一か所の侵入を広げないために
ネットワークの分離（セグメンテーション）とは、ネットワークをいくつかの区画に分け、区画の間の通信を、決めた分だけにすることです。区画が違えば、同じ建物の中でも、簡単には届きません。
店のレジのPCと、お客様用のWi-Fiが同じ網にあるとします。Wi-Fiから入られると、レジにも届いてしまいます。分けておけば、被害は一つの区画で止まります。
このレッスンのゴール
メモ
ネットワークを区画に分け、どの区画からどこへ届くかを表にできる。
重要な言葉
| ことば | いみ | れい |
|---|---|---|
| セグメンテーション | ネットワークを区画に分けること | |
| ゾーン | 同じ信頼の度合いの機器を集めた区画 | ゲスト用 |
| VLAN | 一つの配線を、論理的に別の網に分ける仕組み | |
| トランクポート | 複数のVLANをまとめて運ぶポート | |
| 区画間のルール | 区画をまたぐ通信を許す、または止める決まり | |
| 被害の範囲 | 一つの侵入が、どこまで広がるか |
学生が入力するセルは、このプレビューでは空白です。
分けると被害が広がらない
一台の機器が乗っ取られても、全部が一つの網なら、攻撃者は同じ網の他の機器に次々と触れられます。区画に分けておくと、触れられるのは同じ区画の機器だけです。
区画をまたぐ通信は、ルールで許したものだけにします。下の表は、小さな店の例です。
例: 店のゾーンと許す通信
| ゾーン | 入れる機器 | 外へ出てよい先 |
|---|---|---|
| スタッフ | レジ、経理のPC、プリンター | サーバーと公開用に届く |
| サーバー | ファイルサーバー | どこへも出ない |
| 公開用（DMZ） | ウェブサーバー | どこへも出ない |
| ゲスト | お客様のスマホ | 公開用にだけ届く |
学生が入力するセルは、このプレビューでは空白です。
同じ網のアドレスを数える
printf '10.10.0.11\n10.10.0.100\n10.20.0.11\n' | grep -c '^10\.10\.'ここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
VLANは一本の配線を論理的に分ける
区画ごとにスイッチを買うのは大変です。VLANは、一台のスイッチの中を、番号の付いた別々の網に分けます。同じVLANの機器だけが、スイッチの中で直接つながります。
複数のVLANを一本の配線で運ぶポートが、トランクポートです。運ぶフレームには、VLANの番号の札（タグ）が付きます。
スイッチの今のVLANを見る
sudo ip netns exec sw bridge vlan showここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
始めの状態が言うこと
各ポートの行に、VLANの番号 1 が出ます。まだ何も分けていないので、全部のポートが最初のVLAN 1の中にいます。
つまり、いま三台のホストは、同じ網の中にいます。分けるのは、ラボの課題です。このレッスンは、分けた後の考え方を学びます。
VLANの番号の数を確かめる
python3 -c "print(2 ** 12, 2 ** 12 - 2)"ここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
区画の間にはルーターとルール
タグの番号は12桁の二進数なので、4096通りです。0と4095は特別なので、使えるのは4094個です。
別のVLANの機器へ届くには、ルーターを通ります。ルーターに、区画をまたぐ通信のルールを置けば、ゲストからサーバーへは届かない、という決まりを書けます。
ホストの出口を読む
sudo ip netns exec h20 ip route show defaultここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
出口が一つであること
出力は default via 10.20.0.1 dev eth0 です。他の網へ行く通信は、全部この一つの出口に集まります。
だから、この出口で見張れば、区画の間の通信を全部見張れます。出口にルールを置く場所がある、と言い換えられます。
よくある間違い
注意
「VLANを分ければ安全」と思う人が多いです。VLANは網を分けるだけで、区画の間のルーターが何でも通せば、分けた意味はありません。区画間のルールをデフォルト拒否にして、はじめて分離になります。
発展: 自分の学校を区画に分ける
学校のネットワークを思い浮かべます。教職員のPC、生徒のPC、ゲスト用Wi-Fi、成績のサーバー。それぞれを、どのゾーンに入れるかを決めましょう。
次に、どのゾーンからどのゾーンへ届くかを、一つずつ表に書きます。書いていない組み合わせは、すべて拒否です。