Switching a VLANy

Praxe přepínání: rozděl síť na VLANy, nastav access a trunk porty, propoj VLANy přes L3 a zabezpeč L2.

Lekce 1: Všichni na jedné síti

Kancelář bez hranic

Začneme problémem, ne technologií. Většina malých firem svou síť nikdy nenavrhla – jak rostla, prostě se do jednoho switche zapojovalo všechno, co přišlo: notebooky zaměstnanců, notebook návštěvy, tiskárna, účetní server, databáze, kamery i chytrá žárovka v zasedačce. Funguje to – ale vzniklo tím něco nebezpečného: jedna velká plochá síť, kde mezi zařízeními není žádná hranice. Kdokoli dosáhne na kohokoli. Proklikej a uvidíš, co všechno spolu může mluvit (a vůbec by nemělo).

Krok za krokem

Jedna plochá síť: host, tiskárna, účtárna, databáze i chytrá žárovka – všichni v jednom switchi, nic mezi nimi. Vzniklo to postupně, nikdo to takhle „nenakreslil“.
Návštěva se připojí k síti. Její notebook – klidně s malwarem, o kterém neví – může prohledat celou síť, zkoušet se přihlásit na sdílené disky a dosáhnout na účetní server. Takhle (ne důmyslným hackem, ale prostě plochou sítí) začíná spousta průniků.
Chytrá žárovka nebo IP kamera mívá slabé zabezpečení a málokdo jí aktualizuje firmware. V ploché síti přitom sedí kousek od databáze – když ji někdo ovládne (u IoT to bývá snadné), má odtud cestu k firemním datům.
I tiskárna „vidí“ na účetnictví. Nepotřebuje to, ale nic jí v tom nebrání. Každé další zařízení v ploché síti = další možný vstupní bod, přes který se útok dostane dál.
Závěr: na ploché síti každý vidí každého – žádné hranice. Jeden napadený prvek tak dosáhne prakticky na všechno (velký blast radius). Tři konkrétní problémy – bezpečnost, výkon a chaos – rozebereme v dalším modulu.

Tři problémy

Jedna velká plochá síť přináší tři konkrétní problémy a každý stojí firmu reálné peníze i nervy: bezpečnost (kdo na koho vidí), výkon (provoz „pro všechny“ zatěžuje i ty, koho se netýká) a chaos (nikdo neví, co v síti vlastně běží). Projdeme si je po jednom – na konkrétních situacích.

Krok za krokem

Bezpečnost. Napadené PC dosáhne přes switch na server – nic mu v cestě nestojí. Jeden malware se tak může postupně prokousat celou sítí (lateral movement): z PC na sdílený disk, odtud na server, odtud na databázi. Nešíří se kvůli chytrosti útočníka, ale proto, že síť nemá žádné vnitřní hranice.
Výkon. Část provozu nejde jednomu příjemci, ale všem (broadcast – třeba dotaz „kdo má tuhle IP?“). Switch ho rozešle na všechny porty. Pár zařízení to nepocítí, ale v síti se stovkami prvků je broadcastů tolik, že každé zařízení i switch řeší spoustu zpráv, které se ho vůbec netýkají – síť se „zašumí“ a zpomalí.
Chaos. Na velké ploché síti časem nikdo pořádně neví, co všechno v ní běží a kdo s kým mluví. Přidá se zařízení sem, tam – a po roce se těžko hledá, co je co, hůř se to spravuje a ještě hůř hlídá. Bez rozdělení nemáš ani přehled, ani kontrolu.

Fyzické řešení je drahé

Jak síť rozdělit? Nejjednodušší nápad je fyzicky: pro každou skupinu (kanceláře, servery, hosté) koupit vlastní switch a natáhnout vlastní kabeláž. Skupiny jsou pak opravdu oddělené – mezi nimi nevede žádný drát, takže se nemají jak vidět. Tomu, jak je síť doopravdy zapojená kabely, se říká fyzická topologie. Funguje to dokonale… ale za jakou cenu a jak pružně?

Krok za krokem

Tři skupiny = tři switche a tři sady kabelů. Kanceláře, servery a hosté jsou fyzicky oddělené – mezi nimi nevede drát. To je fyzická topologie: rozdělení, které doslova vidíš v kabeláži. A funguje – nikdo z jedné skupiny se k druhé nedostane.
Cena: 3× hardware + 3× kabeláž. A switche bývají poloprázdné – koupíš tři 24portové, ale třeba jen po 6 portech využiješ. Platíš za 72 portů, používáš 18. Čím víc skupin, tím víc krabic, kabelů a místa v rozvaděči.
A hlavně nepružné: když se zaměstnanec přesune z kanceláří jinam, musíš ho fyzicky překabelovat do jiného switche (klidně i přestěhovat stůl). Nová skupina, třeba kamery? Kup čtvrtý switch.
Všimni si: tady fyzické zapojení = rozdělení sítě – fyzická a logická topologie jsou totéž. VLAN udělá stejné rozdělení logicky na JEDNOM switchi: skupiny oddělí jen nastavením portů, ne dráty. Přesun člověka = přepsat VLANu portu (vteřiny), ne tahat kabely. Tomu se říká logická topologie – a je to další lekce.

▶ Otevřít v simulátoru

Lekce 2: VLAN: zeď kterou nevidíš

Broadcast: zpráva pro všechny

Switch přepíná rámce podle MAC adres (MAC a IP adresy znáš z kurzu Jak fungují sítě: MAC je výrobní štítek zařízení, IP jeho poštovní adresa) – do IP vůbec nekouká (to je až práce routeru). Některé rámce ale nemají jednoho příjemce: mají cílovou adresu „pro všechny“ a říká se jim broadcast (typicky ARP dotaz „kdo má tuhle IP?“). Ta adresa „pro všechny“ je přitom taky MAC (ff:ff:ff:ff:ff:ff) – IP „koho hledám“ je až uvnitř toho dotazu, switch se na ni nedívá. Switch takový rámec pozná podle té adresy „pro všechny“ a rozešle ho na všechny porty – pořád jen podle adresy, ne podle obsahu. Skupina zařízení, ke kterým broadcast doletí, je broadcast doména. V jedné velké ploché síti je obrovská: každý broadcast ruší všechny, je ho čím dál víc a kdokoli ho vidí (i citlivé věci). Řešení je síť rozdělit – a přesně k tomu slouží VLANy (hned v dalším modulu).

Krok za krokem

A pošle broadcast – rámec s cílovou adresou „pro všechny“ (třeba ARP „kdo má tuhle IP?“). Doletí do switche.
Switch broadcast rozešle na všechny porty → dostanou ho B, C i D. Tahle skupina = broadcast doména.
V ploché síti je doména obrovská: víc rušení a cizí provoz vidí každý. Řešení: rozdělit ji na VLANy (další modul).

Co VLAN je

VLAN (Virtual LAN) je logická síť postavená nad fyzickými switchi. Jeden switch tak nese víc oddělených sítí najednou – jako bys měl několik samostatných switchů, ale je to jen jeden. Každý port dostane číslo VLANy (např. 10 nebo 20) a zařízení na něm patří do té VLANy. Zařízení v různých VLANách se navzájem nevidí – mají oddělený broadcast (každá VLANa = vlastní broadcast doména). Tím rozdělíš velkou plochou síť na menší: kanceláře zvlášť, kamery zvlášť, hosté zvlášť – kvůli bezpečnosti, výkonu i pořádku. (Jak se VLANa přiřadí portu, je hned další lekce: access a trunk.)

Krok za krokem

A (VLAN 10) pošle broadcast – doletí do switche.
Switch ho pošle jen v rámci VLAN 10 → dostane ho jen B. C a D (VLAN 20) ho nedostanou – jsou v jiné VLANě, jako by visely na úplně jiném switchi.
Každá VLANa = vlastní broadcast doména. Aby spolu VLAN 10 a 20 vůbec mluvily, je potřeba L3 prvek (router / L3 switch) – to je další lekce.

Jak switch ví kam rámec patří

Jak switch ví, kam který rámec patří? Jednoduše: každý fyzický port je přiřazený do nějaké VLANy (P1 a P2 do VLAN 10, P3 a P4 do VLAN 20). Pozor – VLANa visí na portu (té zdířce RJ-45), ne na IP adrese zařízení: ať do P1 zapojíš cokoli, je to VLAN 10. Switch si VLANu u každého portu pamatuje a provoz mezi různými VLANami nepustí – chová se, jako by to byly dva oddělené switche.

Krok za krokem

Každý port má svou VLANu: P1, P2 → VLAN 10, P3, P4 → VLAN 20. Switch si to pamatuje u každého portu (ne podle IP).
A → B: oba porty jsou ve VLAN 10 → switch je propojí. Stejná VLANa, žádný problém.
A → C: port A je ve VLAN 10, port C ve VLAN 20 → switch to ZASTAVÍ. Mezi různými VLANami provoz nepustí.

VLAN ID

Jak od sebe VLANy rozeznáme? V předchozích modulech jsi u portů viděl čísla 10 a 20 – a přesně tahle čísla jsou VLAN ID. Každá VLANa má svoje, v rozsahu 1 až 4094, a switch si podle něj u každého portu pamatuje, do které VLANy patří. Samotné číslo přitom nic „nedělá“ – je to jen nálepka. Proto se v praxi vyplatí držet nějaké domluvy, aby ses v číslech vyznal i za rok.

Krok za krokem

VLAN ID je číslo 1 až 4094. Tím switch VLANy rozlišuje – je to jen nálepka.
VLAN 1 existuje vždycky (výchozí) a všechny porty v ní začínají. V praxi se na ni nespoléhá (všechna zařízení v ní startují — včetně útočníka — a bývá výchozí native VLANou trunků) – produkci dáš do vlastních VLAN (bezpečnost).
V praxi se VLANy číslují podle role: třeba 10 = uživatelé, 20 = servery, 99 = management. Je to týmová dohoda, ne pravidlo.

Co VLAN neřeší

VLAN je skvělá na oddělení provozu, ale je dobré vědět, co NEřeší. Sama o sobě to není bezpečnostní hradba: spoléhá na to, že je správně nakonfigurovaná. Stačí dát port do špatné VLANy – nebo špatně nastavit trunk (propojku mezi switchi, která nese víc VLAN najednou; detailně si ji ukážeme hned v příští lekci) – a izolace padne.

Krok za krokem

VLAN oddělí provoz na L2 – VLAN 10 a 20 se samy nevidí. To je dobré a správné.
Ale není to bezpečnostní hradba sama o sobě: stačí špatně nastavený port (do cizí VLANy) nebo špatně nastavený trunk (spoj mezi switchi) a izolace padne.
Skutečná bezpečnost = VLAN + pravidla pro provoz mezi VLANami. Ta zajistí ACL na managed L2 / L3 switchi, nebo firewall – podle toho, kudy provoz mezi VLANami prochází. VLANa rozdělí, pravidla hlídají. Víc v Kurzu o bezpečnosti.

▶ Otevřít v simulátoru

Lekce 3: Trunk: jak VLAN projde přes kabel

Problém více switchů

Zatím byly VLANy na jednom switchi. Co když chceš mít VLAN 10 na switchi A i na switchi B (firma má dvě patra)? Hosty z VLAN 10 musíš nějak propojit přes kabel mezi switchi – a stejně tak VLAN 20. Jak na to, aby si VLANy nepopletly?

Krok za krokem

Dvě patra, dva switche. Na obou je VLAN 10 i VLAN 20. Chceš, aby VLAN 10 z A dosáhla na VLAN 10 z B – ale ne na VLAN 20.
Přidáš jeden kabel mezi switche pro VLAN 10. Funguje – VLAN 10 projde. Ale co VLAN 20?
Druhý kabel pro VLAN 20. Teď fungují obě – ale jeden kabel na každou VLANu. Kolik VLAN, tolik kabelů.
10 VLAN = 10 kabelů mezi každými dvěma switchi. Neškáluje to. Chceš JEDEN kabel, který unese všechny VLANy – tomu se říká trunk (další modul).

802.1Q tag

Trunk je spoj mezi switchi (port přepnutý do režimu trunk), po kterém jedním kabelem běží provoz více VLAN najednou. Jak ale druhý switch pozná, do které VLANy rámec patří? Switch mu na trunku přilepí malý štítek s číslem VLANy – tomu se říká 802.1Q tag. Druhý switch štítek přečte, ví kam rámec patří, a než ho doručí koncovému zařízení, štítek zase sundá. Sleduj jeden rámec.

Krok za krokem

Host ve VLAN 10 pošle rámec. Na access portu (port pro koncové zařízení, patří jedné VLANě – hned další modul) je bez štítku – host o VLANách nic neví.
SW-A ho pošle na trunk a přilepí 802.1Q štítek „10“. Po trunku teď rámec cestuje otagovaný – druhý switch ví, že je to VLAN 10.
SW-B štítek přečte (→ VLAN 10), sundá ho a rámec doručí hostu ve VLAN 10 – zase bez štítku. Příjemce o VLANách taky nic neví.

Access port vs trunk port

Port switche má dvě hlavní role: access a trunk. (Existuje i automatické vyjednávání režimu – DTP; je to bezpečnostní riziko, v praxi se vypíná – detailně v kurzu Switch do hloubky.) Access port nese jednu VLANu a štítky neukazuje – sedí na něm koncové zařízení (PC, tiskárna), které o VLANách nic neví. Trunk port nese víc VLAN se štítky – vede mezi switchi, k routeru nebo k L3 switchi. Sleduj rozdíl.

Krok za krokem

Access porty: vlevo. PC je v jedné VLANě (V10), tiskárna v jiné (V20). Žádné štítky – koncová zařízení o VLANách nevědí.
Trunk port: vpravo, kabel na druhý switch. Nese obě VLANy (V10 i V20) se štítky najednou – jeden kabel pro všechno.
Pravidlo: ke koncovým zařízením access (jedna VLANa, bez štítku), mezi switchi/k routeru trunk (víc VLAN, se štítky). To je celý rozdíl.

Native VLAN

Skoro všechno na trunku má štítek. Ale co rámec, který žádný štítek nemá (netagovaný provoz posílají třeba starší zařízení nebo řídicí protokoly switche samotného — ne všechno umí štítky)? Patří do tzv. native VLAN – výchozí VLANy trunku (obvykle VLAN 1). Důležité pravidlo: native VLAN musí být na obou koncích trunku stejná – přijímající switch totiž netagovaný rámec zařadí podle své native VLANy (neví, co si myslel odesílatel), takže při neshodě přistane ve špatné VLANě.

Krok za krokem

Po trunku jdou rámce se štítkem (tady VLAN 10). Switch podle štítku ví, kam patří.
Ale přijde rámec bez štítku. Kam patří? Do native VLAN – výchozí VLANy trunku (typicky VLAN 1).
Proto musí být native VLAN na obou koncích stejná. Když se neshoduje, neoznačený provoz přistane ve špatné VLANě – nepořádek i bezpečnostní díra. Mít všude stejnou.

▶ Otevřít v simulátoru

Lekce 4: Proč VLANy spolu nemluví

Zeď funguje moc dobře

VLANy jsme rozdělili tak dobře, že teď narazíme na opačný problém. A je uživatel ve VLAN 10 a potřebuje se dostat na firemní server ve VLAN 20. Jenže switch provoz mezi VLANami nepustí – pro něj jsou to dvě úplně cizí sítě. Izolace funguje moc dobře: oddělí i to, co spolu má mluvit.

Krok za krokem

A (VLAN 10) chce na SERVER (VLAN 20). Dvě různé VLANy = dvě různé sítě.
A pošle provoz – switch ho přijme, ale mezi VLANami ho nepustí. Pro switch je VLAN 20 cizí svět. Zastaveno.
Tohle je správně (izolace), ale občas spolu VLANy musí mluvit. Switch (L2) to neumí – kouká jen na MAC (vrstvy L2 a L3 znáš z kurzu o ISO/OSI — linková a síťová). Potřebujeme někoho, kdo rozumí IP adresám a umí přejít mezi sítěmi: L3 prvek (další modul).

L3 jako překladatel

Mezi VLANy potřebujeme L3 prvek – typicky router (nebo L3 switch, příští lekce). Trik je tenhle: router má jednu IP adresu v každé VLANě – je výchozí branou (gateway) pro obě (.1 = obvyklá poslední číslice adresy brány, např. 10.0.10.1). Když A chce na SERVER v jiné VLANě, pošle to nejdřív na svou bránu (router). Router je jednou nohou v každé síti, takže provoz přijme ve VLAN 10 a vydá ve VLAN 20 – funguje jako překladatel mezi sítěmi.

Krok za krokem

A nezná cestu do VLAN 20, tak provoz pošle na svou výchozí bránu = IP routeru ve VLAN 10 (.1). Provoz doputuje přes switch k routeru.
Router se podívá na cílovou IP, zjistí, že patří do VLAN 20, a vydá provoz druhou nohou – ve VLAN 20. Přes switch dorazí na SERVER. Hotovo.
Klíč: router má bránu (IP) v každé VLANě a provoz mezi nimi routuje podle IP. VLANy zůstávají oddělené na L2 – propojí je jen ten, kdo má v obou nohu. Jak ten kabel k routeru vede, je další modul.

Router-on-a-stick

Router by potřeboval jeden fyzický port na každou VLANu – to je stejný problém jako s kabely u trunku. Řešení: ke switchi vede jeden trunk a na routeru se ten port rozdělí na subinterface (logické podrozhraní) – jedno na VLANu. Každé subinterface má bránu své VLANy (G0/0.10 = .1 ve V10, G0/0.20 = .1 ve V20). Tomuhle se říká router-on-a-stick – router „na špejli“ visí na jednom kabelu.

Krok za krokem

Mezi switchem a routerem vede jediný trunk, který nese obě VLANy se štítky. Na routeru se port dělí na subinterface: G0/0.10 (V10) a G0/0.20 (V20).
A (V10) pošle provoz na bránu. Po trunku jde otagovaný jako VLAN 10 a router ho přijme na subinterface G0/0.10.
Router přeroutuje na VLAN 20, pošle to zpět po stejném trunku otagované jako VLAN 20, switch sundá štítek a doručí na SERVER.
Router-on-a-stick je levný (jeden kabel), ale všechen mezi-VLAN provoz teče nahoru k routeru a zpět – ten jeden link je úzké hrdlo. Lepší řešení uvnitř switche je L3 switch (další lekce).

▶ Otevřít v simulátoru

Lekce 5: L3 switch

Kde router-on-a-stick nestačí

Router-on-a-stick funguje, ale má slabinu. Všechen provoz mezi VLANami musí nahoru k routeru a zpátky po tom jediném trunku. Čím víc uživatelů a serverů spolu mluví napříč VLANami, tím víc se ten jeden kabel ucpává – je to úzké hrdlo. A každý paket jede zbytečnou okliku ven ze switche a zase zpět (tzv. hairpin). Ve velké síti to nestačí.

Krok za krokem

Připomenutí: mezi switchem a routerem je jeden trunk a teče přes něj veškerý provoz mezi VLANami.
Víc a víc provozu mezi VLANami se mačká na jeden kabel. Ten se stává úzkým hrdlem – router i link nestíhají.
A i jediný paket jede okliku: A → switch → ven k routeru → zpátky do switche → SERVER. Zbytečná cesta tam a zpět (hairpin).
Co kdyby switch uměl routovat sám uvnitř sebe – bez okliky k externímu routeru? Přesně to dělá L3 switch (další modul).

SVI: brána uvnitř switche

L3 switch je switch, který umí i routovat. Místo externího routeru má uvnitř pro každou VLANu virtuální rozhraní – SVI (Switch Virtual Interface). SVI je brána (.1) té VLANy, ale žije přímo ve switchi. Provoz mezi VLANami se tak přepne uvnitř jednoho zařízení, na plné rychlosti hardwaru a bez okliky ven. Žádný hairpin, žádné úzké hrdlo na jednom trunku.

Krok za krokem

L3 switch má uvnitř SVI pro každou VLANu: SVI 10 (.1) a SVI 20 (.1). Každé je branou své VLANy – přímo ve switchi.
A (VLAN 10) pošle provoz na svou bránu = SVI 10. Ta je rovnou ve switchi – nikam se nejede ven.
Switch uvnitř přeroutuje z SVI 10 na SVI 20 a doručí na SERVER (VLAN 20). Žádná oklika k routeru, plná rychlost.
SVI = virtuální L3 rozhraní switche pro jednu VLANu. Brána žije ve switchi a mezi-VLAN provoz se přepne uvnitř – elegantně a rychle. Jak switch ví, kam routovat, je další modul.

Routovací tabulka na switchi

Jak L3 switch ví, kam paket poslat? Má routovací tabulku – seznam sítí a kudy se k nim jde. Každá VLANa se svým SVI je pro switch přímo připojená síť (directly connected): VLAN 10 = 10.0.10.0/24 (zápis /24 = velikost sítě, znáš ze subnettingu v kurzu o ISO/OSI) ven přes SVI 10, VLAN 20 = 10.0.20.0/24 ven přes SVI 20. Switch se na cílovou IP podívá, najde řádek a pošle paket ven správným SVI.

Krok za krokem

Tabulka má dva řádky – po jednom na VLANu. Obě sítě jsou přímo připojené přes svoje SVI, switch je zná sám.
A pošle paket na 10.0.20.5. Switch projde tabulku a najde shodu: 10.0.20.0/24 = VLAN 20.
Podle řádku pošle paket ven přes SVI 20 do VLAN 20 – k serveru. Routování proběhlo uvnitř switche.
Přímo připojené VLANy zná L3 switch automaticky (díky SVI). Na cíle mimo tyto sítě (třeba internet) potřebuje výchozí cestu na router – to je Kurz o routování.

Kdy router a kdy L3 switch

Tak kdy router a kdy L3 switch? Oba umí přenášet provoz mezi sítěmi, ale každý je dobrý na něco jiného. Router sedí na hraně sítě: připojení do internetu (WAN), NAT, firewall (NAT a firewall znáš zběžně z kurzu o ISO/OSI; do hloubky přijdou v kurzu o routingu a v kurzu o bezpečnosti sítě), pár rozhraní – mezi-VLAN provoz zvládne taky, ale pomaleji (řeší ho software). L3 switch je páteř uvnitř LAN: spousta portů a velmi rychlé mezi-VLAN routování v hardwaru – ale neumí WAN ani NAT. V praxi spolupracují: L3 switch routuje uvnitř, router drží hranu.

Krok za krokem

Dva nástroje na přenos mezi sítěmi. Vypadají podobně, ale hodí se každý jinam.
Router = hrana sítě: internet (WAN), NAT, firewall. Mezi VLANami routovat umí, ale je pomalejší (řeší to software).
L3 switch = páteř uvnitř LAN: spousta portů a velmi rychlé mezi-VLAN routování v hardwaru. Ale neumí WAN ani NAT.
Pravidlo: mezi-VLAN uvnitř firmy → L3 switch, hrana sítě (internet, NAT, firewall) → router. Ve velké síti běžně oba dohromady.

▶ Otevřít v simulátoru

Lekce 6: Hosté a IoT: izolace v praxi

Tři světy na jedné síti

V reálné firmě nejsou všechna zařízení stejná. Jsou tu tři světy s úplně jinou mírou důvěry: firemní (PC zaměstnanců, servery – citlivá data), hosté (cizí telefony a notebooky na Wi-Fi – těm nevěříš vůbec) a IoT (kamery, žárovky, čidla – slabě zabezpečené, často se neaktualizují). Když visí všechny na jedné ploché síti, host i kamera sedí hned vedle účetního serveru. To je problém.

Krok za krokem

Tři druhy zařízení, tři úrovně důvěry: firma (zelená, citlivá), host/návštěva (azurová, cizí), IoT (oranžová, zranitelná).
Na ploché síti host dosáhne na firemní SERVER – nic mu nebrání. Cizí telefon vedle účetnictví. To je špatně.
A zranitelná IoT kamera sedí hned vedle firemních PC. Když ji někdo ovládne, má rovnou přístup dál. Slabý článek nakazí celek.
Řešení znáš: dát každý svět do vlastní VLANy a hlídat, kdo smí mezi nimi. Firma, host a IoT zvlášť. Jak na to v praxi – další moduly.

Guest VLAN v praxi

Guest VLAN je úplně běžná věc – Wi-Fi pro návštěvy v kanceláři, kavárně, ordinaci. Host dostane vlastní VLANu, ze které vidí jen do internetu, ale ne na firemní síť. Zajistí to pravidlo (ACL / firewall) mezi guest VLANou a firemními VLANami: „ven do internetu ano, do LAN ne". Host si tak surfuje, ale na servery, tiskárny ani kamery nedosáhne. Jak přesně se takové pravidlo píše, si ukážeme za chvíli.

Krok za krokem

Host je ve vlastní guest VLANě. Teď se rozhoduje, kam smí: do internetu, nebo do firmy?
Do internetu: provoz projde přes switch ven – host si normálně surfuje. To je povoleno.
Na firemní SERVER: pravidlo mezi VLANami to zablokuje. Host se k firemním datům nedostane.
Pravidlo guest VLANy: internet ano, LAN ne. Návštěva má Wi-Fi, firma má klid. Přesně tohle si vyzkoušíš v úloze guest-iso.

IoT a blast radius

IoT zařízení (kamery, žárovky, čidla) bývají slabě zabezpečená: výchozí hesla, žádné aktualizace, levný firmware. Útočník takovou kameru ovládne snadno. Otázka pak je: kam až se odtud dostane? Tomu se říká blast radius (poloměr dopadu). Na ploché síti je obrovský – z kamery skočí na servery i data. Ve vlastní IoT VLANě je maličký – kamera nedosáhne nikam dál.

Krok za krokem

Kamera má výchozí heslo a roky bez aktualizace. Útočník ji ovládne. Co teď?
Plochá síť: z kamery útočník skáče dál – na SERVER i na DATA. Blast radius je obrovský, jedno slabé zařízení ohrozí všechno (lateral movement).
Vlastní IoT VLAN: kamera je uzavřená. Útočník ji má, ale dál se nedostane – SERVER i DATA jsou v bezpečí. Blast radius maličký.
Princip: izoluj slabá zařízení (IoT) do vlastní VLANy. Když jedno padne, škoda zůstane malá. To je obrana do hloubky – víc v Kurzu o bezpečnosti.

ACL: kdo smí mezi VLANami

Guest VLANu i izolaci IoT jsi viděl – ale co přesně rozhoduje, že host smí do internetu a nesmí do firemní LAN? VLANa umí jen oddělit (postaví zeď). O tom, co smí skrz, rozhoduje seznam pravidel = ACL (Access Control List). Bez ACL je mezi VLANami buď všechno, nebo nic – žádná jemná kontrola. Pojďme si ukázat, jak takové pravidlo vypadá a jak se vyhodnocuje.

Krok za krokem

VLANa je zeď – sama o sobě mezi VLANami buď pustí vše, nebo nic. ACL (Access Control List) je seznam pravidel, který určí, co přesně smí projít skrz. Teprve on dělá tu jemnou kontrolu „tohle ano, tamto ne".
Kde ACL stojí? Na prvku, kudy provoz mezi VLANami prochází – na L3 switchi, managed switchi nebo firewallu. VLANa rozdělí, pravidla hlídají. Bez takového prvku by se VLANy vůbec nepotkaly (to znáš z předchozích lekcí).
Z čeho se pravidlo skládá: zdroj → cíl, protokol/port a akce (povol / zakaž). Příklad: „guest → internet: povol" a „guest → firemní LAN: zakaž". Přesně tahle dvě pravidla dělají guest VLANu z minulého modulu.
Jak se to vyhodnotí: pravidla se čtou odshora dolů a platí PRVNÍ SHODA. Paket „guest → internet" mine řádek 1 (jiný cíl), na řádku 2 sedne → povolen a dál se už nečte. Kdyby nesedlo nic, platí výchozí politika (řádek 3, „zakaž vše"). Pořadí pravidel rozhoduje.
V simulátoru: na L3 / managed switchi otevři sekci ACL pravidla (na firewallu záložku Pravidla) a zapiš pravidla zdroj → cíl → akce. Přesně to použiješ v úlohách guest-iso a vlan-design. Pokročilejší věci (stínovaná pravidla, stavový firewall) přijdou v kurzu o bezpečnosti sítě.

▶ Otevřít v simulátoru

Lekce 7: Celá cesta pohromadě

Celá topologie po vrstvách

Dáme všechno dohromady. Tohle je celá síť malé firmy postavená přesně z toho, co umíš: access switche s VLANami na portech, trunky mezi nimi, L3 core switch, který routuje mezi VLANami přes SVI, a router na hraně do internetu. Firma (V10), servery (V20), hosté i IoT – každý ve své VLANě. Síť se totiž staví v patrech: access vrstva (switche, kam se připojují koncová zařízení), core / páteř (výkonný L3 switch uprostřed, kde se VLANy potkávají a routují) a hrana (router ven do internetu). Ve velkých sítích bývá mezi access a core ještě distribution vrstva – u nás ji pro jednoduchost přeskakujeme. Projdeme to po vrstvách.

Krok za krokem

Celá síť pohromadě. Čtyři druhy zařízení, čtyři VLANy, jedna chytrá topologie. Pojďme po vrstvách zdola.
Access vrstva: koncová zařízení visí na access portech switchů SW-A a SW-B. Každý port má svou VLANu (V10 firma, V20 servery, guest, IoT).
Trunky: mezi access switchi a core jdou trunk linky, které nesou všechny VLANy najednou (se štítky 802.1Q).
L3 core switch: tady se VLANy potkávají. Přes SVI (bránu každé VLANy) routuje provoz mezi nimi – rychle, uvnitř jednoho prvku.
Hrana: router spojuje síť s internetem (NAT, firewall). Firma ven smí, guest jen do internetu, IoT nikam ven. Celá cesta dává smysl.

Paket na cestě celou sítí

A teď to nejlepší: pošleme jeden paket z firemního PC (VLAN 10) na SERVER (VLAN 20) a budeme ho sledovat celou cestou – přes access port, trunk, L3 core a zpět. Uvidíš, jak do sebe všechny dílky zapadají. Na konec přidáme i hosta do internetu.

Krok za krokem

Cíl: PC (V10) → SERVER (V20). Jiná VLAN, takže to bude muset přes L3 core. Sleduj paket.
PC pošle paket na svou bránu (SVI na core). Po access portu V10 dorazí na SW-A – bez štítku.
SW-A ho pošle po trunku na L3 core – teď otagovaný jako VLAN 10 (802.1Q).
L3 core routuje z V10 do V20 (přes SVI) a pošle paket po trunku k SW-B – teď otagovaný jako VLAN 20.
SW-B sundá štítek a po access portu V20 doručí paket na SERVER. Hotovo – celou cestou napříč sítí.
A host? Jeho provoz jde přes core rovnou na router (a odtud do internetu) – do firemních VLAN ho pravidlo nepustí. Každý tam, kam patří.

Co ještě chybí

Umíš toho hodně – ale jedna věc nám v téhle síti pořád chybí: spolehlivost. Co když ten jediný kabel mezi switchi přestane fungovat? Půlka sítě spadne. Řešení je záložní linka – jenže dvě aktivní cesty mezi switchi vytvoří smyčku, a ta umí síť úplně zahltit. Jak mít zálohu bez smyčky, řeší Spanning Tree – a tomu se věnuje celý kurz o redundanci a STP.

Krok za krokem

Mezi switchi je jediný kabel. Funguje – dokud funguje. Je to jediný bod selhání.
Když ten kabel praskne, SW-B se odřízne – půlka sítě je offline. Chceme záložní linku.
Jenže dvě aktivní linky udělají smyčku: každý switch broadcast rozešle na všechny porty – i na tu druhou linku zpátky – takže z jednoho rámce jsou dva, čtyři, osm… a síť se zahltí (broadcast storm; rámec na L2 nemá počítadlo životnosti — nikdy „nevyprší"). Tohle síť zabije.
Řešení = Spanning Tree (STP): nechá jednu linku aktivní a zálohu zablokovanou, dokud není potřeba. Záloha bez smyčky. Tomu se věnuje kurz o redundanci a STP – tam se k tomu vrátíme.

▶ Otevřít v simulátoru