Желіні сегменттеу: практикалық VLAN және қатынау ережелері

Неліктен желіні сегменттеу керек

Көптеген офистерде барлық құрылғылар бір жалпы желіде: жұмыс орындары, бухгалтерлік ноутбуктер, қонақтық Wi‑Fi, принтерлер, камералар, телефондар, серверлер және тіпті ақылды теледидарлар. Бастапқыда бұл ыңғайлы. Бірақ кейін қауіпті болады: құрылғылардың қорғанысы мен тапсырмалары әртүрлі, ал қатынау құқығы барлығы үшін бірдей шығады.

Көбінесе бір желіде жұмыс істейтін компьютерлер мен мердігерлік ноутбуктер, қонақ құрылғылары (телефондар, жеке ноутбуктер), IP‑камералар мен видеорегистраторлар, принтерлер мен МФУ, серверлер мен желілік сақтау біріге қалады.

Тегіс желіде бір жұқтырған компьютердың зардабы тез барлық жүйеге таралады. Қолданушы зиянды тіркемені ашса, әрі қарай код «қайда көшуді» іздейді: көрші компьютерлерге, ортақ папкаларға, осал сервистерге, тіркелгі деректеріне. Егер қасында серверлер болса, салдары әдетте ең қымбат болады: тоқтап қалулар, деректерді шифрлау, утечкалар.

Арнайы мәселе — камералар мен принтерлер. Оларды жиі «жұмыстасын» деген принциппен қояды: жаңартулар бірнеше ай бойы салынбайды, парольдер әдепкі күйде қалады, ал қолжетімділік маңызды жүйемен бірдей желіде ашық болады. Нәтижесінде әлсіз құрылғы корпоративтік ортаға кіру есігіне айналады.

Желіні сегменттеу бұл мәселені күрделі қоспай шешеді: құрылғыларды аймақтарға бөліп, әр аймаққа тек қажет жолдарды ғана бересіз. Қызметкерлер почта мен корпоративтік сервистерді пайдалануды жалғастыра береді, ал қонақтарға ішкі ресурстар көрінбейді, камералар еркін «жүгіру» мүмкін емес, серверлер тек тиісті сұраныстарға жауап береді.

Практикада бұл инцидент кезінде «зақымдалу радиусын» азайтады және бір қате үшін бизнесті тоқтатуға себептерді азайтады. Егер инфрақұрылымда локальды серверлер мен жұмыс станциялары болса (мысалы, GSE негізінде жобаларда), мұндай тәсіл бір жұмыс орнындағы мәселе болғанда да негізгі жүйелердің қолжетімділігін сақтауға көмектеседі.

Негізгі ұғымдар: VLAN, ACL және микросегменттеу қарапайым тілде

Желіні сегменттеу — бір жалпы желіні бірнеше оқшауланған аймақтарға бөлу, құрылғылар арасындағы артық байланыстарды болдырмау үшін. Бұл инцидентті тежеуді жеңілдетеді және кездейсоқ қате немесе жұқтырылған ноутбук камераларға, серверлерге немесе бухгалтерияға жету ықтималдылығын азайтады.

VLAN: коммутатор деңгейінде бөлу (L2)

VLAN‑ды бір физикалық желінің ішіндегі бөлек «бөлмелер» деп елестетуге болады. Кабельдер мен коммутаторлар ортақ болуы мүмкін, бірақ әр түрлі VLAN‑дағы құрылғылар бір‑бірін тікелей көрмейді, егер олардың арасындағы қарым‑қатынасты сіз рұқсат етпесеңіз.

Практикада VLAN көмектеседі:

• қонақтарды, камераларды, пайдаланушыларды және серверлерді бөлуге, тіпті олар бір коммутаторға қосылған болса да;
• кездейсоқ «құрдастықтарды» жоюға (мысалы, принтер немесе камера жұмысшы ПК‑мен бір подсеткада тұрмауы);
• адресация мен ережелерді оңайлатуға (әр аймаққа өз подсеткасы).

L3‑маршрутизация және файрвол: кім «бөлмелерді» қосады

Әр түрлі VLAN‑дардағы құрылғылардың бір‑бірімен байланысуы керек болса (мысалы, ПК → сервер), маршрутизатор немесе L3‑коммутатор қажет. Бұл бөлмелер арасындағы «есік» сияқты.

Файрвол (межсетевой экран) — сол есіктегі «охранник». Ол кім қайда баратынын тексереді және қатынау ережелерін қолданады. Кішігірім офис үшін қарапайым ережелерді L3‑коммутаторда ұстауға болады, ал қатаң бақылау және журналдар — firewall‑да болуы мүмкін.

ACL: сегменттер арасындағы минималды ережелер

ACL (access control list) — VLAN‑дар арасындағы трафикті «рұқсат/тыйым» ережелері. Жақсы тәжірибе — минимумнан бастау және тек қажеттісін рұқсат ету.

Логика мысалдары қарапайым: пайдаланушыларға — серверге қажетті порттар бойынша қолжетімділік, қонақтарға — тек интернет, камераларға — тек видеосерверге.

Микросегменттеу: қашан нәзік шектеулер керек

Микросегменттеу VLAN‑дан ары қарай барады: сіз тіпті бір аймақ ішіндегі құрылымдар арасындағы байланыстарды да шектейсіз (мысалы, екі сервер немесе екі жұмысшы ПК арасындағы байланыс). Бұл жоғары тәуекел және қымбат салдары бар жерлерге сай келеді: қаржылық жүйелер, медициналық деректер, маңызды сервистер.

Бірақ әдеттегі офис үшін микросегменттеу көбіне артық күрделілік әкеледі: ережелер көбеюі, ерекшеліктердің өсуі, жұмысты «бұзудың» ықтималдығы. Практикалық тәсіл — алдымен айқын VLAN және қарапайым ACL, және тек қажет жерлерде ғана нәзік шектеулер енгізу.

Негізгі аймақтар: пайдаланушылар, қонақтар, камералар және серверлер

Қарапайым аймақтардан бастаған жөн — бұдан әрі VLAN мен қатынау ережелерін кеңейту оңай болады. Негізгі схема әдетте 4 топқа бөлінген құрылғыларға сүйенеді, олар тәуекел деңгейі мен қажетті қолжетімділік бойынша ерекшеленеді.

1) Пайдаланушылар

Бұл жұмысшы ПК‑лар, ноутбуктер, кейде кабинеттегі принтерлер. Оларға интернет және бірнеше корпоративтік сервистер қажет: пошта, файл ресурстары, 1С, портал, RDP. Ал олардың камераларға, жабдықтардың әкімшілік интерфейстеріне тікелей қолжетімділігі әдетте керек емес.

2) Қонақтар және жеке құрылғылар

Қонақтық Wi‑Fi және BYOD сенімсіз орта деп есептеу керек. Мұндай құрылғыларға интернет беріледі, бірақ ішкі подсеткаларды көру мүмкіндігі болмауы тиіс. Осылайша қызметкер жеке телефонын қосқанда бухгалтерлік сервер немесе NVR интерфейсі көрінбейді.

3) Камералар, домофондар, IoT

Камералар, домофондар, қолжетімділік контроллері, NVR және басқа IoT құрылғылар жиі сирек жаңартылады және әдепкі паролдер сақталады. Сондықтан оларға бөлек VLAN беріледі және қатынастар барынша шектеледі. Әдетте камераларға қажет:

• NVR немесе VMS‑ке видеопоток жіберу
• Уақыт синхрондау (NTP)
• Қажет болса жаңартуларға шығу (мүмкіндік болғанда ғана)

4) Серверлер және әкімшілік қолжетімділік

Сервер аймағына AD, файл және қолданбалы серверлер, дерекқорлар, сақтау жүйелері, бухгалтерлік серверлер кіреді. Әкімшілік аймақты (jump host, әкімдердің жұмыс орындары) бөлек шығару пайдалы, сонда инфрақұрылымды басқару тек бір бақыланатын жерден өтеді.

50–100 қызметкерге арналған мысал: 4 VLAN жасап, одан әрі ережелер қосасыз. Қонақтарға — тек интернет. Камераларға — тек NVR. Пайдаланушыларға — тек қажетті сервистер. Желілік әкімшілікке — тек әкімшілік зонаның ішінен қатынау. Бұл микросегментациясыз-ақ қауіпсіздікті едәуір арттырады.

VLAN схемасын қалай шатастырмай жобалау керек

VLAN‑мен жұмыс кезінде ең үлкен тәуекел — ұйымдастырушылық сипатта: сіз желілерді қосасыз, ал бір жылдан соң ешкім не үшін шыққанын білмейді. Жақсы сегментацияның бастамасы — VLAN құрылғының рөлін көрсетуі керек, емес өткен көшулер мен «уақытша шешімдер».

Қанша VLAN қажет? Көбіне 4–6 аймақ жеткілікті: пайдаланушылар, қонақтар, камералар/IoT, серверлер, басқару (әкімшілік қолжетімділік), кейде телефондық жүйе немесе принтерлер үшін бөлек зона. Егер бастапқыда 12–15 VLAN болса, тоқтап қарап шығыңыз: бұл шын рөлдер ме, әлде бөлімдер арасындағы айырмашылық па. Бөлім бойынша сегментация көбінесе пайдалы емес, егер нақты қандай қолжетімділікті шегеру керектігі анық болмаса.

Атаулар біртұтас принципке сай болуы керек: коммутаторларда, DHCP, құжаттарда, өтініштерде бірдей қолдану. Жай шаблон: SITE-ROLE-ID (мысалы, ALM-USR-10, ALM-GUEST-20). Егер бірнеше сайт болса, SITE көмектеседі.

Содан кейін адресация жоспары керек. Бір жеке диапазон таңдаңыз және оны мағыналы блоктарға бөліңіз, әр аймақ өз подсеткасы мен мөлшерін алсын. Барлығын /24 ету «болашаққа» қалдыру үшін дұрыс емес. Қажетті жерде (пайдаланушылар, Wi‑Fi, камералар) аздап резерв қалдырған дұрыс.

Адресация бойынша практикалық ережелер:

• Пайдаланушылар мен қонақтар: DHCP көбінесе, бұл техникалық қолдау мен қателерді азайтады.
• Камералар/IoT: MAC бойынша байлау немесе резервация арқылы DHCP, адрестер тұрақты болу үшін.
• Серверлер мен желі жабдықтары: статикалық адрестер немесе статикалық резервациялар, маңызды сервистердің «қозғалмауы» үшін.
• Басқару (MGMT): тек статикалық, және әкімшілік подсеттен ғана қолжетімділік.
• Құжаттама: VLAN ID, подсетка, шлюз, DHCP диапазоны, аймақ иесі.

Кішігірім офиске мысал: 10 (USR) — 10.10.10.0/23, 20 (GUEST) — 10.10.20.0/24, 30 (CCTV) — 10.10.30.0/24, 40 (SRV) — 10.10.40.0/24, 99 (MGMT) — 10.10.99.0/24. Бұл шатастырмай ережелерді өсіруге жеткілікті.

Қолдануға енгізу: қадамдық жоспар

Бастамас бұрын басты сұрақ: қай құрылғылар мен сервистер шын мәнінде бір‑бірімен байланысуы керек. Егер VLAN‑ды алдымен кесіп, кейін бухгалтерия, басып шығару мен видеобақылауды еске түсірсек, көп үзіліс пен қолмен түзетулер болады.

Практикалық реттілік, әдетте 1–2 итерацияда нәтиже береді:

1. Тәуелділік картасын жасаңыз: подсеткалар, құрылғы түрлері (пайдаланушылар, қонақтар, камералар, серверлер) және маңызды сервистер (DHCP, DNS, домен, басып шығару, NTP, видеорегистратор). Кім кімге және қандай порттар арқылы қол жеткізетінін жазыңыз.

2. Аймақтарға VLAN құрып, олардың арасында маршрутизацияны L3 құрылғыда қосыңыз (коммутатор немесе маршрутизатор). Барлығын бірден өзгертпеңіз: мысалы, алдымен камералар немесе қонақтар зоналарын бөліп алыңыз.

3. Межсегменттік трафик үшін default deny қағидатын қосыңыз — яғни VLAN арасында әдепкі бойынша бәрі жабық.

4. Рұқсаттарды нүктелік түрде қосыңыз: тек қажетті бағыттар, тек қажетті порттар, мүмкін болса — нақты адрестерге (мысалы, камералар → IP видеорегистратор). "any‑any" тәрізді жалпы ережелер неғұрлым аз болған сайын жағымсыз әсерлер де азаяды.

5. Сценарийлер бойынша тексеріп, критикалық ережелер үшін журнал жүргізуді қосыңыз (серверлерге, басқаруға, сақтау жүйелеріне қолжетімділік). Логтар не блокталатынын және не үшін блокталатынын көрсетуге көмектеседі.

Мысал: видеобақылауды бөлек VLAN‑ға ауыстырдыңыз. Камералар бұрынғыдай адрестер алады, бірақ қазір тек NVR және DNS/NTP‑ге ғана қатынайды. Жұмысшы ПК‑лар камераларды тікелей көрмейді — бұл жұмыс станциясы жұқтырылғанда қауіпті дереу төмендетеді.

Жөндеу үшін бір жерге VLAN және подсеткалар тізімін, аймақ тағайынын, 5–10 негізгі ACL ережелерін және өзгерістерге жауапты адамды жазып қойыңыз.

Минималды қатынау ережелері: дайын ACL логикасы

Жақсы ACL принципі: VLAN‑дар арасында әдепкі бойынша бәрі жабық, сосын сіз тек қажетті "саңылауларды" қосасыз. Осылайша сегментация қауіпсіздікті арттырып, шексіз ерекшеліктерге айналмайды.

«Минималды жеткілікті» логика

Офистік желіде ағымды ретті түрде ойлаған әлдеқайда тиімді: кім кімге және не үшін барады. "Подсеткадан подсеткаға рұқсат беру" емес, "қызметке рұқсат беру" тәсілі жақсы.

Старт нүктесі ретінде жиі жұмыс істейтін нәрселер:

• Пайдаланушылар → серверлер: тек нақты сервистерге рұқсат (DNS және аутентификация, файл бөлісулері, басып шығару, қажетті ішкі веб‑порттар), қалғанын жабу.
• Қонақтар → интернет: DHCP/DNS өз шлюзіне және сыртқа шығу рұқсат етілсін; ішкі подсеткаларға қолжетімділік тыйым салынсын.
• Камералар → сервер/NVR: тек жазу серверіне трафикке рұқсат, жұмысшы ПК‑ларға және жалпы интернетке тыйым.
• Серверлер → пайдаланушылар: мүмкіндігінше пайдаланушылардың VLAN‑дарына бастама жасауға тыйым салу.
• Әкімшілік: бөлек басқару зонасы, одан әкімшілік құралдар мен серверлерге (SSH/RDP/HTTPS қажет болса) рұқсат бар; басқа зоналардан тыйым салынсын.

Қысқа мысал

Егер сізде VLAN «Office», VLAN «Servers» және VLAN «CCTV» болса, Office‑тан камераларға тікелей қатынау қажет емес. Камераларға NVR‑ге ғана қатынау жеткілікті. Осылайша бір құрылғыда проблема болса, ол басқа зоналарға оңай таралмайды.

Практика: межсетевик интерфейсіндегі блоктаулардың логын қосып, 1–2 күн бойы не шығып жатқанын бақылаңыз. Тек нақты сервис пен жауапты адам үшін ғана ерекшелік қосыңыз, "просто чтобы заработало" үшін емес.

Микросегментация: қашан күрделендіруге болады, қашан тоқтау керек

Микросегментацияны жиі VLAN‑ды көбейту деп шатастырады. VLAN үлкен рөлдерге бөлсе, микросегментация аймақ ішінде — серверлер, қосымшалар және әрбір жүктеме арасындағы қатынасты шектейді. Бұл әдетте IP емес, рөлдер, тегі, қауіпсіздік топтары немесе хост деңгейіндегі саясат бойынша жасалады.

Ол әсіресе деректер орталығы ішіндегі "шығыс‑кіру" (east‑west) трафик үшін маңызды: дерекқорлар, 1С, медициналық және төлем жүйелері, домен контроллері. Мұндай ортада бір бұзылған сервер барлық басқа серверлерге өту жолы болмауы керек. Сегментация зоналар арасындағы қатынасты жабады, микросегментация серверлік зонаның ішіндегі таралуды тежейді.

Блоктауды қоспас бұрын бизнес‑процестерді бұзбау маңызды. Көбіне "бастап бақылау, сосын тыйым" тәсілі жұмыс істейді:

• нақты ағымдарды жинаңыз: кім кімге және қай порт арқылы қатынасады;
• жүйелерді рөлдерге бөлеңіз: «веб», «қосымша», «ДҚ», «әкімшілік», «сақтық көшіру»;
• әдепкі тыйымды енгізіңіз, бірақ бастапта лог режимінде;
• тек жұмыс үшін қажеттілікке рұқсат беріңіз;
• күштірек қолдануды кезең-кезеңімен іске қосыңыз, ең аз критикалық сервистен бастап.

Микросегментация қажет емес жерлер: кішкентай офис, бір-екі сервер, маңызды деректер жоқ және ережелерді қолдауға ресурс жоқ. Мұндай жағдайда VLAN және қарапайым ACL жиі жеткілікті.

Ережелердің өміршең болуын қамтамасыз ететін пайдалы қағида: "сервер 10.1.2.3 → 10.1.2.4" емес, "Рөл A тек осы сервиске рұқсат алады". Осылай сервер ауысса да саясат түсінікті қалады.

Сегментацияда жиі кездесетін қателіктер

Сегментацияның ең жағымсыз бөлігі — VLAN мен ережелер емес, кішкентай "оңайлату" шешімдері, олар кейін қауіпсіздік саңылауына немесе түнгі үзіліске айналады.

Ең жиі не бұзады

• Өте көп VLAN жасау «на всякий случай» — нәтижесінде VLAN 23 пен VLAN 24 не үшін екенін ешкім түсінбейді.
• Сегменттер арасында кең рұқсаттар қалдыру — бір «разрешить все всем» ережесі сегментацияны қағазда қалдырады.
• Камералар мен жұмысшы ПК‑ларды араластырып қосу, портқа байлап қоймау. Егер порт рөлге (камера, пайдаланушы, принтер) байланбаса, құрылғы оңай басқа зонаға «көшіруі» мүмкін.
• Негізгі сервистерді ұмыту: DNS, NTP, жаңартулар, домен қызметтері, антивирустық репозиторий — бұларды есепке алмасаңыз, фильтрация қосылғаннан кейін "ештеңе ашылмайды" жағдайы шығады.
• Құжаттаманың болмауы. Айдың соңында жаңа әкімші қандай ереже маңызды екенін түсінбейді.

Қарапайым бюрократиясыз хаостан қалай сақтануға болады

Аймақтарды үлкен және түсінікті ұстаңыз: пайдаланушылар, қонақтар, IoT/камералар, серверлер, желіні басқару. Жаңа VLAN пайда болса, оған қысқа тағайындау мен иесі болу керек.

Қатынау ережелерін «әдепкі тыйымнан» бастап, кейін өтініш бойынша ерекше жағдайлар қосып бастаңыз: кім қандай порт арқылы қайда барады және не үшін. ACL енгізерден бұрын тәуелділіктерді тексеріңіз: DNS пен NTP рұқсат етілген бе, жаңартуларға шығу бар ма, әкімшілеудің жолы қарастырылған ба.

Өзгерістерді жазып отырыңыз: VLAN схемасы, подсеткалар тізімі, негізгі ережелер және әрбір ерекше жағдайдың себебі. Бұл келесі рет «нені бұзғанын» тез табуға көмектеседі.