در بسیاری از شرکت‌ها همه دستگاه‌ها در یک شبکه هستند: رایانه کارکنان، سرورها، پرینترها، دوربین‌های مداربسته، تلفن‌های تحت شبکه و حتی گوشی مهمان‌ها روی وای‌فای. به این ساختار «شبکه تخت» می‌گویند. تا وقتی شبکه کوچک است مشکلی دیده نمی‌شود، اما با رشد سازمان دو مشکل جدی پیدا می‌شود: امنیت و کارایی.
شبکه تخت چه مشکلی دارد؟
- امنیت: اگر یک رایانه یا یک دوربین ارزان آلوده شود، مستقیم به سرور مالی و همه دستگاه‌ها دسترسی دارد. باج‌افزارها دقیقاً از همین مسیر در شبکه پخش می‌شوند.
- ترافیک اضافه: پیام‌های همگانی (Broadcast) که همه دستگاه‌ها باید بشنوند، با بزرگ شدن شبکه زیاد می‌شوند و کارایی را پایین می‌آورند.
- عیب‌یابی سخت: وقتی همه‌چیز در یک شبکه است، پیدا کردن منبع یک مشکل یا کنترل دسترسی یک گروه خاص بسیار سخت است.
VLAN چیست؟
VLAN یا شبکه محلی مجازی، روشی است که یک سوییچ فیزیکی را به چند شبکه منطقی جدا تقسیم می‌کند. دستگاه‌های هر VLAN فقط همدیگر را می‌بینند؛ برای ارتباط بین VLANها، ترافیک باید از یک روتر یا فایروال عبور کند و آنجا می‌شود دقیقاً تعیین کرد چه کسی به چه چیزی دسترسی دارد.
یعنی بدون کشیدن کابل جدید یا خرید سوییچ جدا برای هر بخش، شبکه را بخش‌بندی می‌کنید؛ فقط کافی است سوییچ‌ها مدیریتی (Managed) باشند.
یک طرح نمونه برای شرکت متوسط
- VLAN کاربران: رایانه‌های کارکنان.
- VLAN سرورها: سرورهای دامین، فایل، مالی و ماشین‌های مجازی.
- VLAN مدیریت: رابط مدیریتی سوییچ‌ها، فایروال، iLO سرورها و UPSها؛ فقط برای تیم IT.
- VLAN تلفن: تلفن‌های تحت شبکه، همراه با اولویت‌بندی ترافیک صوتی.
- VLAN دوربین و دستگاه‌های هوشمند: دوربین‌ها، دستگاه حضور و غیاب و دستگاه‌هایی که به‌روزرسانی امنیتی کمی دارند.
- VLAN مهمان: وای‌فای مهمان که فقط به اینترنت دسترسی دارد.
قانون طلایی: دستگاه‌هایی که کمتر به آن‌ها اعتماد دارید (دوربین، مهمان، دستگاه‌های هوشمند) نباید به سرورها دسترسی داشته باشند.
قوانین بین VLANها
ارزش واقعی VLAN در قوانین بین آن‌هاست. مثلاً:
- کاربران فقط به پورت‌های لازم روی سرورها دسترسی دارند، نه همه پورت‌ها.
- VLAN مدیریت فقط از رایانه‌های تیم IT قابل دسترسی است.
- دوربین‌ها فقط با دستگاه ضبط (NVR) ارتباط دارند و به اینترنت و بقیه شبکه دسترسی ندارند.
- مهمان‌ها فقط به اینترنت دسترسی دارند.
مراحل اجرا بدون توقف کار
- فهرست‌برداری: همه دستگاه‌ها و آدرس‌های IP فعلی را مستند کنید.
- طرح آدرس‌دهی: برای هر VLAN یک بازه آدرس جدا در نظر بگیرید؛ مثلاً 10.10.X.0/24 که X شماره VLAN است تا خوانا باشد.
- آماده‌سازی سوییچ‌ها و فایروال: VLANها، پورت‌های Trunk بین سوییچ‌ها و رابط هر VLAN روی فایروال یا روتر را بسازید و DHCP هر بخش را تنظیم کنید.
- انتقال مرحله‌ای: گروه‌به‌گروه دستگاه‌ها را منتقل کنید؛ معمولاً از مهمان و دوربین شروع کنید که ریسک کمتری دارند.
- قوانین را سفت کنید: ابتدا قوانین را باز بگذارید و ترافیک را ثبت کنید، بعد فقط ارتباط‌های لازم را مجاز نگه دارید.
- مستندسازی: نقشه VLANها، بازه‌ها و قوانین را ثبت کنید.
خطاهای رایج
- استفاده از VLAN پیش‌فرض (VLAN 1) برای کاربران یا مدیریت.
- ساختن VLAN بدون قانون بین آن‌ها؛ یعنی جداسازی فقط روی کاغذ.
- فراموش کردن DHCP و DNS برای VLANهای جدید.
- مستند نکردن تغییرات؛ چند ماه بعد هیچ‌کس نمی‌داند کدام پورت در کدام VLAN است.
بخش‌بندی شبکه یکی از مؤثرترین کارهای امنیتی با هزینه کم است. اگر شبکه شما هنوز تخت است، کارشناسان ما می‌توانند طرح VLAN متناسب با سازمان‌تان را آماده و بدون توقف کار اجرا کنند.