Private VLAN's! Vom Providernetz zum Schulnetzwerk!

Transkript

1 Private VLAN's Vom Providernetz zum Schulnetzwerk

2 Agenda PVLAN- Theorie Rules and Limitations Configuration Steps Zusammenfassung PVLAN-LAB

3 Virtual Local Area Network (VLAN) Ein VLAN ist eine logische Gruppe von Devices. Broadcast bleibt in seinem VLAN. VLAN-Grenze ist ein IP-Subnetz. Trunks verbinden Switche, und transportieren verschiedene VLAN s. Layer 3 Geräte (Router) erlauben die Kommunikation zwischen VLAN s uwe.starke@hs-wismar.de 3

4 Motivation für Private VLAN s Allgemeine Netzstruktur : DMZ Internet - Serviceprovider hosten unterschiedliche Kundenserver - DMZ mit Firewall Topologien (DMZ hostet die separaten Dienste) meist alle Server / Dienste im gleichen VLAN / Subnetz Was kann passieren? Ein Server wurde attakiert, Zugriff auf den nächsten Server im gleichen Netz ist möglich (trotz DMZ). Firewall schützt dann nicht mehr LAN uwe.starke@hs-wismar.de 4

5 Was tun nun Private VLAN s? Kurz gesagt:?? Isolation auf Layer 2 im selben VLAN -> sprich im selben Subnetz Wie kann ich Traffic im L2 isolieren und im selben Subnetz sein? Ideen?? uwe.starke@hs-wismar.de 5

6 Durch unterschiedliche Portfunktionen Isolated Promiscuous Community Simpel oder?

7 Durch unterschiedliche Portfunktionen Isolated Promiscuous

8 Durch unterschiedliche Portfunktionen Promiscuous Community

9 Weiter in der PVLAN- Struktur Primary Private VLAN high-level Secondary Private VLAN child of the primary, belongs to the same IP-subnet Community Private VLAN Isolated Private VLAN Each Private VLAN has only one isolated Private VLAN

10 Logischer Traffic- Flow

11 Einfacheres PVLAN Feature Cisco s lower end Switche (Cisco ) können keine PVLAN s aber es gibt ein limitiertes Feature Private VLAN edge (protected port) Private VLAN edge ist nur lokal signifikant, keine Switch to Switch- Gültigkeit (anders als Private Vlan s), d.h. keine Isolation zwischen zwei protected ports auf unterschiedlichen Switchen ein protected port leitet keinen Traffic auf L2 (unicast, multicast, or broadcast) zu einem anderen protected port im selben Switch, Aber zu anderen Ports auf dem selben und anderen Switchen jeder Traffic zwischen protected ports muß durch L3 erfolgen uwe.starke@hs-wismar.de 11

12 Einfachere PVLAN Struktur Protected- oder Edge Port Nur ein zusätzliches Kommando im Interface- Mode Switch(config-if)# switchport protected

13 PVLAN Support bei unterschiedlichen Switchen Catalyst Platform PVLAN Supported Minimum Software Version Isolated VLAN Catalyst 3550 Not Supported Not Supported Catalyst 2950 Not Supported Not Supported PVLAN Edge (Protected Port) Yes. 12.1(4)EA1 onwards. Yes. 12.0(5.2)WC1, 12.1(4)EA1 and later. Community VLAN Not Supported Not Supported Catalyst 2960 Not Supported Not Supported Yes. 12.2(25)FX and later. Not Supported

14 PVLAN Support bei unterschiedlichen Switchen Catalyst Platform PVLAN Supported Minimum Software Version Catalyst (20)SE - EMI Yes Catalyst (20)SE - EMI Yes Catalyst 3750 Metro Catalyst 2948G/2980G 12.2(25)EY - EMI Isolated VLAN Yes PVLAN Edge (Protected Port) Yes. 12.1(19)EA1 onwards. Yes. 12.1(11)AX onwards. Yes. 12.1(14)AX onwards. 6.2 Yes Not Supported Yes Community VLAN Yes Yes Yes uwe.starke@hs-wismar.de 14

15 Warum PVLAN s für das Schulnetz? Wie sieht Euer Pool / Schulnetz aus? Sicher irgendwie so VLAN s Trunk s VLAN Blau Raum1 VLAN-Grün RaumN Server VLAN (WEB, Materialien, Noten.. ) uwe.starke@hs-wismar.de 15

16 Die unerwünschten Aktivitäten im Schulnetz /LAN /VLAN und Sicherheitsdefizite Schüler Chatten untereinander mit der Vielzahl von Nachrichtendiensten oder - Remote Desktop - Daten- Transfers über Ordnerfreigaben von PC zu PC - Spiele... Warum unerwünscht? Alles während der Klausur / Vorlesung / Stunde Was tun diese Aktivitäten? nach Anmeldung im Internet erfolgt (teilweise) eine P2P- Verbindung im lokalem VLAN Weiteres Defizit - Serverhopping im sicheren Server-Vlan uwe.starke@hs-wismar.de 16

17 Rules and Limitations Summary Do not configure private-vlan ports on interfaces configured for these other features: dynamic-access port VLAN membership Dynamic Trunking Protocol (DTP) Port Aggregation Protocol (PAgP) Link Aggregation Control Protocol (LACP) Multicast VLAN Registration (MVR) voice VLAN PVLANs cannot include VLANs 1 or do not configure 802.1x with port security per-user ACL on private-vlan ports A private-vlan port cannot be a secure port and should not be configured as a protected port uwe.starke@hs-wismar.de 18

18 Configuring PVLANs Steps Step 1. Set VTP mode to transparent. Step 2. Remove any ports in that VLAN before you make the VLAN a PVLAN Step 3. Create the secondary PVLANs. Step 4. Create the primary PVLAN. Step 5. Associate the secondary PVLAN with the primary pvlan. Step 6. Configure an interface as an isolated or community port. Step 7. Associate the isolated port or community port with the primary-secondary pvlan pair. Step 8. Configure an interface as a promiscuous port. Step 9. Map the promiscuous port to the primary-secondary pvlan pair. Isolated and community VLANs are both secondary VLANs uwe.starke@hs-wismar.de 19

19 PVLAN Configuration Beispiel Switch(config)# vtp transparent Switch(config)# vlan 201 Switch(config-vlan)# private-vlan isolated Switch(config)# vlan 202 Switch(config-vlan)# private-vlan community Switch(config-vlan)# vlan 200 Switch(config-vlan)# private-vlan primary Switch(config-vlan)# private-vlan association 201,202 Switch(config-vlan)# interface fastethernet 0/24 Switch(config-if)# switchport mode private-vlan promiscuous Switch(config-if)# switchport private-vlan mapping ,202 Switch(config-if)# interface range fastethernet 0/1-2 Switch(config-if)# switchport mode private-vlan host Switch(config-if)# switchport private-vlan host-association Switch(config-if)# interface range fastethernet 0/3-4 Switch(config-if)# switchport mode private-vlan host Switch(config-if)# switchport private-vlan host-association

20 Verifying PVLAN Configuration show interface switchport show vlan private-vlan. show vlan vlan-id show vlan private-vlan show vlan all-ports show vlan private-vlan type show interface vlan vlan-id private-vlan mapping show tech-support vlan

21 PVLAN Zusammenfassung Wir haben weiterhin die Vorteile von VLAN s Vermindern die Größe der Broadcast domains Segmentieren Traffic Isolieren Traffic auf L2 im selben VLAN Erhöhen DMZ / VLAN- Sicherheit wir verschwenden keine Public IP- Adressen (IPv4) uwe.starke@hs-wismar.de 22

22 PVLAN- Lab- Topologie / /24 Cat 2960 Cat 3560 Promiscuous Port FA 0/1 FA 0/1 Protected Ports FA 0/2 FA 0/2 FA 0/2 0/ 3 0/4 0/5 0/6 VLAN 200 PC1 PC2 PC3 PC4 PC5 PC6 PC7 Community Promiscuous Isolated VLAN 201 VLAN uwe.starke@hs-wismar.de 23

23 Danke für die Aufmerksamkeit Fragen? Auf zum Lab Einladung zur Quelle: CCNP Switch Chapter 2.ppt

24 PVLAN- Lab- Topologie / /24 Cat 2960 Cat 3560 Promiscuous Port FA 0/1 FA 0/1 Protected Ports FA 0/2 FA 0/2 FA 0/2 0/ 3 0/4 0/5 0/6 VLAN 200 PC1 PC2 PC3 PC4 PC5 PC6 PC7 Community Promiscuous Isolated VLAN 201 VLAN uwe.starke@hs-wismar.de 25

25 Router-Konfig: hostname PVLAN-LAB ip dhcp excluded-address ip dhcp excluded-address ip dhcp pool 2960 network default-router dns-server domain-name acad.day ip dhcp pool 3560 network domain-name acad.day dns-server default-router interface FastEthernet0/0 description to Cat 3560 ip address interface FastEthernet0/1 description to Cat 2960 ip address line vty 0 4 password cisco login PVLAN- Lab-Edge-Port Switch 2960 hostname PVLAN-2960 interface FastEthernet0/1 description to Router switchport mode access spanning-tree portfast interface FastEthernet0/2 switchport mode access switchport protected spanning-tree portfast interface FastEthernet0/3 switchport mode access switchport protected spanning-tree portfast interface Vlan1 ip address line vty 0 4 password cisco login Kommunikationstest: evt.firewallregeln der PC s anpassen Verbinde Ping ist erfolgreich Verbinde PC1 an Port FA0/2 PC2 an Port Fa0/4 PC2 an Port FA0/3 Ping nicht erfolgreich uwe.starke@hs-wismar.de 26

26 Router-Konfig: vorherige Seite PVLAN- Lab Switch 3560 hostname PVLAN-3560 vtp mode transparent vlan 200 private-vlan primary private-vlan association vlan 201 private-vlan community vlan 202 private-vlan isolated interface FastEthernet0/1 description To Router switchport private-vlan mapping switchport mode private-vlan promiscuous spanning-tree portfast interface FastEthernet0/2 switchport private-vlan host-association switchport mode private-vlan host spanning-tree portfast interface FastEthernet0/3 switchport private-vlan host-association switchport mode private-vlan host spanning-tree portfast interface FastEthernet0/4 switchport private-vlan mapping switchport mode private-vlan promiscuous spanning-tree portfast interface FastEthernet0/5 switchport private-vlan host-association switchport mode private-vlan host spanning-tree portfast interface FastEthernet0/6 switchport private-vlan host-association switchport mode private-vlan host spanning-tree portfast interface Vlan200 ip address line vty 0 4 login password cisco uwe.starke@hs-wismar.de 27

27 PVLAN- Lab Kommunikationstest: evt.firewallregeln der PC s anpassen Verbinde PC3 PC7 mit den entsprechenden Ports Ping: PC3 bis PC7 zum Router erfolgreich PC3 zu PC4 erfolgreich PC3 oder PC4 zu PC5 erfolgreich PC3 oder PC4 zu PC6 / PC7 nicht erfolgreich PC5 zu PC6 / PC7 erfolgreich PC6 zu PC7 nicht erfolgreich uwe.starke@hs-wismar.de 28