VLAN در شبکه سازمانی؛ از برچسب 802.1Q تا طراحی امن

در بیشتر شبکه‌های کوچک و متوسطی که بازدید می‌کنیم، همه‌چیز روی یک شبکه واحد است: کامپیوتر مدیرعامل، دوربین پارکینگ، گوشی مهمانی که به وای‌فای وصل شده، چاپگر و سرور حسابداری. به این وضعیت «شبکه تخت» می‌گویند و سه مشکل همیشگی دارد: هر دستگاه آلوده به همه دستگاه‌ها دسترسی دارد، ترافیک همه‌گیر (Broadcast) کل شبکه را کند می‌کند، و هیچ راهی برای اولویت دادن به ترافیک مهم وجود ندارد.

VLAN شبکه سازمانی، یا شبکه محلی مجازی، راه‌حل استاندارد این مسئله است. این مقاله توضیح می‌دهد VLAN در سطح فریم چطور کار می‌کند، چطور یک شبکه سازمانی را با آن طراحی کنید، و کدام تنظیمات پیش‌فرض، جداسازی را عملاً بی‌اثر می‌کنند.

VLAN چیست — به زبان فنی

یک VLAN، یک «حوزه همه‌گیر» (Broadcast Domain) منطقی است. دستگاه‌هایی که در یک VLAN هستند، طوری با هم کار می‌کنند که انگار روی یک سوئیچ جداگانه‌اند — حتی اگر فیزیکی به یک سوئیچ وصل باشند. دستگاه‌های VLANهای مختلف، مستقیماً همدیگر را نمی‌بینند؛ ارتباطشان فقط از طریق یک مسیریاب (لایه ۳) ممکن است، و همان‌جا می‌شود قانون گذاشت.

برچسب 802.1Q

استاندارد IEEE 802.1Q یک برچسب ۴ بایتی به فریم اترنت اضافه می‌کند که بین آدرس MAC مبدأ و فیلد نوع قرار می‌گیرد:

۱۲ بیت یعنی ۴۰۹۶ مقدار، که ۰ و ۴۰۹۵ رزرو شده‌اند؛ پس ۴۰۹۴ VLAN قابل استفاده. برای هر سازمانی به‌جز اپراتورها بیش از کافی است.

فیلد PCP اهمیت عملی زیادی دارد: همین سه بیت است که اجازه می‌دهد ترافیک صدای تلفن تحت شبکه (معمولاً اولویت ۵) بر ترافیک دانلود فایل مقدم باشد، حتی وقتی لینک شلوغ است.

پورت Access و پورت Trunk

دو نوع پورت اساس کار VLAN هستند:

• Access: پورتی که فقط به یک VLAN تعلق دارد و به دستگاه نهایی (کامپیوتر، چاپگر، دوربین) وصل می‌شود. فریم‌ها بدون برچسب خارج می‌شوند؛ دستگاه اصلاً نمی‌داند VLAN وجود دارد.
• Trunk: پورتی که فریم‌های چند VLAN را با برچسب حمل می‌کند. بین دو سوئیچ، بین سوئیچ و روتر، یا بین سوئیچ و اکسس پوینتی که چند SSID دارد.

یک حالت ترکیبی رایج هم وجود دارد: پورتی که به تلفن IP وصل است و کامپیوتر از پشت تلفن شبکه می‌گیرد. در این حالت پورت یک VLAN داده بدون برچسب (برای کامپیوتر) و یک Voice VLAN با برچسب (برای تلفن) دارد. تلفن معمولاً با پروتکل LLDP-MED شماره Voice VLAN را از سوئیچ یاد می‌گیرد.

مسیریابی بین VLANها

VLANها باید با هم حرف بزنند — کاربران به سرور، مدیریت به دوربین. سه روش وجود دارد:

برای بیشتر شرکت‌های متوسط، روش اول با فایروال به‌عنوان مسیریاب کافی است و مزیت بزرگش این است که هر عبور بین VLANها از فایروال می‌گذرد و قابل کنترل است. وقتی حجم ترافیک داخلی زیاد شد — مثلاً بکاپ‌گیری سنگین یا دسترسی گسترده به سرور فایل — مسیریابی را به سوئیچ لایه ۳ منتقل کنید و فقط ترافیک حساس را از فایروال عبور دهید.

تفکیک شبکه سازمانی چیست؟

Network Segmentation یعنی تقسیم شبکه به ناحیه‌های کوچک‌تر که ارتباط میان آن‌ها بر اساس سیاست انجام می‌شود. این ناحیه‌ها می‌توانند با VLAN، Subnet، فایروال داخلی، ACL، VRF یا راهکارهای نرم‌افزارمحور ساخته شوند. هدف اصلی این است که هر دستگاه فقط به سرویس‌هایی دسترسی داشته باشد که برای وظیفه‌اش لازم است.

برای نمونه، تلفن‌های VoIP باید به Call Manager، DNS و NTP دسترسی داشته باشند، اما نیازی نیست به پایگاه داده مالی متصل شوند. دوربین‌های نظارتی نیز باید با NVR و سرور زمان ارتباط داشته باشند و دسترسی مستقیم آن‌ها به اینترنت یا شبکه کاربران محدود باشد.

چرا شبکه تخت برای سازمان خطرناک است؟

حرکت جانبی مهاجم

اگر یک لپ‌تاپ کاربر با فیشینگ آلوده شود، مهاجم در شبکه تخت می‌تواند پورت‌ها و سرویس‌های دیگر را اسکن کند و برای دسترسی به سرورها تلاش کند. تفکیک درست، مسیرهای قابل استفاده را محدود می‌کند و زمان بیشتری برای شناسایی رخداد می‌دهد.

انتشار سریع بدافزار

باج‌افزارها و کرم‌های شبکه‌ای از دسترسی گسترده و پروتکل‌های باز سود می‌برند. محدودکردن SMB، RDP، WinRM و دسترسی‌های مدیریتی میان ناحیه‌ها، دامنه آلودگی را کاهش می‌دهد. این کنترل باید در کنار برنامه مدیریت وصله‌های امنیتی اجرا شود.

عیب‌یابی دشوار

Broadcast زیاد، آدرس‌دهی نامنظم و نبود مرز مشخص باعث می‌شود منشأ اختلال یا ترافیک غیرعادی دیرتر پیدا شود. تفکیک شبکه، مشاهده‌پذیری را افزایش می‌دهد و مسئولیت هر ناحیه را روشن می‌کند.

عدم انطباق با الزامات امنیتی

بسیاری از چارچوب‌های امنیتی جداسازی محیط تولید، مدیریت، کاربران، مهمانان و سامانه‌های حساس را توصیه می‌کنند. شبکه تخت اثبات کنترل دسترسی و ارائه گزارش ممیزی را دشوار می‌کند.

مراحل طراحی تفکیک شبکه

۱. تهیه فهرست دارایی‌ها

پیش از تغییر، دستگاه‌ها، آدرس‌ها، سیستم‌عامل‌ها، مالک سرویس و وابستگی‌ها را ثبت کنید. ابزارهای مانیتورینگ و لاگ فایروال کمک می‌کنند ارتباط‌های واقعی شناخته شوند. اطلاعات ناقص در این مرحله معمولاً باعث قطع سرویس هنگام مهاجرت می‌شود.

۲. ترسیم جریان‌های مجاز

برای هر ناحیه مشخص کنید چه مبدأیی به چه مقصدی، روی کدام پورت و با چه دلیل کسب‌وکاری نیاز دارد. عبارت‌هایی مانند «دسترسی کامل برای اینکه مشکلی پیش نیاید» باید به قواعد دقیق تبدیل شوند.

۳. طراحی آدرس‌دهی

Subnetها را خوانا و قابل توسعه انتخاب کنید. بهتر است از الگوی ثابت برای شعب، طبقات یا نوع سرویس استفاده شود. فضای رشد را در نظر بگیرید، اما Subnetهای بیش‌ازحد بزرگ نسازید.

۴. تعریف نقطه اعمال سیاست

مشخص کنید Inter-VLAN Routing روی فایروال، Core Switch یا معماری ترکیبی انجام می‌شود. برای ناحیه‌های حساس، عبور ترافیک از فایروال دید و کنترل بیشتری فراهم می‌کند. ناحیه مدیریت باید فقط از طریق Jump Server، VPN مدیریتی یا ایستگاه‌های مجاز در دسترس باشد.

۵. طراحی DHCP، DNS و سرویس‌های مشترک

پس از تفکیک، DHCP Relay، DNS، NTP، احراز هویت و چاپ باید همچنان کار کنند. این سرویس‌ها را مستند و قواعد لازم را محدود کنید. برای کنترل اتصال کاربران و تجهیزات می‌توان از NAC و استاندارد 802.1X استفاده کرد.

طراحی: کدام VLANها

یک طرح پایه که برای بیشتر سازمان‌ها جواب می‌دهد:

منطق طراحی ساده است: هر گروه از دستگاه‌ها که سطح اعتماد متفاوتی دارد، VLAN جداگانه دارد. دوربین‌ها و تجهیزات IoT معمولاً کمترین به‌روزرسانی امنیتی را می‌گیرند و بیشترین هدف نفوذند؛ جدا کردنشان یکی از مؤثرترین اقدامات امنیتی ممکن است.

برای آدرس‌دهی، یک زیرشبکه /24 برای هر VLAN (۲۵۴ آدرس) معمولاً کافی است. یک عادت خوب: عدد VLAN را در آدرس بیاورید — مثلاً VLAN 20 روی 10.0.20.0/24 — تا هر کس آدرس را دید، VLAN را هم بداند.

نمونه ماتریس دسترسی

قاعده‌ها باید جهت ارتباط را نیز مشخص کنند. مجازبودن ارتباط سرور بکاپ با کلاینت‌ها لزوماً به معنی مجازبودن آغاز ارتباط از سمت کلاینت به مخزن بکاپ نیست.

سه تنظیم پیش‌فرض که امنیت VLAN را بی‌اثر می‌کنند

جداسازی VLAN فقط به اندازه پیکربندی‌اش امن است. این سه مورد در شبکه‌های واقعی بارها دیده می‌شوند:

۱. VLAN 1 برای همه‌چیز

روی بیشتر سوئیچ‌ها همه پورت‌ها به‌صورت پیش‌فرض در VLAN 1 هستند و VLAN 1 همان VLAN بومی (Native) Trunkها و گاهی VLAN مدیریتی هم هست. استفاده از VLAN 1 برای کاربران یا مدیریت، سطح حمله را بزرگ می‌کند. VLAN 1 را خالی بگذارید و مدیریت را به VLAN اختصاصی ببرید.

۲. Native VLAN و حمله Double Tagging

روی پورت Trunk، یک VLAN «بومی» فریم‌هایش را بدون برچسب حمل می‌کند. حمله‌ای به نام VLAN Hopping با Double Tagging از این رفتار سوءاستفاده می‌کند: مهاجم فریمی با دو برچسب می‌فرستد؛ سوئیچ اول برچسب بیرونی (که با Native VLAN یکی است) را برمی‌دارد و فریم با برچسب دوم به VLAN هدف می‌رسد. راه مقابله: Native VLAN را یک VLAN استفاده‌نشده بگذارید، یا روی سوئیچ‌هایی که پشتیبانی می‌کنند، برچسب زدن Native VLAN را فعال کنید.

۳. مذاکره خودکار Trunk

بعضی سوئیچ‌ها (مثل پروتکل DTP در سیسکو) به‌صورت پیش‌فرض ممکن است با دستگاهی که ادعای سوئیچ بودن دارد، Trunk بسازند. یعنی یک مهاجم با تنظیم کارت شبکه‌اش می‌تواند به همه VLANها دسترسی بگیرد. پورت‌های کاربر را صریحاً روی Access قرار دهید و مذاکره خودکار را غیرفعال کنید.

این سه مورد را در هر بازبینی امنیتی چک کنید؛ جزئیات بیشتر در خدمات امنیت شبکه آمده است.

VLAN به‌تنهایی کنترل امنیتی کامل نیست

VLAN دامنه Broadcast را جدا می‌کند، اما اگر مسیریابی میان VLANها بدون محدودیت برقرار باشد، جداسازی امنیتی واقعی شکل نمی‌گیرد. ترافیک بین ناحیه‌ها باید از نقطه‌ای عبور کند که قابلیت اعمال سیاست و ثبت رخداد دارد؛ معمولاً فایروال داخلی، فایروال نسل جدید یا سوئیچ لایه سه با ACL دقیق.

قاعده پایه این است: ارتباط پیش‌فرض مسدود باشد و فقط جریان‌های ضروری مجاز شوند. برای مثال، کاربران به DNS، DHCP، Active Directory و برنامه‌های مشخص دسترسی داشته باشند؛ اما دسترسی مستقیم آنان به رابط مدیریتی تجهیزات یا پایگاه داده بسته باشد.

VLAN و وای‌فای

اکسس پوینت‌های سازمانی می‌توانند چند SSID داشته باشند و هر SSID را به یک VLAN نگاشت کنند: SSID کارکنان به VLAN کاربران، SSID مهمان به VLAN مهمان. برای این کار پورت سوئیچی که اکسس پوینت به آن وصل است باید Trunk باشد. اکسس پوینت‌های خانگی معمولاً این قابلیت را ندارند، که یکی از دلایلی است که در وای‌فای سازمانی توضیح داده‌ایم.

چه سوئیچی لازم دارید

VLAN فقط روی سوئیچ مدیریتی یا «هوشمند» (Smart/Web-managed) قابل پیکربندی است. سوئیچ غیرمدیریتی برچسب 802.1Q را نمی‌فهمد و در بعضی موارد فریم برچسب‌دار را دور می‌ریزد یا بدون تغییر عبور می‌دهد — که هر دو جداسازی را خراب می‌کنند. یک سوئیچ غیرمدیریتی که کاربری زیر میزش گذاشته، می‌تواند کل طرح VLAN را دور بزند. مقایسه کامل را در سوئیچ مدیریتی یا غیرمدیریتی آورده‌ایم. در سازمان‌هایی که از سوئیچ سیسکو استفاده می‌کنند، پیکربندی VLAN و امنیت پورت از قابلیت‌های پایه است.

مسیر مهاجرت از شبکه تخت

تبدیل یک شبکه تخت فعال به شبکه با VLAN را نمی‌شود یک‌شبه انجام داد. ترتیب کم‌ریسک:

1. فهرست دستگاه‌ها و دسته‌بندی‌شان بر اساس سطح اعتماد.
2. ساخت VLAN مدیریت و انتقال رابط مدیریتی تجهیزات به آن. اولین قدم، چون اگر اشتباه شود، دسترسی به تجهیزات قطع می‌شود — پس با دسترسی کنسول آماده انجام شود.
3. جدا کردن مهمان و IoT — کم‌ریسک‌ترین و پربازده‌ترین مرحله.
4. جدا کردن سرورها با قوانین دسترسی صریح.
5. تفکیک کاربران در صورت نیاز، بر اساس واحد.
6. بستن قوانین پیش‌فرض: بعد از اینکه همه‌چیز کار کرد، قانون «همه‌چیز مجاز» بین VLANها را حذف کنید.

مرحله آخر همان جایی است که بیشتر پروژه‌ها نیمه‌کاره می‌مانند: VLANها ساخته می‌شوند اما قانون بینشان «همه مجاز» باقی می‌ماند. چنین شبکه‌ای از نظر ترافیک همه‌گیر بهتر شده، اما از نظر امنیتی تقریباً همان شبکه تخت است.

خطاهای رایج در پروژه VLAN

• ساخت VLAN بدون سیاست فایروال: ظاهر شبکه تغییر می‌کند، اما سطح دسترسی تقریباً همان است.
• قواعد Any-to-Any دائمی: قاعده موقت هنگام عیب‌یابی فراموش می‌شود و به حفره امنیتی تبدیل می‌گردد.
• نبود مستندات: پس از چند ماه، دلیل VLAN و قواعد آن روشن نیست.
• تفکیک بیش‌ازحد: تعداد زیاد ناحیه‌ها بار عملیاتی و احتمال خطا را افزایش می‌دهد.
• بی‌توجهی به مسیر بازگشت: مسیریابی نامتقارن می‌تواند Session فایروال را مختل کند.
• قرارگرفتن مدیریت در شبکه کاربر: رابط تجهیزات در معرض حساب‌های آلوده قرار می‌گیرد.

چطور بفهمید VLANها درست کار می‌کنند

بعد از پیاده‌سازی، این آزمون‌های ساده را انجام دهید — ترجیحاً با یک لپ‌تاپ که به ترتیب به پورت‌های هر VLAN وصل می‌شود:

• از VLAN مهمان، آدرس سرورها و رابط مدیریتی سوئیچ را ping کنید. هیچ‌کدام نباید جواب بدهد.
• از VLAN دوربین، دسترسی به اینترنت را امتحان کنید. نباید برقرار باشد.
• از VLAN کاربران، فقط سرویس‌های مجاز روی سرور در دسترس باشد، نه همه پورت‌ها.
• روی یک پورت کاربر، کارت شبکه را روی حالت Trunk بگذارید و ببینید آیا به VLAN دیگری دسترسی پیدا می‌کنید. اگر بله، مذاکره خودکار Trunk هنوز فعال است.

نتیجه این آزمون‌ها را مستند کنید و در هر بازبینی دوره‌ای تکرارش کنید. پیکربندی شبکه در طول زمان تغییر می‌کند و قانونی که امروز درست است، ممکن است بعد از یک تغییر عجولانه دیگر نباشد.

مانیتورینگ و نگهداری پس از اجرا

پس از مهاجرت، داشبوردی برای ترافیک بین ناحیه‌ها، Dropها، خطاهای پورت، تغییرات تنظیمات و استفاده از آدرس‌ها ایجاد کنید. افزایش اسکن، تلاش برای دسترسی به شبکه مدیریت یا جریان غیرعادی از IoT باید هشدار تولید کند. این داده‌ها با خدمات مانیتورینگ زیرساخت قابل تجمیع و تحلیل‌اند.

قواعد فایروال حداقل هر فصل بازبینی شوند. قواعد بدون Hit، سرویس‌های بازنشسته و دسترسی پیمانکاران باید حذف یا دوباره تأیید شوند. مستندات آدرس‌دهی، دیاگرام و ماتریس دسترسی نیز هم‌زمان به‌روزرسانی شوند.

تفکیک شبکه و Zero Trust

Segmentation یکی از اجزای مهم رویکرد Zero Trust در شبکه سازمانی است، اما جایگزین احراز هویت قوی و کنترل وضعیت دستگاه نمی‌شود. تصمیم دسترسی بهتر است ترکیبی از هویت کاربر، هویت دستگاه، موقعیت، حساسیت سرویس و رفتار باشد. Microsegmentation این کنترل را تا سطح Workload یا برنامه دقیق‌تر می‌کند.

مثال اجرایی برای یک شرکت ۱۵۰ نفره

فرض کنید شرکت دارای دو طبقه اداری، اتاق سرور، مرکز تماس و شبکه دوربین است. در وضعیت اولیه، همه دستگاه‌ها در یک Subnet قرار دارند. طرح پیشنهادی شامل VLAN کاربران، مالی، VoIP، دوربین، مهمان، سرور، مدیریت و بکاپ است.

کاربران عمومی فقط به سرویس‌های دامنه، فایل و برنامه سازمانی دسترسی دارند. واحد مالی علاوه بر این موارد به نرم‌افزار مالی متصل می‌شود. دسترسی به پایگاه داده فقط از سرور برنامه مجاز است. تلفن‌ها به Call Manager و NTP محدود می‌شوند. شبکه دوربین فقط با NVR ارتباط دارد و مدیریت تجهیزات از Jump Server انجام می‌شود.

این طرح علاوه بر کاهش ریسک، عیب‌یابی را ساده‌تر می‌کند؛ زیرا اختلال هر ناحیه، دامنه و مسیر مشخصی دارد. گزارش‌های فایروال نیز نشان می‌دهند کدام سیاست‌ها استفاده می‌شوند و کدام درخواست‌ها باید بررسی شوند.

پرسش‌های متداول

VLAN جای فایروال را می‌گیرد؟

نه. VLAN جداسازی ایجاد می‌کند؛ فایروال تعیین می‌کند چه چیزی از این جداسازی عبور کند. بدون قانون، دو VLAN که از طریق روتر به هم وصل‌اند، به هم دسترسی کامل دارند.

VLAN شبکه را کند می‌کند؟

نه؛ برعکس. با کوچک کردن حوزه همه‌گیر، ترافیک اضافه کاهش پیدا می‌کند. تنها جایی که ممکن است کندی ایجاد شود، مسیریابی بین VLANها از یک لینک ضعیف است که با طراحی درست حل می‌شود.

برای شرکت بیست‌نفره هم VLAN لازم است؟

دست‌کم سه VLAN: کاربران، مهمان و دوربین/IoT. این حداقل، بیشترین ریسک را با کمترین پیچیدگی حذف می‌کند.

با میکروتیک هم می‌شود VLAN ساخت؟

بله. RouterOS پشتیبانی کامل از 802.1Q دارد، اما پیکربندی آن نسبت به تجهیزات دیگر خطاپذیرتر است؛ نکات پشتیبانی را در پشتیبانی شبکه میکروتیک آورده‌ایم.

برای هر واحد سازمانی یک VLAN بسازیم؟

الزاماً خیر. مبنا باید تفاوت سطح دسترسی، ریسک و نیاز عملیاتی باشد. واحدهایی با سیاست مشابه می‌توانند در یک ناحیه قرار گیرند.

مسیریابی بین VLANها روی Core بهتر است یا فایروال؟

برای ترافیک پرحجم و کم‌ریسک، Core می‌تواند کارآمد باشد. برای ناحیه‌های حساس، فایروال دید، ثبت رخداد و کنترل برنامه‌ای بیشتری ارائه می‌دهد. معماری ترکیبی در بسیاری از سازمان‌ها مناسب است.

چند وقت یک‌بار سیاست‌ها بازبینی شوند؟

پایش باید مداوم باشد و بازبینی رسمی قواعد حداقل هر سه ماه یا پس از تغییر مهم زیرساخت انجام شود.

قدم بعدی

اگر شبکه شما تخت است یا VLAN دارد اما قوانینش هرگز بازبینی نشده، بازدید فنی نقطه شروع است: طرح فعلی را نقشه‌برداری می‌کنیم و مسیر مهاجرت کم‌ریسک پیشنهاد می‌دهیم.

مشاهده خدمات اکتیو شبکه و درخواست بازدید · تلفن: 021-74903