Nowy prefix IPv6 dla dokumentacji
Często kluczem do niepowodzeń w implementacji nowych rozwiązań są pominięte detale lub błędy w dokumentacji. W przypadku adresacji IPv6, ten problem wreszcie znajdzie swoje rozwiązanie dzięki najnowszym decyzjom IETF.
Od dawna borykamy się z niewłaściwym używaniem publicznych zakresów adresów IP w przykładach i dokumentacji technicznej. Mimo istnienia 32-bitowego prefiksu dokumentacyjnego IPv6 2001:db8::/32, wielu autorów wciąż korzystało z rzeczywistych prefiksów przypisanych do różnych organizacji.
To prowadziło do ryzyka kolizji i problemów z funkcjonowaniem rozwiązań opartych na takich przykładach. Co gorsza, używanie prawdziwych adresów mogło stanowić zagrożenie dla bezpieczeństwa, zwłaszcza w kontekście testów penetracyjnych.
Po latach debat i przygotowań, IETF wprowadził RFC 9637, który prezentuje nowy, znacznie większy prefiks dokumentacyjny 3fff::/20. Nowy zakres dostarczy ponad 536 tysięcy możliwych do wykorzystania podsieci /64, zaspokajając potrzeby dokumentalistów i programistów.
Co jest nie tak z VLAN 1?
Danny Wells
"Nigdy nie używaj VLAN 1 w sieci" - to stwierdzenie jest często powtarzane, ale właściwie, dlaczego? Zacznijmy od podstaw.
VLAN 1 to domyślna, zdefiniowana w fabryce sieć dla większości przełączników sieciowych. Jednak jej wykorzystanie w rzeczywistych sieciach produkcyjnych niesie ze sobą wiele zagrożeń.
Niektóre protokoły sieciowe, takie jak STP, CDP i VTP, przesyłają ramki zarządzania bez znakowania VLAN, czyli w ramach natywnej sieci VLAN. Jeśli VLAN 1 jest wykorzystywana do komunikacji, złośliwy użytkownik może przechwycić te ramki i potencjalnie spowodować zakłócenia w działaniu sieci.
Domyślnie wszystkie porty przełącznika należą do VLAN 1. Jeśli porty nie są zabezpieczone, każde urządzenie podłączone do nich uzyska dostęp do VLAN 1 i potencjalnie do poufnych ramek zarządzania.
Ponieważ VLAN 1 jest siecią domyślną, często bywa ona również natywną siecią VLAN dla łączy trunk pomiędzy przełącznikami. Oznacza to brak rzeczywistej segmentacji między tymi urządzeniami, co stanowi ogromne ryzyko.
Ciekawym atakiem na VLAN natywny jest VLAN hopping, znany również jako double tagging. Polega on na przesłaniu ramki z podwójnym tagiem VLAN. Pierwszy tag, będący tagiem natywnym, jest odrzucany, a następnie ramka jest przetwarzana zgodnie z drugim tagiem.
Jak zwiększyć bezpieczeństwo sieci?
- Zmiana natywnego VLAN-u - Pierwszym krokiem powinno być zmienienie numeru natywnej sieci VLAN na inny niż VLAN 1. Dobrym pomysłem jest wybranie numeru wyraźnie różniącego się od używanych sieci VLAN użytkowników, np. VLAN 666.
- Kontrola dostępu 802.1x - Wdrożenie zabezpieczeń portów za pomocą mechanizmu 802.1x znacząco zwiększy bezpieczeństwo sieci. Alternatywnie można wyłączyć nieużywane porty dostępowe.
- Dedykowany VLAN natywny - Jeśli przełączniki to umożliwiają, rozwiązaniem jest wyłączenie VLAN 1 na portach trunk oraz przesunięcie ruchu administracyjnego do dedykowanego VLAN .
Projekty, które warto śledzić
Łukasz BromirskiŁukasz Bromirski, prezentuje listę projektów, które stworzył oraz aktywnie utrzymuje. Wśród nich znajduje się międzynarodowa inicjatywa AS 112, która odciąża serwery root DNS, projekt BGP Blackholing rozgłaszający problematyczne prefiksy, serwer tras RPKI umożliwiający walidację prefiksów BGP, otwarty projekt serwera tras BGP z pełnym widokiem tablicy routingu oraz repozytorium zasobów dotyczących bezpieczeństwa ISP.
Kolekcja przykładów NSO
NSO-developer
Kolekcja przykładów NSO zawiera różnorodne materiały, od prostych do bardziej zaawansowanych, skierowane głównie do programistów aplikacji NSO, ale przydatne także dla administratorów.
Przykłady są uporządkowane według typowego procesu nauki nowego użytkownika NSO, co ułatwia odnalezienie odpowiednich materiałów. Wiele z nich korzysta z Netsim do symulacji zarządzanych urządzeń.
Możesz zablokować sieć TOR?
Przeczytaj całą historię
Zarejestruj się teraz, aby przeczytać całą historię i uzyskać dostęp do wszystkich postów za tylko dla płacących subskrybentów.
Subskrybuj