A hálózati infrastruktúra biztonságának (üzembiztonsági, adatvédelmi, támadásvédelmi, stb.) fenntartása érdekében általában elvárható hálózati beállítások és rendszer-implementáció tudatos elvégzése és folyamatos fejlesztése és monitorozása elengedhetetlen a kommunikációs rendszerek üzemeltetése során. A hálózatbiztonság egyformán fontos kérdés az adathálózatokban és a konvergens, egyéb (multimédia, IP telefónia, stb.) szolgáltatásokat is kiszolgáló hálózatokban is.
Az alábbiakban felsorolt biztonsági szempontok és beállítások összegyűjtéséhez felhasználtuk az iparági dokumentációkban és gyártók különféle műszaki leírásaiban, biztonsági ajánlásaiban fellelhető javaslatokat. Összeállításunk közel sem teljeskörű, hanem csak a legalapvetőbb krédéseket tárgyalja. Ezen javaslatok alkalmazása szinte minden hálózatban az ajánlható minimum körébe tartozik, legyen az csak adathálózat, vagy esetleg IP telefonokat is kiszolgáló konvergens hálózat.
Felhívjuk a figyelmet, hogy a legtöbb biztonsági lépés "csak" növeli a biztonságot, de nem jelent 100%-os védelmet. Továbbá magasabb biztonsági állapotot a különféle biztonsági mechanizmusok együttes alkalmazásával érhetünk el. Fontos, hogy a technika által alkalmazható biztonági lépések biztonsági politikával együtt legyenek alkalmazva és azt szigorúan be kell tartani illetve tartatni a felhasználókkal.
A LAN hálózati fenyegetések és kivédésük
Ethernet címtár telítése (MAC CAM flooding)
Az ethernet kapcsolók címtára korlátos, csak meghatározott számú ethernet címet (MAC address) képes tárolni és kezelni memóriájában (általában maximum pár tízezret). Amikor a címtár telítődik, a switch megszűnik switchként viselkedni, olyan lesz, mint egy hub (repeater, jelismétlő). Ekkor minden ethernet adatkeretet minden portra továbbít, azaz a hálózat lehallgathatóvá válik bármely csatlakozási ponton. Ha IP telefóniát használunk, akkor a telefonok is lehallgathatóak lesznek bármely hálózati csatlakozási pontról. A hálózati teljesítmény is csökken, mert a kapcsoló jobban terhelődik egy ilyen helyzetben, azaz a hálózati szolgáltatást zavaró állapot is keletkezik (DoS támadás).
Védekezés: A védekezés a kapcsolók portjára alkalmazható statikus vagy dinamikus biztonsági beállításokkal oldható meg. Statikus beállításnál konkrétan megadjuk a portra csatlakoztatható eszköz ethernet címét és csak azt engedélyezzük forgalmazni az adott porton. Enyhébb védekezés a dinamikus mód, amikor csak a csatlakoztatható ethernet címek darabszámát korlátozzuk (általában 1db-ra), ugyanakkor a cím maga bármi lehet.
A módszer hátránya, hogy az ethernet cím önkényesen megváltoztatható általában az ethenet csatolókon. Az elárasztástól még ebben az esetben is megvéd a port biztonsági beállítása.
Hálózat engedély nélküli kiterjesztése (Rouge network extension)
Valamely hálózati csatlakozóba egy másik hálózati eszköz (switch, vezeték nélküli access point) csatlakoztatásával a hálózat a rendszergazda tudta nélkül kiterjeszthető. Különösen veszélyes, ha vezeték nélküli eszközzel csinálják, mert az a Vállalat területén kívülre is nyitottá teheti a hálózatot.
Védekezés: Csakúgy, mint az előző esetben, a védekezés a kapcsolók portjára alkalmazható statikus vagy dinamikus biztonsági beállításokkal oldható meg. Azaz az előző módszer (a csatlakoztatható MAC címek számának korlátozása vagy a címek rögzítése) a hálózat engedély nélküli kiterjesztésétől is véd.
A módszer hátránya is ugyanaz, azaz hogy az ethernet cím önkényesen megváltoztatható, sőt egyetlen eszközzel több kliens címe címklónozással el is rejthető.
Hamis DHCP szerver üzemeltetése
Egy hálózat üzemét hamis DHCP szerver beüzemelése alaposan megzavarhatja rossz IP címek kiosztásával, és íly módon a hálózat használata lehetetlenné válik (DoS támadás). Kényes állapot az is, amikor egy hamis DHCP szerverről hamis gateway/router cím kerül kiosztásra a kliensek számára, így térítve el az alapértelmezett gateway/router felé tartó forgalmat. A hamis gateway az íly módon hozzá irányított forgalmat észrevétlenül (a hálózat működik) tudja lehallgatni.
Védekezés: Az ethernet kapcsolók DHCP snooping szolgáltatásának bekonfigurálásával megadhatjuk, hogy mely portokon megengedett a DHCP szerver felöli válasz érkezése. Ha olyan porton érkezik DHCP válasz, ahol az nem engedélyezett, az ilyen válasz kiszűrésre kerül, azaz nem lehetséges más DHCP szervert csatlakoztatni a hálózathoz.
Az összes IP cím lekérése a DHCP szerverről
Egy DHCP szerver által kiosztható IP címek darabszáma korlátozott. A hálózat használatát megakadályozó támadás, ha valaki egy megfelelő programmal az összes IP címet magának lekéri a DHCP szervertől. Ezt követően a normál felhasználók IP cím hiányában nem tudják a hálózatot használni (DoS támadás).
Védekezés: Az előző pontban alkalmazott védekezés (DHCP snooping) beállítása megvéd a DHCP szerver címtárának leürítésétől is. A DHCP szerver leürítéshez nem feltétlenül kell különböző ethernet címekről (MAC address) érkeznie a DHCP kéréseknek, de ha ez az alkalmazott módszer, akkor a kapcsolók portjára alkalmazott MAC korlátozás (lsd. fentebb) ilyenkor ettől is megvéd.
Az ARP protokoll felhasználása lehallgatásra (man-in-the-middle támadás)
Minden IP-vel kommunikáló eszköz fenntart egy ARP táblát, amelyben ethernet címek tárolódnak a hozzájuk tartozó IP címekkel. Ez alapján történik az eszközök által az elküldendő adatkeretek címzése. Ha egy állomás egy adott IP címmel rendelkező állomással akar kommunikálni és nem tudja az ethernet címet, egy ARP kérést küld a hálózatra, amelyet az adott IP címmel rendelkező állomás megválaszol majd. Az ARP kérés ethernet broadcast formájában minden eszközhöz eljut, de megválaszolni alapesetben csak a cél-IP címmel rendelkező eszköz fogja. Az ARP táblában lévő címpárok Windows esetében általában 2 percig, Linux esetében 30 másodpercig, IP telefonok esetében akár 30-40 percig is megmaradnak, ha nem történik kommunikáció. Egy újabb ARP válasz felülírja a korábbi bejegyzést.
Az ARP mechanizmus kompromittálásával lehetséges bármely két kommunikáló fél közé beékelődni és észrevétlenül lehallgatni a teljes kommunikációt. Továbbá az ún. gratuitous ARP válaszok elfogadásának engedélyezése nem a cél-IP címmel rendelkező eszköztől érkezik, hanem egy harmadik kommunikáló féltől, mintegy segítségként.
Védekezés: A védekezés a Dinamikus ARP ellenőrzés (Dynamic ARP Inspection=DAI) segítségével lehetséges, amely egy összetett mechanizmus. Feltétele, hogy rendelkezásre álljon egy minden DHCP történést rögzítő táblázat (DHCP binding table), amelyet az ethernet kapcsolók építenek fel a DHCP forgalom monitorozásával. A DAI megvizsgál és összevet mindent ARP kérést és választ a DHCP binding táblázatban található információval, és amennyiben egy ARP válasz nem az ARP-tulajdonostól (azaz az IP cím jogos tulajdonosától) származik, az eldobásra kerül. A jogosult ARP-tulajdonos egy olyan port, amelyen lévő eszköz a DHCP-táblában megtalálható a megfelelő ethernet és IP címmel.
Az olyan portokon, ahol DHCP-t nem használó eszköz van, "megbízható", azaz trusted állapotba kell konfigurálni és így azon DAI ellenőrzés nem történik, mert különben nem tudna kommunikálni az ilyen eszköz, mivel nem szerepel a DHCP-táblában. Fontos kiegészítő lépés lehet még a védelem érdekében, ha letiltjuk az eszközökön az un. gratuitous ARP (3. féltől érkező) ARP válaszok elfogadását. Erre az IP telefonok konfigurációs beállítása általában lehetőséget ad.
Hamis forrás IP cím használata
A forrás IP cím meghamisítását számos támadás használja. Az ilyen módszer elrejti a valós támadót, akit így nem lehet megtalálni. DoS támadások és TCP SYN elárasztásos támadások valamint ezek elosztott formáiban használatosak.
Védekezés: Az egyes fejletteb ethernet kapcsolókban megtalálható IP forrás cím védelme (IP source guard) szolgáltatás. Ez a szolgáltatás az előző pontban említett DHCP binding táblázatot használja a címek ellenőrzésére. A táblázatban megtalálható, hogy a kapcsoló mely portján milyen IP című eszköz csatlakozik. Ha más forrás IP címmel rendelkező adatcsomag lépne be egy adott kapcsolóporton, mint ahogy az a táblázatban szerepel, akkor azt a kapcsoló eldobja.
A spanning tree protokoll megzavarása és védelme
A spanning tree protokoll az ethernet kapcsolókban gyári beállítás szerint általában be van kapcsolva. Alapesetben a spanning tree protokoll használatát nem javasolják illetve nem javasoljuk, mert egyrészt jelentős biztonsági rés (könnyedén támadható) illetve terheli a hálózatot és a berendezéseket. Ha mégis futtatjuk, akkor a következőket javasoljuk:
uplink fast és backbone fast állítása az uplink/trunk portokon,
portfast állítása az access portokon,
stack esetén cross-stack uplink fast (CSUF) állítása,
"spanning tree guard root" állítása a root switch-en az uplink portokon, a root védelme érdekében
"spanning-tree bpduguard enable" állítása az access portokon (bpduguard miatti error-disabled state esetén a port manuális úton történő engedélyezése szükséges a legtöbb ethernet kapcsolóban);
Illetéktelen hálózati hozzáférés
Alapesetben egy hozzáférhető hálózati csatlakozásba (kiosztott fali csatlakozó) bárki bármilyen hálózati eszközt csatlakoztathat, az ethernet kapcsolat feléled és a hálózat használható.
Védekezés: A hálózati eszközök (ethernet kapcsolók, vezeték nélküli hozzáférési pontok) kapuin (port) lehetőség van azonosítás elvégézésére a 802.1x protokoll (802.1x = IEEE Standard for port-based Network Access Control) segítségével. A 802.1x adatbázisát egy külön RADIUS szerveren kell elhelyezni, amelyet a hálózati eszköz titkosított csatornán kérdez le egy-egy eszköz csatlakoztatásakor. A kliens gépeken 802.1x kliens szoftveres kiegészítését kell futtatni. A hálózati csatlakozáskor (ethernet link megjelenésekor) a hálózati eszköz alapesetben egy felhasználónév/jelszó párost kér be a felhasználótól és csak ezek helyes megadása és a RADIUS szerveren történő verifikálást követően nyitja meg a hálózati portját és válik lehetségessé a kommunikáció. Összetettebb, biztonságosabb ugyanakkor némileg egyszerűbb az azonosítók kezelése például Cryptocard vagy Dongle key rendszer alkalmazásával, amellyel egy RADIUS-os megoldás kiegészíthető. A felhasználói adatbázis lehet Active Directory, Open LDAP vagy Open Directory is és nem feltétlenül kell a RADIUS szerveren lennie.
VLAN-ok védelme
Ha több VLAN-t is használunk, akkor a VLAN-ok áthágása (VLAN hopping) elleni védekezés érdekében a következőket fontoljuk meg:
a native VLAN-t illetve címke nélküli (untagged) VLAN-t használni tilos, azt ki kell törölni illetve le kell tiltani;
külön adat-VLAN-t és külön voice-VLAN-t kell használni, amennyiben IP telefóniás rendszerünk is van;
külön menedzsment-VLAN-t kell létrehozni az eszközök menedzseléséhez;
Ha nem használunk több VLAN-t, akkor is érdemes egy külön menedzsment VLAN-t létrehozni a hálózati eszközök védelme érdekében, így a felhasználói VLAN-ból az eszközök nem lesznek elérhetőek.
Amennyiben a fentiek felkeltették érdeklődését és szeretne szakembereinkkel konzultálni és/vagy szeretné, ha szakembereink részt vennének hálózata biztonságának megerősítésében, kérjük, hogy vegye fel velünk a kapcsolatot!
Vezeték nélküli LAN / WAN hálózati megoldások
802.11b, 802.11g, 802.11a, 802.11n, 802.11ac WLAN
A WLAN eszközökkel egyszerűen lehet kábel nélküli lokális hálózatokat kialakítani raktárakban, kórházakban vagy bárhol, ahol igény van rá. A Lemonet Kft. számos beltéri és kültéri alkalmazásra telepített 802.11 szabványos vezeték nélküli (WLAN) megoldást. A WLAN eszközök beltéri alkalmazásával a mobil kliensek a vezetéknélküliségnek köszönhetően fizikai kötöttségek nélkül érhetik el a lokális hálózatot. A DSL routerrel kombinált WLAN eszközök (wireless broadband router) az ADSL internet-szolgáltatás elérését is lehetővé teszik kábelek nélkül és egyszerre több gép is használhatja.
Terület felmérése vezeték nélküli hálózat telepítése előtt
A későbbi kapcsolódási problémák elkerülése és az optimális lefedés érdekében beltéri alkalmazásban elengedhetetlen a terület jelterjedési viszonyainak előzetes felmérése (site survey). Az épületen belüli jelterjedés főleg a falak és a födém milyenségétől és mennyiségétől függ. Az Access Pointokat olyan módon kell irodán belül is elhelyezni, hogy minél kevesebb tereptárgy kerüljön a jelterjedés útjába. Az előzetes felmérés fontos a saját területen kívüli környezet megismerése szempontjából is. Ha irodánk mellett, alatt vagy felett valaki már üzemeltet vezetéknélküli hálózatot, akkor erről tudnunk kell, ugyanis az átlapolásmentes sugárzási csatornák száma véges. Lehetőség szerint el kell kerülni az azonos tartományban való sugárzást, ugyanis megosztott médiahasználatról van szó, amelyben minél több berendezés üzemel, annál kisebb az egyedi felhasználó által elérhető átviteli sebesség. A vezeték nélküli hálózat telepítése előtt ezért felmérést ajánlunk készíteni, amely alapján meg tudjuk határozni az optimális lefedéshez szükséges berendezésszámot és a berendezések elhelyezésére és frekvencia-beállításaira is javaslatot tudunk tenni. Cégünk rövid határidővel vállalja komplett irodák felmérését. A felmérés eredményét jegyzőkönyvezzük és a mérési eredményeket az iroda alaprajzán rögzítjük, hogy azt a későbbiekben is bármikor használni lehessen.
Kültéri alkalmazás: távoli épületek összekapcsolása egyszeri beruázással
Kültéri antenna-csatlakozóval rendelkező WLAN eszközökkel kilométeres távolságban lévő épületek LAN hálózatai is összeköthetők, így jelentős költségek takaríthatóak meg a bérelt vonalak szükségtelenné válásával. A nagy távolságot áthídalni képes pont-pont antennákkal 4-7km távolságban lévő hálózatok is összekapcsolhatók, ehhez azonban közvetlen rálátás (!!!) szükséges a két pont között. Az átvitel 2,4GHz-en történik szórt spektrumban. Eső, hó és köd sem akadályozza meg a folyamatos és hibátlan adatátvitelben!
További előnyök: telefonok integrációja
A legújabb WLAN eszközök már biztosítják a minősített átviteli szolgáltatásokat (QoS) előre definiált forgalom számára. Így az ilyen eszközök lehetővé teszik az összekapcsolt távoli telephelyek telefonos integrációját is. A VoIP technológia és gatewayek alkalmazásával mellékállomások helyezhetők ki a távoli telephelyre, amelyek a városi fővonalak használata nélkül tudják elérni a másik telephelyen lévő kollégákat és egyúttal szükségtelen a városi vonalak megvásárlása a távoli telephelyen. Lehetőség van alközpotok közötti társközponti kapcsolat kialakítására is a WLAN-on keresztül VoIP alkalmazásával.
Az alábbiakban felsorolt biztonsági szempontok és beállítások összegyűjtéséhez felhasználtuk az iparági dokumentációkban és gyártók különféle műszaki leírásaiban, biztonsági ajánlásaiban fellelhető javaslatokat. Összeállításunk közel sem teljeskörű, hanem csak a legalapvetőbb krédéseket tárgyalja. Ezen javaslatok alkalmazása szinte minden hálózatban az ajánlható minimum körébe tartozik, legyen az csak adathálózat, vagy esetleg IP telefonokat is kiszolgáló konvergens hálózat.
Felhívjuk a figyelmet, hogy a legtöbb biztonsági lépés "csak" növeli a biztonságot, de nem jelent 100%-os védelmet. Továbbá magasabb biztonsági állapotot a különféle biztonsági mechanizmusok együttes alkalmazásával érhetünk el. Fontos, hogy a technika által alkalmazható biztonági lépések biztonsági politikával együtt legyenek alkalmazva és azt szigorúan be kell tartani illetve tartatni a felhasználókkal.
A LAN hálózati fenyegetések és kivédésük
Ethernet címtár telítése (MAC CAM flooding)
Az ethernet kapcsolók címtára korlátos, csak meghatározott számú ethernet címet (MAC address) képes tárolni és kezelni memóriájában (általában maximum pár tízezret). Amikor a címtár telítődik, a switch megszűnik switchként viselkedni, olyan lesz, mint egy hub (repeater, jelismétlő). Ekkor minden ethernet adatkeretet minden portra továbbít, azaz a hálózat lehallgathatóvá válik bármely csatlakozási ponton. Ha IP telefóniát használunk, akkor a telefonok is lehallgathatóak lesznek bármely hálózati csatlakozási pontról. A hálózati teljesítmény is csökken, mert a kapcsoló jobban terhelődik egy ilyen helyzetben, azaz a hálózati szolgáltatást zavaró állapot is keletkezik (DoS támadás).
Védekezés: A védekezés a kapcsolók portjára alkalmazható statikus vagy dinamikus biztonsági beállításokkal oldható meg. Statikus beállításnál konkrétan megadjuk a portra csatlakoztatható eszköz ethernet címét és csak azt engedélyezzük forgalmazni az adott porton. Enyhébb védekezés a dinamikus mód, amikor csak a csatlakoztatható ethernet címek darabszámát korlátozzuk (általában 1db-ra), ugyanakkor a cím maga bármi lehet.
A módszer hátránya, hogy az ethernet cím önkényesen megváltoztatható általában az ethenet csatolókon. Az elárasztástól még ebben az esetben is megvéd a port biztonsági beállítása.
Hálózat engedély nélküli kiterjesztése (Rouge network extension)
Valamely hálózati csatlakozóba egy másik hálózati eszköz (switch, vezeték nélküli access point) csatlakoztatásával a hálózat a rendszergazda tudta nélkül kiterjeszthető. Különösen veszélyes, ha vezeték nélküli eszközzel csinálják, mert az a Vállalat területén kívülre is nyitottá teheti a hálózatot.
Védekezés: Csakúgy, mint az előző esetben, a védekezés a kapcsolók portjára alkalmazható statikus vagy dinamikus biztonsági beállításokkal oldható meg. Azaz az előző módszer (a csatlakoztatható MAC címek számának korlátozása vagy a címek rögzítése) a hálózat engedély nélküli kiterjesztésétől is véd.
A módszer hátránya is ugyanaz, azaz hogy az ethernet cím önkényesen megváltoztatható, sőt egyetlen eszközzel több kliens címe címklónozással el is rejthető.
Hamis DHCP szerver üzemeltetése
Egy hálózat üzemét hamis DHCP szerver beüzemelése alaposan megzavarhatja rossz IP címek kiosztásával, és íly módon a hálózat használata lehetetlenné válik (DoS támadás). Kényes állapot az is, amikor egy hamis DHCP szerverről hamis gateway/router cím kerül kiosztásra a kliensek számára, így térítve el az alapértelmezett gateway/router felé tartó forgalmat. A hamis gateway az íly módon hozzá irányított forgalmat észrevétlenül (a hálózat működik) tudja lehallgatni.
Védekezés: Az ethernet kapcsolók DHCP snooping szolgáltatásának bekonfigurálásával megadhatjuk, hogy mely portokon megengedett a DHCP szerver felöli válasz érkezése. Ha olyan porton érkezik DHCP válasz, ahol az nem engedélyezett, az ilyen válasz kiszűrésre kerül, azaz nem lehetséges más DHCP szervert csatlakoztatni a hálózathoz.
Az összes IP cím lekérése a DHCP szerverről
Egy DHCP szerver által kiosztható IP címek darabszáma korlátozott. A hálózat használatát megakadályozó támadás, ha valaki egy megfelelő programmal az összes IP címet magának lekéri a DHCP szervertől. Ezt követően a normál felhasználók IP cím hiányában nem tudják a hálózatot használni (DoS támadás).
Védekezés: Az előző pontban alkalmazott védekezés (DHCP snooping) beállítása megvéd a DHCP szerver címtárának leürítésétől is. A DHCP szerver leürítéshez nem feltétlenül kell különböző ethernet címekről (MAC address) érkeznie a DHCP kéréseknek, de ha ez az alkalmazott módszer, akkor a kapcsolók portjára alkalmazott MAC korlátozás (lsd. fentebb) ilyenkor ettől is megvéd.
Az ARP protokoll felhasználása lehallgatásra (man-in-the-middle támadás)
Minden IP-vel kommunikáló eszköz fenntart egy ARP táblát, amelyben ethernet címek tárolódnak a hozzájuk tartozó IP címekkel. Ez alapján történik az eszközök által az elküldendő adatkeretek címzése. Ha egy állomás egy adott IP címmel rendelkező állomással akar kommunikálni és nem tudja az ethernet címet, egy ARP kérést küld a hálózatra, amelyet az adott IP címmel rendelkező állomás megválaszol majd. Az ARP kérés ethernet broadcast formájában minden eszközhöz eljut, de megválaszolni alapesetben csak a cél-IP címmel rendelkező eszköz fogja. Az ARP táblában lévő címpárok Windows esetében általában 2 percig, Linux esetében 30 másodpercig, IP telefonok esetében akár 30-40 percig is megmaradnak, ha nem történik kommunikáció. Egy újabb ARP válasz felülírja a korábbi bejegyzést.
Az ARP mechanizmus kompromittálásával lehetséges bármely két kommunikáló fél közé beékelődni és észrevétlenül lehallgatni a teljes kommunikációt. Továbbá az ún. gratuitous ARP válaszok elfogadásának engedélyezése nem a cél-IP címmel rendelkező eszköztől érkezik, hanem egy harmadik kommunikáló féltől, mintegy segítségként.
Védekezés: A védekezés a Dinamikus ARP ellenőrzés (Dynamic ARP Inspection=DAI) segítségével lehetséges, amely egy összetett mechanizmus. Feltétele, hogy rendelkezásre álljon egy minden DHCP történést rögzítő táblázat (DHCP binding table), amelyet az ethernet kapcsolók építenek fel a DHCP forgalom monitorozásával. A DAI megvizsgál és összevet mindent ARP kérést és választ a DHCP binding táblázatban található információval, és amennyiben egy ARP válasz nem az ARP-tulajdonostól (azaz az IP cím jogos tulajdonosától) származik, az eldobásra kerül. A jogosult ARP-tulajdonos egy olyan port, amelyen lévő eszköz a DHCP-táblában megtalálható a megfelelő ethernet és IP címmel.
Az olyan portokon, ahol DHCP-t nem használó eszköz van, "megbízható", azaz trusted állapotba kell konfigurálni és így azon DAI ellenőrzés nem történik, mert különben nem tudna kommunikálni az ilyen eszköz, mivel nem szerepel a DHCP-táblában. Fontos kiegészítő lépés lehet még a védelem érdekében, ha letiltjuk az eszközökön az un. gratuitous ARP (3. féltől érkező) ARP válaszok elfogadását. Erre az IP telefonok konfigurációs beállítása általában lehetőséget ad.
Hamis forrás IP cím használata
A forrás IP cím meghamisítását számos támadás használja. Az ilyen módszer elrejti a valós támadót, akit így nem lehet megtalálni. DoS támadások és TCP SYN elárasztásos támadások valamint ezek elosztott formáiban használatosak.
Védekezés: Az egyes fejletteb ethernet kapcsolókban megtalálható IP forrás cím védelme (IP source guard) szolgáltatás. Ez a szolgáltatás az előző pontban említett DHCP binding táblázatot használja a címek ellenőrzésére. A táblázatban megtalálható, hogy a kapcsoló mely portján milyen IP című eszköz csatlakozik. Ha más forrás IP címmel rendelkező adatcsomag lépne be egy adott kapcsolóporton, mint ahogy az a táblázatban szerepel, akkor azt a kapcsoló eldobja.
A spanning tree protokoll megzavarása és védelme
A spanning tree protokoll az ethernet kapcsolókban gyári beállítás szerint általában be van kapcsolva. Alapesetben a spanning tree protokoll használatát nem javasolják illetve nem javasoljuk, mert egyrészt jelentős biztonsági rés (könnyedén támadható) illetve terheli a hálózatot és a berendezéseket. Ha mégis futtatjuk, akkor a következőket javasoljuk:
uplink fast és backbone fast állítása az uplink/trunk portokon,
portfast állítása az access portokon,
stack esetén cross-stack uplink fast (CSUF) állítása,
"spanning tree guard root" állítása a root switch-en az uplink portokon, a root védelme érdekében
"spanning-tree bpduguard enable" állítása az access portokon (bpduguard miatti error-disabled state esetén a port manuális úton történő engedélyezése szükséges a legtöbb ethernet kapcsolóban);
Illetéktelen hálózati hozzáférés
Alapesetben egy hozzáférhető hálózati csatlakozásba (kiosztott fali csatlakozó) bárki bármilyen hálózati eszközt csatlakoztathat, az ethernet kapcsolat feléled és a hálózat használható.
Védekezés: A hálózati eszközök (ethernet kapcsolók, vezeték nélküli hozzáférési pontok) kapuin (port) lehetőség van azonosítás elvégézésére a 802.1x protokoll (802.1x = IEEE Standard for port-based Network Access Control) segítségével. A 802.1x adatbázisát egy külön RADIUS szerveren kell elhelyezni, amelyet a hálózati eszköz titkosított csatornán kérdez le egy-egy eszköz csatlakoztatásakor. A kliens gépeken 802.1x kliens szoftveres kiegészítését kell futtatni. A hálózati csatlakozáskor (ethernet link megjelenésekor) a hálózati eszköz alapesetben egy felhasználónév/jelszó párost kér be a felhasználótól és csak ezek helyes megadása és a RADIUS szerveren történő verifikálást követően nyitja meg a hálózati portját és válik lehetségessé a kommunikáció. Összetettebb, biztonságosabb ugyanakkor némileg egyszerűbb az azonosítók kezelése például Cryptocard vagy Dongle key rendszer alkalmazásával, amellyel egy RADIUS-os megoldás kiegészíthető. A felhasználói adatbázis lehet Active Directory, Open LDAP vagy Open Directory is és nem feltétlenül kell a RADIUS szerveren lennie.
VLAN-ok védelme
Ha több VLAN-t is használunk, akkor a VLAN-ok áthágása (VLAN hopping) elleni védekezés érdekében a következőket fontoljuk meg:
a native VLAN-t illetve címke nélküli (untagged) VLAN-t használni tilos, azt ki kell törölni illetve le kell tiltani;
külön adat-VLAN-t és külön voice-VLAN-t kell használni, amennyiben IP telefóniás rendszerünk is van;
külön menedzsment-VLAN-t kell létrehozni az eszközök menedzseléséhez;
Ha nem használunk több VLAN-t, akkor is érdemes egy külön menedzsment VLAN-t létrehozni a hálózati eszközök védelme érdekében, így a felhasználói VLAN-ból az eszközök nem lesznek elérhetőek.
Amennyiben a fentiek felkeltették érdeklődését és szeretne szakembereinkkel konzultálni és/vagy szeretné, ha szakembereink részt vennének hálózata biztonságának megerősítésében, kérjük, hogy vegye fel velünk a kapcsolatot!
Vezeték nélküli LAN / WAN hálózati megoldások
802.11b, 802.11g, 802.11a, 802.11n, 802.11ac WLAN
A WLAN eszközökkel egyszerűen lehet kábel nélküli lokális hálózatokat kialakítani raktárakban, kórházakban vagy bárhol, ahol igény van rá. A Lemonet Kft. számos beltéri és kültéri alkalmazásra telepített 802.11 szabványos vezeték nélküli (WLAN) megoldást. A WLAN eszközök beltéri alkalmazásával a mobil kliensek a vezetéknélküliségnek köszönhetően fizikai kötöttségek nélkül érhetik el a lokális hálózatot. A DSL routerrel kombinált WLAN eszközök (wireless broadband router) az ADSL internet-szolgáltatás elérését is lehetővé teszik kábelek nélkül és egyszerre több gép is használhatja.
Terület felmérése vezeték nélküli hálózat telepítése előtt
A későbbi kapcsolódási problémák elkerülése és az optimális lefedés érdekében beltéri alkalmazásban elengedhetetlen a terület jelterjedési viszonyainak előzetes felmérése (site survey). Az épületen belüli jelterjedés főleg a falak és a födém milyenségétől és mennyiségétől függ. Az Access Pointokat olyan módon kell irodán belül is elhelyezni, hogy minél kevesebb tereptárgy kerüljön a jelterjedés útjába. Az előzetes felmérés fontos a saját területen kívüli környezet megismerése szempontjából is. Ha irodánk mellett, alatt vagy felett valaki már üzemeltet vezetéknélküli hálózatot, akkor erről tudnunk kell, ugyanis az átlapolásmentes sugárzási csatornák száma véges. Lehetőség szerint el kell kerülni az azonos tartományban való sugárzást, ugyanis megosztott médiahasználatról van szó, amelyben minél több berendezés üzemel, annál kisebb az egyedi felhasználó által elérhető átviteli sebesség. A vezeték nélküli hálózat telepítése előtt ezért felmérést ajánlunk készíteni, amely alapján meg tudjuk határozni az optimális lefedéshez szükséges berendezésszámot és a berendezések elhelyezésére és frekvencia-beállításaira is javaslatot tudunk tenni. Cégünk rövid határidővel vállalja komplett irodák felmérését. A felmérés eredményét jegyzőkönyvezzük és a mérési eredményeket az iroda alaprajzán rögzítjük, hogy azt a későbbiekben is bármikor használni lehessen.
Kültéri alkalmazás: távoli épületek összekapcsolása egyszeri beruázással
Kültéri antenna-csatlakozóval rendelkező WLAN eszközökkel kilométeres távolságban lévő épületek LAN hálózatai is összeköthetők, így jelentős költségek takaríthatóak meg a bérelt vonalak szükségtelenné válásával. A nagy távolságot áthídalni képes pont-pont antennákkal 4-7km távolságban lévő hálózatok is összekapcsolhatók, ehhez azonban közvetlen rálátás (!!!) szükséges a két pont között. Az átvitel 2,4GHz-en történik szórt spektrumban. Eső, hó és köd sem akadályozza meg a folyamatos és hibátlan adatátvitelben!
További előnyök: telefonok integrációja
A legújabb WLAN eszközök már biztosítják a minősített átviteli szolgáltatásokat (QoS) előre definiált forgalom számára. Így az ilyen eszközök lehetővé teszik az összekapcsolt távoli telephelyek telefonos integrációját is. A VoIP technológia és gatewayek alkalmazásával mellékállomások helyezhetők ki a távoli telephelyre, amelyek a városi fővonalak használata nélkül tudják elérni a másik telephelyen lévő kollégákat és egyúttal szükségtelen a városi vonalak megvásárlása a távoli telephelyen. Lehetőség van alközpotok közötti társközponti kapcsolat kialakítására is a WLAN-on keresztül VoIP alkalmazásával.
Nincsenek megjegyzések:
Megjegyzés küldése