V dnešní době, kdy se stále více zařízení připojuje k internetu a sdílí síťové zdroje, je zabezpečení a efektivní správa sítě klíčová. Jedním z důležitých aspektů je izolace klientů, ať už se jedná o hosty na "guest wifi", IoT zařízení nebo oddělení firemních sítí. Tento článek se podrobně zabývá principy a praktickými aspekty izolace klientů pomocí technologie VLAN a dalších souvisejících metod.
Proč je izolace klientů důležitá?
Mnoho zařízení potřebuje přístup k internetu, ale nepotřebuje komunikovat s žádnými jinými zařízeními připojenými k routeru. Pokud jste kdykoli používali internet v kavárně, zapadáte do tohoto profilu. Zabezpečení se zvyšuje, když je zařízením, která zapadají do tohoto profilu, zabráněno vidět, natož komunikovat s jakýmikoli jinými zařízeními připojenými ke stejnému routeru. Zlí lidé v kavárně se nemohou nabourat do počítačů, které jsou pro jejich síťové skeny neviditelné.
V domácí síti chrání izolace zařízení minimalizaci dopadu napadeného zařízení. Stejně tak se malwarem zamořený počítač se systémem Windows nemůže šířit, pokud nevidí žádná jiná zařízení nebo počítače. Skutečně izolovanému škodlivému zařízení je routerem zabráněno v získávání informací o existenci jakýchkoli jiných zařízení v domácnosti. Je routerem oklamáno, aby si myslelo, že je jediným zařízením připojeným k routeru. Všechna ostatní zařízení v domácnosti jsou tak chráněna před špehováním nebo napadením.
Izolovaná zařízení nemají přímý přístup k routeru. Skutečně izolovaná zařízení běží uvnitř VLAN. VLAN je virtuální LAN, tedy síť v rámci sítě. VLANy se týkají kontroly komunikace mezi zařízeními ve vaší domácí/kancelářské síti. Nejsou zapojeny do přístupu k internetu zařízeními ve vaší domácnosti/kanceláři. To je úplně jiná věc. Firewall v každém routeru by měl zabránit nevyžádanému příchozímu přístupu z internetu ke všem vašim zařízením, alespoň dokud je UPnP deaktivováno.
Co je to VLAN (Virtual Local Area Network)?
VLAN (virtuální LAN) je logická síť vytvořená v rámci větší fyzické sítě. Sítě VLAN vám umožňují rozdělit síť do menších virtuálních podsítí, které pak můžete využít k izolaci provozu a zlepšení výkonu sítě. Virtuální LAN slouží k logickému rozdělení sítě nezávisle na fyzickém uspořádání. Můžeme tedy naši síť segmentovat na menší sítě uvnitř fyzické struktury původní sítě. Pomocí VLAN můžeme dosáhnout stejného efektu, jako když máme skupinu zařízení připojených do jednoho (několika propojených) switche a druhou skupinu do jiného (jiných) switche. Jsou to dvě nezávislé sítě, které spolu nemohou komunikovat (jsou fyzicky odděleny). Pomocí VLAN můžeme takovéto dvě sítě vytvořit na jednom (nebo několika propojených) switchi. V praxi samozřejmě často potřebujeme komunikaci mezi těmito sítěmi. S VLAN můžeme pracovat stejně jako s normálními sítěmi. Tedy použít mezi nimi jakýkoliv způsob routování. Často se dnes využívá L3 switch (switch, který funguje na třetí vrstvě OSI) pro inter-VLAN routing - směrování mezi VLAN.
Čtěte také: Průvodce kročejovou izolací
Kdežto použitím VLAN dojde k tomu, že komunikace se posílá pouze na porty, které jsou zařazeny do stejné VLANy. Záleží tedy sice na softwaru switche, ale dá se říct, že se jedná o fyzické oddělení. Z výše uvedeného také plyne to, že pro různé VLANy bychom měli používat různé subnety.
Výhody VLAN
- Snížení broadcastů: Hlavní výhodou VLAN je vytvoření více, ale menších, broadcastových domén. Tedy zlepšení výkonu sítě snížením provozu (traffic).
- Zvýšení zabezpečení: Oddělení komunikace do speciální VLANy, kam není jiný přístup.
- Oddělení speciálního provozu: Dnes se používá řada provozu, který nemusí být propojen do celé sítě, ale přesto jej potřebujeme dostat na různá místa, navíc nechceme, aby nám ovlivňoval běžný provoz. Příkladem je například IP telefonie, komunikace mezi AP v centrálně řízeném prostředí, management (zabezpečení správcovského přístupu k zařízením).
Typy portů v rámci VLAN
- Port trunk (tagovaný): Port typu trunk v síti VLAN je síťový port, který slouží k přenosu provozu pro několik sítí VLAN (virtuální LAN) po jediném fyzickém propojení. Porty typu trunk se často používají pro připojování přepínačů, routerů a jiných síťových zařízení v síti. Obvykle jsou konfigurovány tak, aby umožňovaly přenos provozu z několika sítí VLAN po jediném vodiči.
- Přístupový port (netagovaný): Přístupový port VLAN je síťový port, který se používá k přenosu jedné sítě VLAN (virtuální LAN) po fyzickém propojení. Přístupové porty se často používají pro připojování zařízení, například počítačů, tiskáren a jiných zařízení koncových uživatelů k síti. Obvykle jsou konfigurovány tak, aby v portu dovolovaly přenos pouze jedné sítě VLAN.
Metody přiřazení do VLAN
- Statické přiřazení (na portu): Port switche je ručně a napevno zařazen (nakonfigurován) do určité VLANy. Veškerá komunikace, která přichází přes tento port, spadá do zadané VLANy. Jedná se o nejrychlejší a nejpoužívanější řešení.
- Dynamické přiřazení (podle MAC adresy): Rámce (port) se zařadí do VLANy podle zdrojové MAC adresy. Výhodou je, že se jedná o dynamické zařazení, takže pokud přepojíme zařízení do jiného portu, automaticky se zařadí do správné VLANy.
- Přiřazení podle protokolu (L3): Tato metoda určuje zařazení podle protokolu přenášeného paketu. Například oddělíme IP provoz od AppleTalk. Nebo zařazujeme podle IP adresy či rozsahu. V praxi není příliš rozšířené.
- Přiřazení pomocí 802.1x: Ověří se uživatel nebo zařízení pomocí protokolu IEEE 802.1x a podle informací se automaticky umístí do VLANy. Jedná se o bezpečnostní metodu, která řídí přístup do sítě (NAC).
Inter-VLAN Routing
Pokud využíváme VLANy, můžeme se k nim chovat stejně jako k normálním podsítím. Často se dnes využívá L3 switch pro inter-VLAN routing - směrování mezi VLAN. U Cisco L3 switchů provedeme inter-VLAN routing jednoduše tak, že zapneme routování a na ty VLANy, které mají mezi sebou routovat, nastavíme IP adresu. Toto je klíčové pro umožnění řízené komunikace mezi různými VLAN sítěmi, například pro přístup k tiskárně nebo serveru z izolované sítě.
Alternativy k VLAN pro izolaci klientů
Guest Wi-Fi sítě
Síť Guest Wi-Fi je poněkud izolovaná od hlavní sítě. Říkám „poněkud“, protože izolace se liší a může být konfigurovatelná. Drtivá většina spotřebitelských routerů nabízí jednu síť Guest; některé nabízejí jednu na každém pásmu Wi-Fi (2,4 GHz a 5 GHz). Na rozdíl od toho router, který podporuje VLANy, vám pravděpodobně umožní vytvořit desítky z nich. Sítě Guest jsou navíc pouze Wi-Fi, VLANy mohou existovat i na kabelových ethernetových připojeních.
Izolace nabízená sítí Guest se liší podle výrobce. Například, na TP-Link routeru existují zaškrtávací políčka pro "Allow guests to see each other" (Povolit hostům, aby se viděli) a "Allow guests to access my local network" (Povolit hostům přístup k mé místní síti). Google Wi-Fi nemá žádnou pevnou bariéru mezi sítí Guest a privátní sítí a nabízí funkci sdílených zařízení, kterou nelze vypnout. Asus nabízí možnost "Access Intranet", která pravděpodobně prolomí zeď mezi hostitelskými a soukromými zařízeními.
Použití dvou routerů
Použití dvou routerů by mělo nabídnout úplnou izolaci. V tomto případě připojíte port WAN/Internet vnitřního routeru k portu LAN vnějšího routeru. Vnější router je buď připojen k modemu, nebo je to kombinované zařízení modem/router. Firewall vnitřního routeru izoluje zařízení k němu připojená od všech zařízení připojených k vnějšímu routeru. Pro někoho, kdo pracuje z domova, je to poměrně bezpečný způsob, jak izolovat svá pracovní zařízení od všeho ostatního v domácnosti. Jednou nevýhodou tohoto přístupu je, že se neškáluje. Další je, že nebude existovat žádná možnost izolovat zařízení připojená k vnitřnímu routeru od sebe navzájem. Na druhou stranu, izoluje kabelově připojená zařízení, což Wi-Fi nedokáže.
Čtěte také: IPA asfaltová izolace: Co potřebujete vědět
Praktické příklady a konfigurace
Problém s izolací Guest Wi-Fi na O2 routeru
Často se setkáváme s problémem, kdy i přes nastavení izolace klientů na "guest wifi" routeru, který je připojen WANem do LANky O2 routeru, je stále možné přihlásit se do administrace O2 routeru (např. na IP 10.0.0.138). O2 router často neumožňuje funkce jako captive portal, časovač vypnutí Wi-Fi a jeho nastavení může být omezené. Problémem není jen viditelnost administrace, ale i potenciální přístup hostů k dalším síťovým prvkům v síti 10.0.0.x.
Možná řešení pro O2 router:
- Změna IP adresy O2 routeru: Jedním z nejjednodušších řešení by bylo změnit IP adresu O2 routeru na nestandardní, například 10.0.154.1. Bohužel, u některých ISP routerů může být tato funkce omezená nebo obtížně dohledatelná.
- Převod O2 routeru do režimu bridge: Pokud O2 router podporuje režim bridge, veřejná IP adresa by byla na vašem vlastním routeru (např. Mikrotik), který by pak plnil funkci hlavní brány a umožňoval pokročilou konfiguraci VLAN.
- Firewallová pravidla na druhém routeru: Pokud druhý router (za O2 routerem) NATuje, lze nastavit statickou WAN IP a konfigurovat firewallová pravidla:
- Pravidlo 1: do tabulky input, src IP WAN druhého routeru, drop (zahodit). DNS server druhého routeru musí být server poskytovatele nebo 8.8.8.8 a 1.1.1.1.
- Pravidlo 2: do tabulky forward src IP WAN druhého routeru dst LAN prvního routeru, drop.
- Pravidlo 3: do tabulky forward, pod 2.: src IP WAN druhého routeru accept.
- Použití DMZ (Demilitarizovaná zóna): DMZ může pomoci izolovat router, ale vyžaduje podrobnou konfiguraci, aby se zajistilo, že hosté nemají přístup k nadřazené síti.
- Nasazení "chytrého" routeru s VLAN: Nejefektivnějším řešením je použití routeru, který umí VLANy (např. Mikrotik). Na WAN by se nastavilo PPPoE s příslušnými parametry. Na LAN by se vytvořily dvě VLANy - jedna pro vlastní síť, druhá pro hosty. Tím by se hosté zcela oddělili od vaší hlavní sítě.
Konfigurace VLAN na routerech ASUS
Postup konfigurace VLAN na routerech ASUS se může zdát složitý, nicméně je zde popsán v několika krocích:
- Přihlaste se zadáním uživatelského jména a hesla svého routeru.
- Přejděte na stránku LAN > VLAN.
- Vytvořte profil VLAN na kartě „Profil“. Zde můžete přiřadit své vlastní VLAN ID.
- Izolace portů omezuje přístup různých zařízení v rámci stejné sítě VLAN. Na této stránce vytváříte síť typu „VLAN-only-Network“, což znamená, že se jedná o síť s VID, ale bez DHCP.
- Pokud má VLAN profil Guest Network Pro (SDN), můžete povolit izolaci přístupového místa a omezit přístupová oprávnění jednotlivých wifi zařízení.
- Na kartě „VLAN“ můžete vybrat port se specifickým profilem a režimem (Trunk / Přístupový bod).
- Tovární nastavení: Nastavení „Vše (výchozí)“ povoluje tagované i netagované packety.
- Přístupový režim: Povoluje vybranou síť SDN (VLAN). Profily můžete vybírat vytvořením sítě Guest Network pro nebo VLAN.
Konfigurace VLAN na routerech Peplink
Proces vytvoření VLAN pomocí routeru Peplink je poměrně jednoduchý. Začíná se na záložce Network -> Network Settings. V sekci LAN se zobrazují existující VLANy a také položka pro netagovanou LAN. Klikne se na tlačítko "New LAN".
Název a číslo VLAN jsou libovolné (např. IoTvlan, VOIPvlan, GuestVLAN). Čísla VLAN (pole se nazývá VLAN ID) by měla být mezi 2 a 4 094. Každá VLAN má svou vlastní podsíť. Podsíť může být libovolná podsíť pouze pro interní použití (nejpravděpodobněji 192.168.x.x nebo 10.x.x.x), která již není použita na routeru.
Čtěte také: Radon a asfaltová izolace
Pokud vytváříte VLAN pro úplnou izolaci zařízení, ujistěte se, že je zaškrtávací políčko pro Inter-VLAN routing vypnuto. Doporučuje se povolit protokolování DHCP.
Router má více IP adres na straně LAN, jednu pro každou podsíť VLAN. Pro zabezpečení může Peplink blokovat všechny podsítě kromě jedné (vyberete si, kterou), aby neměly vůbec přístup k routeru ze strany LAN.
Tabulka: Porovnání izolačních funkcí routerů
Níže uvedená tabulka shrnuje, jak různí výrobci routerů implementují izolaci klientů, zejména v rámci Guest Wi-Fi sítí.
| Výrobce routeru | Popis funkce izolace Guest Wi-Fi | Konfigurovatelnost | VLAN podpora |
|---|---|---|---|
| TP-Link | Checkbox "Allow guests to see each other" a "Allow guests to access my local network" | Vysoká (izolace klientů a přístup do LAN) | Nejasná pro spotřebitelské modely |
| Google Wi-Fi | Funkce sdílených zařízení, kterou nelze vypnout | Nízká (omezená izolace) | Ne |
| Asus | Možnost "Access Intranet" (pravděpodobně prolomí izolaci) | Střední (některé modely podporují VLAN) | Ano (některé modely od verze firmwaru 3.0.0.6.102_xxxx) |
| Netgear | Možnost "allow guests to access my local network" (některé modely) | Střední (proměnlivá) | Nejasná |
| Eero | Žádné možnosti sdílení pro Guest síť | Vysoká (implicitní izolace) | Ne |
| Trendnet | Možnosti "Wireless client isolation" a "Internet Access Only" | Vysoká (izolace klientů a omezení přístupu) | Nejasná |
| Synology RT2600ac | Dvě Guest sítě, ale sdílejí stejnou podsíť (nejsou izolovány od sebe) | Nízká (omezená izolace mezi Guest sítěmi) | Ne |
| D-Link | Možnost "Enable routing between Zones" | Střední | Nejasná |
| Peplink | "Layer 2 isolation" pro prevenci komunikace na stejné Wi-Fi síti. Možnost komplexních VLAN | Vysoká (plná podpora VLAN s pokročilými pravidly) | Ano (plná podpora) |
Zabezpečení a multi-tenancy
„Nebudou naše data ohrožena, když poběží vedle jiných zákazníků?“ Tato obava je sice přirozená, ale realita je dnes mnohem komplexnější. Multi‑tenantní architektura - pokud je správně navržená - umožňuje bezpečné a efektivní provozování i kritických aplikací. Multi‑tenance umožňuje více zákazníkům využívat společnou infrastrukturu - výpočetní výkon, úložiště, síťové zdroje i rozhraní pro správu. Každý „tenant“ má ale své oddělené prostředí: izolovaná síť, vlastní přístupová pravidla, databáze i monitoring.
Aby multi-tenantní prostředí bylo skutečně bezpečné, musí být jednotliví zákazníci striktně odděleni na několika úrovních:
- Datová izolace: Šifrování dat v klidu i při přenosu.
- IAM / RBAC: Granularita přístupových práv, která umožňuje každému uživateli přístup jen k tomu, co opravdu potřebuje.
Multi-tenant architektura - sdílení infrastruktury, nikoli dat - je bezpečná a flexibilní tehdy, když je navržena dle správných standardů. Multi-tenantní model je bezpečný a efektivní, ale v některých případech (např. bankovnictví, státní správa, citlivé projekty) je nutná větší míra kontroly. V takových situacích je private cloud ideální cestou - data zůstávají v EU, infrastruktura je vyhrazená a právně mimo zásah třetích autorit.
Závěr
Izolace klientů v síti je zásadní pro zabezpečení a efektivní správu síťových prostředků. Zatímco spotřebitelské routery často nabízejí základní funkce Guest Wi-Fi sítě, které poskytují omezenou izolaci, profesionální routery a zařízení s podporou VLAN (jako Mikrotik nebo Unifi) umožňují vytvářet skutečně oddělené síťové segmenty s detailní kontrolou nad komunikací. Správná implementace VLAN umožňuje oddělit různé skupiny uživatelů a zařízení, chránit citlivá data a optimalizovat síťový provoz.
tags: #izolace #klientu #vlan #router #princip