Se há uma coisa que tira o sono de qualquer administrador de redes, é a famosa "rede plana" (onde tudo se comunica com tudo). Quando você oferece um Wi-Fi para visitantes ou disponibiliza portas de rede nas salas de reuniões, está literalmente abrindo as portas do seu castelo.
Um consultor que espeta o notebook infectado com ransomware na mesa de reunião, ou um visitante cujo smartphone está comprometido, não pode ter rota direta para o seu Domain Controller ou para os servidores de banco de dados. É aqui que o isolamento de VLANs deixa de ser teoria e se torna sobrevivência.
Neste post, vamos explorar como implementar o isolamento tático de redes utilizando o sistema operacional VRP (Versatile Routing Platform) dos switches Huawei, bloqueando ameaças tanto em Camada 2 quanto em Camada 3.
Por que Isolar o Wi-Fi de Visitantes e Salas de Reuniões?
Contenção de Ameaças (Worms e Ransomwares): A maior parte dos malwares modernos faz varredura lateral (lateral movement). Se a sala de reunião estiver na mesma VLAN da sua rede corporativa ou tiver roteamento liberado para ela, o malware vai encontrar e infetar os seus servidores.
Mitigação de Ataques Man-in-the-Middle: Numa rede de visitantes, não quer que um dispositivo faça ARP Spoofing e intercete o tráfego dos outros visitantes.
Redução de Broadcast: Dispositivos móveis e notebooks geram muito tráfego de broadcast e multicast. Isolar esse tráfego liberta a CPU dos seus switches core e otimiza a rede principal.
Tutorial: Isolamento na Prática (Switches Huawei)
Para este laboratório, vamos assumir o seguinte cenário:
VLAN 10: Rede Corporativa (192.168.10.0/24)
VLAN 20: Rede de Visitantes / Sala de Reunião (192.168.20.0/24)
O nosso objetivo é duplo: impedir que os visitantes acedam à rede corporativa (Camada 3) e impedir que os visitantes comuniquem entre si (Camada 2).
Passo 1: Criação das VLANs
Acesse o switch via console ou SSH, entre no modo de configuração de sistema e crie as VLANs necessárias:
<HUAWEI> system-view
[HUAWEI] sysname CoreSwitch
[CoreSwitch] vlan batch 10 20
Passo 2: Isolamento de Camada 2 (Port Isolation)
Esta é uma funcionalidade fantástica dos switches Huawei. Com o port-isolate, você impede que duas portas que pertencem à mesma VLAN comuniquem entre si. Todo o tráfego dessas portas é forçado a ir para o gateway (onde podemos filtrá-lo).
Vamos configurar as portas da sala de reunião (ex: GigabitEthernet 0/0/1 e 0/0/2):
[CoreSwitch] interface GigabitEthernet 0/0/1
[CoreSwitch-GigabitEthernet0/0/1] port link-type access
[CoreSwitch-GigabitEthernet0/0/1] port default vlan 20
[CoreSwitch-GigabitEthernet0/0/1] port-isolate enable group 1
[CoreSwitch-GigabitEthernet0/0/1] quit
[CoreSwitch] interface GigabitEthernet 0/0/2
[CoreSwitch-GigabitEthernet0/0/2] port link-type access
[CoreSwitch-GigabitEthernet0/0/2] port default vlan 20
[CoreSwitch-GigabitEthernet0/0/2] port-isolate enable group 1
[CoreSwitch-GigabitEthernet0/0/2] quit
Detalhe: Portas no mesmo grupo de isolamento (group 1) não falam entre si, mas falam com portas que não estão no grupo (como o uplink para o roteador ou firewall).
Passo 3: Isolamento de Camada 3 (ACL no Vlanif)
Agora precisamos garantir que o tráfego da VLAN 20 não atravesse o roteamento inter-VLAN para chegar à VLAN 10 corporativa. Faremos isso através de uma Advanced ACL (Access Control List).
[CoreSwitch] acl number 3000
[CoreSwitch-acl-adv-3000] rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[CoreSwitch-acl-adv-3000] rule 10 permit ip source 192.168.20.0 0.0.0.255 destination any
[CoreSwitch-acl-adv-3000] quit
A regra 5 bloqueia tudo o que vai da rede 20 para a rede 10. A regra 10 permite que a rede 20 chegue a qualquer outro lugar (ou seja, à Internet).
Passo 4: Aplicar a ACL na Interface Virtual (SVI)
Finalmente, aplicamos a ACL de filtro de tráfego na entrada (inbound) da interface de gateway da rede de visitantes:
[CoreSwitch] interface Vlanif 20
[CoreSwitch-Vlanif20] ip address 192.168.20.1 255.255.255.0
[CoreSwitch-Vlanif20] traffic-filter inbound acl 3000
[CoreSwitch-Vlanif20] quit
Conclusão
Com estas poucas linhas de comando, nós transformamos o Wi-Fi de visitantes e a sala de reuniões numa "bolha" isolada. Eles recebem internet, mas os equipamentos corporativos (VLAN 10) ficam invisíveis e intocáveis. Além disso, a funcionalidade de Port Isolation garante que um visitante infectado não ataque o computador de outro visitante sentado ao lado dele.
Na sua infraestrutura, os visitantes e os recursos da empresa ainda partilham o mesmo espaço lógico ou você já adotou políticas de isolamento severas? Deixe a sua opinião nos comentários!