Warum nicht alles in ein Netz?
Netzwerksegmentierung heißt, ein Netz in getrennte Bereiche zu teilen, die nur über eine kontrollierte Stelle miteinander sprechen. Dann bleibt ein Angreifer, der einen Rechner übernimmt, meist in seinem Bereich.
Sie lernen, Zonen zu planen und zu prüfen, wer wen erreicht. Ein Laden mit Kasse, Lager und Gästen ist das Beispiel.
Am Ende dieser Lektion
Notiz
Ich kann sagen, wie Teile eines Netzes voneinander getrennt werden und wer wen erreicht.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Segmentierung | ein Netz in getrennte Bereiche teilen | |
| Zone | ein Bereich mit gleichem Schutzbedarf | Kasse |
| VLAN | ein virtuelles Netz auf einem gemeinsamen Switch, getrennt durch eine Nummer | |
| Trunk | eine Leitung, die Pakete mehrerer VLANs trägt, jedes mit seiner Nummer | |
| Router | das Gerät, das zwischen zwei Netzen Pakete weiterreicht und prüfen kann |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
In einem flachen Netz erreicht jeder jeden
In einem flachen Netz hängen Kasse, Lager-PC, Drucker und Gästegeräte im selben Bereich. Jedes Gerät kann jedes andere ansprechen.
Übernimmt ein Angreifer das Gästegerät, sieht er die Kasse. Er muss keine Firewall überwinden, denn es gibt keine zwischen den Geräten.
Ein Beispiel: ein Laden in drei Zonen
| Gerät | Zone | Darf ansprechen |
|---|---|---|
| Kasse | Verkauf | Drucker, Zahlungsdienst |
| Drucker | Verkauf | Nichts von sich aus |
| Lager-PC | Lager | Das Lagerprogramm |
| Gäste-Handy | Gast | Nur das Internet |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein VLAN trennt Geräte am selben Switch
Ein Switch hat viele Anschlüsse. Ohne Einstellung bilden alle ein Netz. Ein VLAN legt jeden Anschluss in ein virtuelles Netz mit einer Nummer.
Geräte in verschiedenen VLANs sehen sich auf dem Switch nicht, auch wenn sie nebeneinander hängen. Ein Trunk trägt mehrere VLANs über ein Kabel, jedes Paket mit seiner Nummer markiert.
Geräte pro Zone zählen
printf 'kasse verkauf\ndrucker verkauf\nlager-pc lager\ngast-handy gast\n' | cut -d' ' -f2 | sort | uniq -cHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was das Zählen zeigt
Der Befehl schneidet die zweite Spalte aus, sortiert sie und zählt gleiche Zeilen. Die Zone verkauf steht mit einer 2 davor, lager und gast mit einer 1.
Die Ausgabe ist ein Inventar: Sie sehen, wie viele Geräte in jeder Zone hängen. Bevor Sie trennen, brauchen Sie genau diese Liste.
Zwischen den Zonen steht ein Router
Zwei VLANs sind getrennt, bis ein Router sie verbindet. Er ist die einzige Brücke, und an dieser Brücke stehen die Regeln.
So wird aus Trennung Kontrolle. Der Router erlaubt zum Beispiel Kasse zu Zahlungsdienst und verwirft Gast zu Kasse.
Ein Beispiel: wer wen erreicht
| Von | Nach | Erlaubt? | Warum |
|---|---|---|---|
| Verkauf | Verkauf | Ja | Gleiche Zone, kein Router nötig |
| Verkauf | Lager | Ja | Die Kasse bucht den Bestand |
| Lager | Verkauf | Nein | Das Lager braucht die Kasse nicht |
| Gast | Verkauf | Nein | Gäste gehören nur ins Internet |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Drei Ports eines Servers im selben VLAN prüfen
for p in 80 8080 22; do sudo ip netns exec h10 nc -z -w 2 10.10.0.100 $p && echo "$p offen"; doneHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was die Schleife meldet
Die Schleife fragt vom Host h10 aus drei Ports des Servers srv ab. Sie schreibt 80 offen und 8080 offen. Zu Port 22 schreibt sie nichts, denn dort wartet kein Dienst.
Beide Geräte liegen im selben Bereich, also braucht die Anfrage keinen Router. Im Lab entscheiden Sie, wen Sie von diesem Server fernhalten.
Ein häufiger Fehler
Warnung
Viele glauben, ein VLAN allein mache ein Netz sicher. Es trennt nur. Erst Regeln am Router entscheiden, was zwischen den Zonen fließt. Ohne sie ist die Trennung eine Tür ohne Schloss.
So planen Sie Zonen in drei Schritten
Erstens: Listen Sie alle Geräte auf und gruppieren Sie sie nach Schutzbedarf. Zweitens: Schreiben Sie auf, welche Zone welche andere ansprechen muss, und nur das. Drittens: Setzen Sie genau diese Erlaubnisse als Regeln um.
Was nicht auf der Liste steht, bleibt verboten. So ist die Standardregel wieder verwerfen.