Есть ли преимущество в настройке VLAN, если мои подсети подключены отдельно?

Question

У меня есть 2 подсети в моем офисе: 172.16.1.0/24 и 172.16.2.0/24. Все устройства в каждой подсети подключены независимо друг от друга в шкаф сервера. Ранее каждая подсеть имела свой собственный коммутатор в шкафу для подключения к серверам этой подсети. Мы заменяем 2 коммутатора одним управляемым коммутатором Dell 2816.

Есть ли преимущество в настройке коммутатора с 2 виртуальными локальными сетями по сравнению с простой передачей всего через коммутатор в неуправляемом режиме?

Моя единственная проблема безопасности заключается в следующем: одна подсеть имеет доступ к Интернету, а другая - нет. Обеспечивает ли установка 2 VLAN дополнительную безопасность, помогая предотвратить доступ одной подсети к другой? Другими словами, если компьютер с доступом к Интернету будет взломан, поможет ли он, находящийся на одной стороне VLAN, предотвратить доступ хакера к другой подсети?

Answer 1

Используют ли ваши подсети DHCP? Одним из преимуществ использования VLAN будет возможность предоставления DHCP каждой подсети независимо, вместо того, чтобы иметь только один DHCP-сервер, распределяющий обе подсети. Если бы я подумал немного больше, я уверен, что мог бы предложить другие преимущества использования VLAN, которые облегчили бы вашу жизнь в этом сценарии ...

Теоретически, сохранение двух ваших подсетей полностью физически изолированными (воздушный зазор) с помощью двух отдельных коммутаторов будет абсолютно лучше для безопасности, чем любая другая комбинация. Однако в действительности две виртуальные локальные сети, настроенные на одном и том же коммутаторе, могут обеспечивать одинаковый уровень безопасности.

Answer 2

Если вы не настроите отдельные VLAN, компьютеры из одной сети смогут: а) обмениваться данными, атаковать или б) перехватывать связь компьютеров из другой сети (включая доступ через маршрутизаторы к другим сетям, таким как Интернет).

Основы атак просты:

а) Это можно сделать, установив IP-адрес из другой сети или просто добавив псевдоним IP.

б) Это может быть сделано, например, путем отравления ARP или заполнения таблицы переадресации коммутатора и установки интерфейса в случайный режим.

Для обеспечения безопасности с этой точки зрения вы должны настроить отдельные VLAN и иметь хороший список доступа на маршрутизаторе или лучший межсетевой экран между ними.