずれとも同じではないことを確認しました。また、「入力フィルタリング」を有効にしました。さらに、ホストポートは、それぞれのポートのPVIDと同じである単一のVLANのメンバーのみであることを確認しました。複数のVLANのメンバーである唯一のポートは、トランクポートです。
上記が安全でない理由を誰かに説明してもらえますか？二重タグ付けの問題に対処したと思います。
ありがとう
更新：両方のスイッチがHP Procurve 1800-24Gです
セキュリティ上の目的でVLANを使用しないように言われるのはなぜですか？
潜在的な問題を完全に理解していない場合は実際のリスクがあり、ネットワークを適切にセットアップして、環境に許容できるレベルまでリスクを軽減します。多くの場所で、VLANは2つのVLAN間の適切なレベルの分離を提供します。
上記が安全ではない理由を誰かに説明してもらえますか？
かなり安全なセットアップを実現するために必要なすべての基本的な手順を実行したようです。しかし、私はHPギアに完全に精通していません。あなたはあなたの環境のために十分なことをしたかもしれません。
よく見る良い記事は Cisco VLAN Security White Paper でしょう。
VLANベースのネットワークに対して起こりうる攻撃のリストが含まれています。これらの一部は、一部のスイッチでは不可能な場合や、インフラストラクチャ/ネットワークの適切な設計によって軽減できる場合があります。時間をかけてそれらを理解し、リスクが環境でそれを回避するためにかかる努力に見合うかどうかを判断してください。
記事から引用。
- MACフラッディング攻撃
- 802.1QおよびISLタギング攻撃
- 二重カプセル化802.1Q /ネストVLAN攻撃
- ARP攻撃
- プライベートVLAN攻撃
- マルチキャストブルートフォース攻撃
- スパニングツリー攻撃
以下も参照してください。
セキュアの特定の値に対しては安全です。
ファームウェアのバグ、スイッチ構成のリセット、人為的エラーにより、安全でなくなる可能性があります。スイッチとスイッチ自体の設定にアクセスできる人が非常に少ない限り、一般的なビジネス環境では問題ありません。
私は本当に機密データを物理的に分離するつもりです。
以前はVLANホッピングを行う方が簡単だったので、「人」が言っているのはそのためかもしれません。でも、その理由を「人」に聞いてみませんか？彼らがあなたにそう言った理由を推測することしかできません。私は、HIPAAおよびPCI監査人がセキュリティのためのVLANで問題ないことを知っています。
中心的な問題は、実際にはトラフィックを分離するのではなく、ブロードキャストドメインを分離しているだけなので、VLANは安全ではないということです。複数のVLANからのすべてのトラフィックは、同じ物理ワイヤ上を流れます。そのトラフィックにアクセスできるホストは、いつでも無差別モードに構成して、ワイヤ上のすべてのトラフィックを表示できます。
スイッチがどのデータを実際にどのポートに表示するかを制御しているため、スイッチを使用するとそのリスクが大幅に軽減されますが、基本的なリスクは依然として存在します。