VLAN सेगमेंटेशन मार्गदर्शिका: तुमचे नेटवर्क डिझाइन करा, मॅप करा आणि चाचणी करा

एखाद्या नेटवर्कमध्ये गेस्ट WiFi नाव, स्टाफ नेटवर्क आणि डिव्हाइस नेटवर्कचा समूह असू शकतो, तरीही गेस्ट लॅपटॉप हा केवळ एका परमिशन रुलमुळे स्टाफ सर्व्हरपर्यंत पोहोचण्याच्या स्थितीत राहू शकतो. VLAN सूची व्यवस्थित दिसू शकते, परंतु उपयुक्त प्रश्न हा आहे की एखादे डिव्हाइस अशा कोणत्याही गोष्टीपर्यंत पोहोचू शकते का जिथे ते पोहोचायला नको आहे.

VLAN सेगमेंटेशन तुम्हाला सामायिक स्विचिंग इन्फ्रास्ट्रक्चरवर ट्रॅफिक वेगळे करण्याचा एक व्यावहारिक मार्ग प्रदान करतो. यावरून हे सिद्ध होत नाही की ते अलगीकरण सुरक्षित आहे. गट आणि त्यांच्या आवश्यक कनेक्शनसह प्रारंभ करा, शक्य तिथे ओळखीनुसार उपकरणे असाइन करा, त्यानंतर परवानगी दिलेल्या आणि ब्लॉक केलेल्या पाथची चाचणी घ्या.

अनुक्रमणिका

• गेस्ट, कर्मचारी आणि डिव्हाइसेससाठी एक संदर्भ VLAN मॅप
• तुमच्या ॲसेट इन्व्हेंटरीमधून सेगमेंटची डिझाइन कशी करावी
• RADIUS द्वारे ओळखीचे VLANs मध्ये मॅपिंग करणे
  • जोडणी दरम्यान काय होते
  • व्यक्ती आणि डिव्हाइसेसवर मॅपिंग लागू करा
• लॅटरल हालचालींवर मर्यादा घालणारे सेगमेंट नियम
• डिव्हाइसेस आणि व्यक्ती बदलतात तसे VLAN असाइनमेंट्स अचूक ठेवणे
• सेगमेंटेशन प्रत्यक्षात टिकून राहते की नाही याची चाचणी घेणे
  • तीन तपासण्या वापरा, नंतर बदलांची पुन्हा चाचणी करा
• सेगमेंट मॅपची पुष्टी करा आणि एका साइटवर पायलट करा

गेस्ट, कर्मचारी आणि डिव्हाइसेससाठी एक संदर्भ VLAN मॅप

एक VLAN एका फिजिकल स्विचिंग फॅब्रिकला वेगळ्या ब्रॉडकास्ट डोमेन्समध्ये विभाजित करतो, त्यामुळे एका लॉजिकल नेटवर्कमधील उपकरणे आपोआप दुसऱ्या नेटवर्कमध्ये येत नाहीत. IEEE 802.1Q ईथरनेट फ्रेम्सना VLAN आयडेंटिफायर, किंवा VID सह टॅग करते, ज्याचा वापर स्विचेस ट्रॅफिकला योग्य व्हर्च्युअल LAN शी जोडलेले ठेवण्यासाठी करतात, जसे की IEEE 802.1Q मानकामध्ये वर्णन केले आहे.

अभ्यागत, कर्मचारी, बिल्डिंग डिव्हाइसेस, कंत्राटदार आणि भाडेकरू असलेल्या ठिकाणासाठी येथे एक सुरुवातीचा नकाशा दिला आहे. VLAN क्रमांक हे उदाहरणादाखल दिलेले असाइनमेंट्स आहेत, जागतिक आवश्यकता नाहीत. स्वतःचा सेगमेंट आवश्यक असलेल्या गटांसाठी जागा राखीव ठेवण्याचा एक मार्ग दाखवण्यासाठी कंत्राटदार आणि भाडेकरू आयडी 50 आणि 60 म्हणून भरले आहेत.

विभाग (Segment)	नेटवर्क	VLAN	डिव्हाइसेस कसे कनेक्ट होतात	या VLAN वरून प्रवेश करण्यायोग्य
अतिथी आणि BYOD	ओपन (Open)	10	कॅप्टिव्ह पोर्टल किंवा Passpoint, संमती नोंदवून	फक्त इंटरनेट, क्लायंट आयसोलेशन सुरू आहे
कर्मचाऱ्यांचे लॅपटॉप्स आणि फोन	सुरक्षित (Secure)	20	MDM द्वारे EAP-TLS, किंवा Entra ID, Okta किंवा Google Workspace द्वारे SSO	फक्त नाव दिलेले अंतर्गत सर्व्हर्स आणि प्रिंटर्स
कुलपे, थर्मोस्टॅट्स, गळती सेन्सर्स	xPSK	40	प्रत्येक डिव्हाइससाठी एक MAC-बाउंड की	फक्त व्हेंडर क्लाउड, अतिथींकडून प्रवेश करता येत नाही
देखभाल कंत्राटदार	xPSK	50	वेळ-मर्यादित की, MDM ची गरज नाही	फक्त कामासाठी आवश्यक असलेल्या सिस्टीम्स, कामाच्या शेवटच्या दिवशी प्रवेश समाप्त होतो
भाडेकरू किंवा सवलतधारक	xPSK	60	प्रत्येक भाडेकरूसाठी एक की	स्वतःचे VLAN, ग्राहक आणि केंद्र सिस्टीम्सपासून वेगळे

या तक्त्याकडे इच्छित ॲक्सेसचा मॅप म्हणून पहा, ॲक्सेस लिहिल्याप्रमाणे कार्य करतो याचा पुरावा म्हणून नाही. VLAN लॉजिकल सेपरेशन प्रदान करतात आणि वाढणारे नेटवर्क ऑपरेट करणे सोपे करू शकतात, परंतु VID स्वतः एक बारीक-सुरक्षा धोरण तयार करत नाही. ट्रंकिंग, ॲक्सेस-पोर्ट असाइनमेंट, राउटिंग आणि बाउंड्री नियम या सर्वांनी डिझाइनशी जुळले पाहिजे.

VLANs हा एक सामान्य पाया राहिला आहे: ओम्डियाच्या 352 आरोग्यसेवा आणि उत्पादन सुरक्षा नेत्यांच्या सर्वेक्षणात, 64% लोकांनी VLANs चा वापर केला होता किंवा वापरण्याची योजना आखली होती. याच सर्वेक्षणात असे आढळून आले की सुमारे 50% लोकांनी मागील वर्षात लॅटरल मूव्हमेंटशी संबंधित घटनेचा अनुभव घेतला होता, ही एक आठवण करून देते की नेटवर्क झोनला VLAN लेबलच्या पलीकडे नियंत्रणांची आवश्यकता असते (Omdia चा मायक्रोसेगमेंटेशन रिपोर्ट).

कोणत्याही स्विच कॉन्फिगरेशनला स्पर्श करण्यापूर्वी मालक आणि रीचेबल सिस्टीम्ससह, या टेबलची स्वतःची आवृत्ती ड्राफ्ट करा, .

तुमच्या ॲसेट इन्व्हेंटरीमधून सेगमेंट डिझाइन कसे करावे

टीम ज्या प्रश्नाकडे अनेकदा दुर्लक्ष करतात तिथून सुरुवात करा: कोणी कोणाशी संवाद साधला पाहिजे? VLAN नंबर नंतर येतात. कोणती डिव्हाइसेस अस्तित्वात आहेत आणि त्यांना कशापर्यंत पोहोचणे आवश्यक आहे हे जाणून घेण्यापूर्वी IDs असाइन केल्याने असे सेगमेंट्स तयार होतात ज्यांचे समर्थन करणे कठीण आणि मेंटेन करणे अधिक कठीण असते.

नेटवर्क पायाभूत सुविधा सुरक्षित करण्यासाठी CISA चे मार्गदर्शन समान उद्देश असलेल्या उपकरणांचे गट तयार करणे आणि वेगवेगळ्या सुरक्षा आवश्यकता असलेले घटक वेगळे करण्याची शिफारस करते. उच्च धोक्याच्या वातावरणासाठी, त्याचा अर्थ लेयर 3 ॲक्सेस नियंत्रणे आणि ॲप्लिकेशन-जागरूक फायरवॉलसह, भिन्न IT आणि ऑपरेशनल-टेक्नॉलॉजी VLAN असू शकतात.

इन्व्हेंटरीचे वर्किंग डिझाइनमध्ये रूपांतर करण्यासाठी या क्रमाचा वापर करा:

1. डिव्हाइसेस आणि मालकांची यादी करा. कॅमेरे, टिल्स, बिल्डिंग कंट्रोल्स आणि नेटवर्क उपकरणांसह एंडपॉइंट्स, सिस्टीम्स आणि मॅनेजमेंट इंटरफेसेसची सूची तयार करा. प्रत्येक ॲसेटची मालकी कोणाकडे आहे आणि तिच्या ॲक्सेसला कोण मंजुरी देऊ शकते याची नोंद ठेवा. अनोळखी डिव्हाइसेस साधारणपणे अशा ठिकाणी जोडली जातात जिथे कोणालाही ती ऑनलाइन करता येतील आणि अशा प्रकारे त्यांना नकळतपणे ॲक्सेस मिळून जातो.

2. उद्देश आणि धोक्यानुसार गट करा. अतिथींची डिव्हाइसेस, कर्मचाऱ्यांचे एंडपॉइंट्स, पेमेंट सिस्टीम्स, कॅमेरे, बिल्डिंग कंट्रोल्स, सर्व्हर्स आणि नेटवर्क मॅनेजमेंट वेगळे करा. जेव्हा ॲक्सेसच्या गरजा आणि धोके समान असतात, तेव्हा समान व्यावसायिक कार्ये एका झोनमध्ये शेअर केली जाऊ शकतात.

3. किमान कायदेशीर प्रवाहांची नोंद ठेवा. प्रत्येक आवश्यक कनेक्शनसाठी स्रोत, गंतव्यस्थान (डेस्टिनेशन), प्रोटोकॉल आणि पोर्ट कॅप्चर करा. एखादा प्रवाह कशासाठी आवश्यक आहे हे टीम सांगू शकत नसेल, तर परवानगी देण्यासाठी अपवाद मानण्याऐवजी तो हटवण्यासाठीचा पर्याय म्हणून विचारात घ्या.

4. प्रत्येक गटामागे एक VLAN आणि IP सबनेट तयार करा. जिथे वातावरणाची गरज असेल तिथे जास्त धोका असलेले ऑपरेशनल तंत्रज्ञान IT पासून वेगळे ठेवा. स्विचच्या भौतिक स्थानाऐवजी व्यावसायिक आणि सुरक्षिततेच्या गरजा दर्शवण्यासाठी सीमा निवडा.

5. इंटर-VLAN राउटिंग नियंत्रित सीमेवर ठेवा. फायरवॉल किंवा लेयर 3 कंट्रोल पॉइंटद्वारे राउट करा जिथे टीम पॉलिसी लागू करू शकते. फक्त VLANs ची नावे वेगळी आहेत म्हणून राउटिंग उघडे ठेवू नका.

6. प्रथम नकारा, नंतर विशिष्ट अपवाद जोडा. प्रत्येक मंजूर केलेल्या नियमाचे कार्यक्षेत्र आवश्यक प्रोटोकॉल, पोर्ट, दिशा आणि गंतव्यस्थानापुरते मर्यादित ठेवा. प्रत्येक अपवादासाठी मालकाची मंजुरी नोंदवा.

7. सुरुवातीपासूनच सीमेच्या निर्णयांची नोंद ठेवा. परवानगी दिलेले आणि नाकारलेले प्रवाह दृश्यमान ठेवा जेणेकरून टीम्स नियम काय करतात याचे पुनरावलोकन करू शकतील.

उदाहरणार्थ, एक रेस्टॉरंट ग्रुप पॉइंट-ऑफ-सेल टर्मिनल्स किचन डिस्प्लेपासून वेगळे करू शकतो. जर फक्त आवश्यक संवाद हा एका पोर्टवरील कार्ड टर्मिनलवर व्यवहार पाठवणारी POS सिस्टीम असेल, तर दोन VLAN मधील सामान्य ॲक्सेस उघडण्याऐवजी त्या विशिष्ट पाथला परवानगी द्या.

क्रमांकन पद्धतीमुळे धोरण वाचणे सोपे होऊ शकते. झोननुसार रेंज राखीव ठेवणे हे याचे एक उदाहरण आहे, जसे की पाहुण्यांसाठी 10, कर्मचाऱ्यांसाठी 20 आणि उपकरणांसाठी 40, ज्यामुळे नंतरच्या गटांसाठी जागा राहते. सबनेटचा तिसरा ऑक्टेट त्याच्या VLAN ID शी जुळवून घेतल्यास, जर ही पद्धत विद्यमान ॲड्रेस प्लॅनमध्ये बसत असेल, तर फायरवॉल नियम तपासणे देखील सोपे होऊ शकते.

तुम्ही आज पुनरावलोकन करू शकाल अशा नियमासाठी विचारा: मी याचा मालक आणि यामागील बिझनेस फ्लो सांगू शकतो का? नसल्यास, त्याचा स्वीकृत डिझाइनमध्ये समावेश करू नका.

RADIUS द्वारे VLAN मध्ये आयडेंटिटीचे मॅपिंग करणे

उपकरणाला सामायिक वायरलेस नेटवर्कवरील इतर सर्व उपकरणांप्रमाणे समान VLAN मध्ये जोडण्याची गरज नाही. ओळख-आधारित असाइनमेंटसह, ऑथेंटिकेशन नेटवर्क प्लेसमेंट ठरवते.

कनेक्ट (join) करताना काय होते

एक सामान्य 802.1X जॉइन एका स्पष्ट क्रमाचे अनुसरण करतो. उपकरण ॲक्सेस पॉइंट किंवा स्विचद्वारे ऑथेंटिकेशन विनंती पाठवते, आणि नेटवर्क ते RADIUS कडे फॉरवर्ड करते. RADIUS ओळख तपासते आणि विनंती स्वीकारल्यास, VLAN ॲट्रिब्यूट परत पाठवते. त्यानंतर स्विच किंवा ॲक्सेस पॉइंट ते सत्र असाइन केलेल्या VLAN वर ठेवतो.

VLAN ओळखण्यासाठी सामान्यतः वापरले जाणारे ॲट्रिब्युट्स म्हणजे VLAN वर सेट केलेले Tunnel-Type, 802 वर सेट केलेले Tunnel-Medium-Type आणि VLAN क्रमांकावर सेट केलेले Tunnel-Private-Group-ID. त्या मूल्यांनी नेटवर्कमध्ये कॉन्फिगर केलेल्या ID शी जुळणे आवश्यक आहे; चुकीच्या ॲट्रिब्युटसह जोडलेली योग्य आयडेंटिटी एखाद्या उपकरणाला चुकीच्या सेगमेंटमध्ये ठेवू शकते.

लोक आणि उपकरणांवर मॅपिंग लागू करा

कर्मचाऱ्यांसाठी, EAP-TLS मोबाईल डिव्हाइस मॅनेजमेंटद्वारे जारी केलेली प्रमाणपत्रे वापरू शकते. व्यवस्थापित कर्मचाऱ्याचा लॅपटॉप ऑथेंटिकेशन दरम्यान त्याचे प्रमाणपत्र सादर करतो, आणि ओळख धोरण ते कर्मचाऱ्याच्या VLAN मध्ये ठेवू शकते. यामुळे ॲक्सेसचा आधार म्हणून सामायिक WiFi पासवर्डवर अवलंबून राहणे टळते.

दुसरा मार्ग कर्मचारी आयडेंटिटी प्रोव्हायडरपासून सुरू होतो. Entra ID किंवा Okta मधील ग्रुप मेंबरशिप SAML आणि SCIM द्वारे पास केली जाऊ शकते जेणेकरून, उदाहरणार्थ, फायनान्स ग्रुपच्या सदस्याला कर्मचाऱ्यांचा VLAN मिळेल तर कंत्राटदार ग्रुपला त्याचा स्वतःचा VLAN मिळेल. या सेटअपच्या ॲक्सेस-कंट्रोल बाजूच्या अधिक सखोल माहितीसाठी, WiFi ॲक्सेस कंट्रोल आणि आयडेंटिटी-आधारित ॲक्सेस पहा.

काही डिव्हाइसेस 802.1X रन करू शकत नाहीत. त्यांच्यासाठी, MAC-बाउंड की एक वैयक्तिक क्रेडेंशियल आणि परिभाषित VLAN असाइनमेंट प्रदान करू शकते. जिथे तुम्हाला एकाच नेटवर्कचा वापर करणाऱ्या इतर डिव्हाइसेसचा ॲक्सेस न बदलता एका डिव्हाइसचा ॲक्सेस रद्द करायचा असेल तिथे प्रति-डिव्हाइस की वापरा.

जेव्हा पर्यावरणाला गरज असते, तेव्हा कंडिशनल ॲक्सेस आणि डिव्हाइस पोश्चर हे जॉइन निर्णयाचा भाग असले पाहिजेत. जर एखादे डिव्हाइस आवश्यक नियम पूर्ण करण्यात अयशस्वी ठरले, तर त्याला अधिक सुरक्षित मानल्या जाणाऱ्या VLAN वर ठेवून जोखीम नियंत्रणात आहे असे गृहीत धरण्याऐवजी ऑथेंटिकेशनच्या वेळीच नाकारा.

RADIUS कॉन्फिगर करण्यापूर्वी ग्रुप-टू-एट्रीब्यूट-टू-VLAN मॅपिंग एका तक्त्यात लिहा. फॉलबॅक वर्तनाचा देखील समावेश करा: जर RADIUS पर्यंत पोहोचता येत नसेल, तर विद्यमान सत्र कनेक्ट केलेले राहते, परंतु नवीन सहभाग कर्मचाऱ्यांच्या VLAN वर पोहोचण्याऐवजी फेल-क्लोज्ड होतात. निष्क्रिय केलेले खाते त्याच्या पुढील सहभागाच्या वेळी नाकारले गेले पाहिजे, ज्यामध्ये प्रमाणीकरण लॉग्जने ते कधी आणि का नाकारले याची नोंद ठेवली पाहिजे. VLAN असाइनमेंट लॉगिनच्या वेळी होते; तुम्ही तसे करण्यासाठी पॉलिसी जोडल्याशिवाय सत्रादरम्यान त्याचे आपोआप पुनर्मूल्यांकन केले जात नाही.

लॅटरल हालचाली मर्यादित करणारे सेगमेंट नियम

एखादे साधन विश्वासू VLAN मध्ये आहे म्हणून ते केवळ ते कुठे सामील झाले यावरून विश्वासू ठरत नाही. NIST नेटवर्क सेगमेंटेशन आणि झिरो ट्रस्ट यामध्ये फरक करते: VLANs सबनेट-स्तरीय झोन तयार करतात, तर ॲक्सेस पॉलिसी अनेकदा होस्टच्या समूहांसाठी गेटवेवर लागू केल्या जातात. झिरो ट्रस्ट नेटवर्क स्थानावर आधारित अप्रत्यक्ष ॲक्सेस प्रदान करत नाही (NIST विशेष प्रकाशन 800-215).

कार्यरत पॉलिसी म्हणून फ्लो मॅट्रिक्स वापरा. अलो किंवा डिनाय निर्णयाइतकेच अटींनाही महत्त्व असते.

स्रोत (Source)	गंतव्य (Destination)	नियम	अट
अतिथी (VLAN 10)	इंटरनेट	अनुमती द्या (Allow)	क्लायंट आयसोलेशन इतर डिव्हाइसेस ब्लॉक करते
अतिथी (VLAN 10)	कर्मचारी (VLAN 20)	नकार द्या (Deny)	मार्ग नाही, बाय डीफॉल्ट नकार दिला जातो
कर्मचारी (VLAN 20)	अतिथी (VLAN 10)	नकार द्या (Deny)	मार्ग नाही, बाय डीफॉल्ट नकार दिला जातो
कर्मचारी (VLAN 20)	नाव दिलेला फाइल सर्व्हर	अनुमती द्या (Allow)	फक्त आवश्यक पोर्ट्स
डिव्हाइसेस (VLAN 40)	व्हेंडर क्लाउड	अनुमती द्या (Allow)	फक्त आऊटबाउंड, निश्चित गंतव्यस्थानांकडे
डिव्हाइसेस (VLAN 40)	कर्मचारी (VLAN 20)	नकार द्या (Deny)	कंट्रोलर एका मंजूर गेटवेद्वारे पोहोचला आहे
कंत्राटदार	इमारत नियंत्रणे	फक्त अपवादात्मक स्थितीत अनुमती द्या	मालकाची मंजुरी आणि समाप्तीची तारीख आवश्यक आहे

गेस्ट नियम इंटरनेट ॲक्सेसला अनुमती देतो आणि त्याच वेळी गेस्ट उपकरणांना एकमेकांशी कनेक्शन सुरू करण्यापासून रोखतो. दोन गेस्ट-टू-स्टाफ नियम दुसऱ्या बाजूचे संरक्षण करण्यासाठी एका बाजूच्या पॉलिसीवर अवलंबून न राहता दोन्ही दिशांमधील ॲक्सेस नाकारतात. कर्मचारी केवळ त्याच्या सेवेला आवश्यक असलेल्या पोर्ट्सवरच नामनिर्देशित फाइल सर्व्हरपर्यंत पोहोचू शकतात. एखादे उपकरण त्याच्या व्हेंडरच्या क्लाउड सर्व्हिसशी आउटबाउंड संपर्क साधू शकते, परंतु व्हेंडरचे कनेक्शन स्टाफ उपकरणांमध्ये प्रवेश करण्याचा मार्ग बनू नये. कंत्राटदाराला बिल्डिंग कंट्रोल्सपर्यंत पोहोचण्याची आवश्यकता असल्यास, त्यांना केवळ मंजूर केलेल्या कामासाठी ॲक्सेस द्या आणि ठरलेल्या अंतिम तारखेला तो हटवा.

VLAN मधील नियंत्रणे देखील महत्त्वाची असतात. एकाच VLAN मधील उपकरणे, इतर कोणत्याही नियंत्रणाने थांबवल्याशिवाय सामान्यतः एकमेकांपर्यंत पोहोचू शकतात. जिथे पअर संवादाची गरज नाही अशा पाहुणे आणि डिव्हाइस नेटवर्कसाठी क्लायंट आयसोलेशन वापरा, आणि लोकल कनेक्शन्स मर्यादित करण्यासाठी कर्मचारी एंडपॉइंट्सवर होस्ट फायरवॉल वापरा.

हे सेगमेंट-स्तरीय संरक्षण कार्यरत ठेवा:

• डिफॉल्ट ॲक्सेस काढून टाका: न वापरलेले स्विच पोर्ट्स डिफॉल्ट VLAN च्या बाहेर ठेवा आणि जिथे शक्य असेल तिथे ते निष्क्रिय करा.
• सक्रिय नेटिव्ह VLAN टाळा: नेटिव्ह VLAN न वापरलेल्या ID वर सेट करा.
• ट्रंक्स मर्यादित करा: प्रत्येक स्विच लिंकवर फक्त आवश्यक असलेल्या VLANs ला अनुमती द्या.
• व्यवस्थापनाचे संरक्षण करा: नेटवर्क व्यवस्थापन त्याच्या स्वतःच्या VLAN वर ठेवा आणि गेस्ट नेटवर्कवरून त्याला कोणताही मार्ग देऊ नका.

जास्त VLANs चा अर्थ आपोआप अधिक सुरक्षा असा होत नाही. NIST चे मार्गदर्शन महत्त्वपूर्ण संसाधनांना स्वतंत्र ट्रस्ट झोनमध्ये वेगळे करण्यास आणि जेथे प्रतिबंध व देखरेख सुधारते तेथे पायाभूत सुविधांचे टप्प्याटप्प्याने विभाजन करण्यास समर्थन देते. परंतु कमी, जोखीम-आधारित झोन हे संकुचित VLANs च्या लांबलचक सूचीपेक्षा अधिक सुरक्षित आणि ऑपरेट करण्यासाठी सोपे असू शकतात, जर अंमलबजावणीमध्ये ओळख आणि धोरणाचा (पॉलिसीचा) विचार केला गेला असेल. हेल्थकेअर आणि मॅन्युफॅक्चरिंग क्षेत्रातील सुरक्षा लीडर्सच्या Omdia सर्वेक्षणात, 99% लोक मायक्रोसेगमेंटेशन तैनात करत होते किंवा त्याचे नियोजन करत होते, तर फक्त 9% लोकांच्या महत्त्वपूर्ण प्रणालींचे याद्वारे संरक्षण केले जात होते (मायक्रोसेगमेंटेशन गैपवर Omdia चे सर्वेक्षण).

व्यावहारिक नियम म्हणून, जर दोन गटांच्या ॲक्सेसच्या आवश्यकता आणि जोखीम समान असतील, तर ते एका झोनमध्ये असू शकतात. व्हिजिटर ॲक्सेस वेगळा करण्याबद्दल अधिक माहितीसाठी, या गेस्ट नेटवर्क सुरक्षा मार्गदर्शकाचा वापर करा.

डिव्हाइसेस आणि लोकांमध्ये बदल होत असताना VLAN असाइनमेंट्स अचूक ठेवणे

एखादा कर्मचारी सोडतो, एखादा कंत्राटदार काम पूर्ण करतो किंवा लॉक बदलले जाते. प्रत्येक बदलामुळे VLAN शी जोडलेले जुने क्रेडेंशियल राहू शकते, त्यामुळे ॲक्सेस रेकॉर्ड्सने प्रत्येक व्यक्ती किंवा उपकरणाची आयडेंटिटी आणि लाइफसायकल फॉलो करणे आवश्यक आहे.

घटना	कृती	वेळ	प्रवेशावरील परिणाम
कर्मचारी नोकरी सोडतो	खाते असक्षम करा; RADIUS पुढील जॉइन नाकारते	त्याच दिवशी	कर्मचारी VLAN प्रवेश समाप्त होतो
डिव्हाइस बदलले	MAC-बाउंड की रद्द करा आणि नवीन जारी करा	इन्स्टॉलेशनपूर्वी	बदललेले डिव्हाइस त्याच्या डिव्हाइस-वर्ग VLAN मध्ये सामील होते
दीर्घकाळ राहणारा अतिथी चेक आउट करतो	जारी करताना सेट केलेल्या समाप्ती तारखेला की कालबाह्य होते	समाप्तीची तारीख	अतिथी VLAN प्रवेश समाप्त होतो
कंत्राटदाराचे काम संपले	वेळ-मर्यादित की कालबाह्य होते	कामाचा शेवटचा दिवस	कंत्राटदार VLAN प्रवेश समाप्त होतो
भाडेकरू बाहेर पडतो	फक्त त्या भाडेकरूची की रद्द करा	बाहेर पडताना	इतर भाडेकरू कनेक्ट राहतात

MAC-बाउंड की असलेली बिल्डिंग लॉक तिची की आणि VLAN पाहुण्यांच्या बदलीनंतरही कायम ठेवते. क्रेडेंशियल हे हार्डवेअरचे असते, बाहेर पडणाऱ्या पाहुण्याचे नाही. जेव्हा लॉक बदलले जाईल तेव्हा ते रद्द करा, पाहुण्याने चेक-आउट केल्यावर नाही.

बिल्डिंग कंट्रोल्स आणि पेमेंट सिस्टम सारख्या उच्च-जोखीम असलेल्या मालमत्तेसाठी, VLAN असाइनमेंट बदलण्यापूर्वी स्पष्ट चेंज कंट्रोलची आवश्यकता ठेवा. गेस्ट आणि इतर तात्पुरत्या ॲक्सेससाठी, क्रेडेंशियलवर मुदत समाप्ती तारीख (expiry date) सेट करा जेणेकरून मॅन्युअल क्लीनअपवर अवलंबून न राहता ॲक्सेस समाप्त होईल.

अनेक साईट्सवर, एक सामायिक VLAN प्लॅन ठेवा आणि त्यामध्ये कायदेशीर स्थानिक फरकांची नोंद ठेवा. अन्यथा, विशिष्ट लोकेशन कसे सेट केले आहे याची नोंद फक्त स्विच कॉन्फिगरेशनमध्येच राहू शकते. अपवाद आणि न वापरलेल्या की (keys) चे नियमित पुनरावलोकन करा आणि वर्तमान मालक नसलेल्या की काढून टाका. मॅपमधील VLAN ची संख्या न पाहता, आयडेंटिटी अजूनही इच्छित सेगमेंटशी मॅप होतात की नाही आणि प्रवेश योग्य वेळी संपतो की नाही यावरून प्रक्रियेचे मूल्यमापन करा.

सेगमेंटेशन खरोखर कार्य करते की नाही याची चाचणी घेणे

रीचेबिलिटीची चाचणी घ्या, VLAN संख्येची नाही. प्रत्येक इच्छित पाथसाठी, परवानगी दिलेले कनेक्शन कार्य करत आहे याची आणि ट्रॅफिक सुरू करणाऱ्या डिव्हाइस किंवा सेगमेंटमधून प्रतिबंधित पाथ्स अयशस्वी होत असल्याची पडताळणी करा.

चाचणी	कडून	पर्यंत	यशस्वी कधी मानले जाईल
लॅटरल रीच	गेस्ट VLAN 10	स्टाफ VLAN 20	झिरो कनेक्शन्स यशस्वी होतात
गेस्टमधील पीअर रीच VLAN	गेस्ट डिव्हाइस A	गेस्ट डिव्हाइस B	क्लायंट आयसोलेशनद्वारे ब्लॉक केलेले
ट्रंक लीक	ॲक्सेस पोर्ट	न वापरलेले VLAN	न वापरलेल्या VLAN साठी कोणतेही फ्रेम टॅग केलेले नाहीत
डिव्हाइस एक्सपोजर	गेस्ट VLAN 10	लॉक कंट्रोलर	कनेक्शन नाकारले गेले आहे
अपवाद तपासणी	स्टाफ VLAN 20	नामनिर्देशित फाइल सर्व्हर	फक्त मंजूर केलेले पोर्ट उघडे आहे

सामान्य कॉन्फिगरेशन चुकांमुळे लॉजिकल सेपरेशन अयशस्वी होऊ शकते. ट्रंक अशा VLAN साठी ट्रॅफिक वाहून नेऊ शकते जे त्या लिंकशी संबंधित नाहीत. एक मूळ VLAN अनपेक्षित मार्गाने ट्रॅफिक उघड करू शकते. अनमॅनेज्ड स्विच पोर्ट एखाद्या उपकरणाला डीफॉल्ट VLAN मध्ये ठेवू शकते, तर संमती देणारे राउटिंग किंवा अत्यंत विस्तृत फायरवॉल नियम डिझाइनने ब्लॉक केलेले मार्ग पुन्हा उघडू शकतात.

तीन तपासण्या वापरा, नंतर बदलांची पुन्हा चाचणी घ्या

प्रथम, स्विचेस आणि फायरवॉलचे ऑथेंटिकेटेड कॉन्फिगरेशन पुनरावलोकन करा. ॲक्सेस पोर्ट्सवरील VLAN मेंबरशिप, ट्रंक्सवर अनुमती दिलेले VLANs, नेटिव्ह VLAN, राउटिंग इंटरफेस आणि इंटर-VLAN ट्रॅफिकला अनुमती देणारे नियम तपासा.

दुसरे, प्रत्येक सेगमेंटवर व्हल्नरॅबिलिटी स्कॅन्स चालवा. स्कॅनद्वारे उपस्थित नसाव्या अशा सिस्टीम्स, पुनरावलोकनाची गरज असलेल्या उघड्या सेवा (exposed services) आणि इच्छित मॅप व तैनात केलेले नेटवर्क यातील फरक उघड होऊ शकतो.

तिसरे म्हणजे, प्रत्येक कमी-विश्वासू VLAN मधून उच्च-विश्वासू झोनमध्ये लॅटरल मूव्हमेंटचा प्रयत्न करणारी पेनिट्रेशन चाचणी आयोजित करा. चाचणीने वास्तववादी मार्गांचा सराव केला पाहिजे, फक्त नेटवर्कमध्ये वेगवेगळी VLAN नावे आहेत याची पुष्टी करू नये. ऑथेंटिकेशन पाथ स्वतः तपासण्याबाबत मार्गदर्शनासाठी, RADIUS ऑथेंटिकेशन कसे तपासायचे पहा.

पॉइंट-ऑफ-सेल व्हेंडरसाठी फायरवॉल बदल केल्यानंतर, गेस्ट VLAN वरून POS सिस्टमपर्यंत पुनर्चिंतन (retest) करा आणि गेस्ट ट्रॅफिक अजूनही ब्लॉक केलेले आहे याची खात्री करा. त्यानंतर व्हेंडर एक्सेप्शनची त्याच्या मंजूर स्त्रोताकडून चाचणी करा आणि केवळ त्याचा मंजूर पोर्ट उघडा आहे याची खात्री करा.

प्रत्येक संबंधित बदलानंतर या तपासण्या करा:

• अनुमती दिलेले मार्ग सत्यापित करा: आवश्यक अनुप्रयोग अद्याप कनेक्ट होतात याची खात्री करा.
• नाकारलेले मार्ग सत्यापित करा: पॉलिसीनुसार जे कनेक्शन अपयशी ठरले पाहिजेत, त्यांचे प्रयत्न करा.
• पोर्ट आणि VLAN असाइनमेंट तपासा: चाचणी साधने इच्छित सेगमेंटमध्येच पोहोचतात याची खात्री करा.
• सीमा लॉग्जचे पुनरावलोकन करा: अनुमती दिलेल्या आणि नाकारलेल्या निर्णयांची नोंद झाली आहे याची खात्री करा.
• मंजुरीची नोंद ठेवा: प्रत्येक सक्रिय अपवादासाठी मालक आणि कारण नोंदवून ठेवा.

जेव्हा अनधिकृत पाथ्स अयशस्वी होतात, सीमेचे निर्णय लॉग केले जातात आणि प्रत्येक अपवादाचा एक दस्तऐवजीकरण केलेला मालक असतो, तेव्हाच चाचणी यशस्वी झाली असे माना. चाचणी अयशस्वी झाल्यास, नियम दुरुस्त करा आणि तिकीट बंद करण्यापूर्वी तीच चाचणी पुन्हा चालवा.

सेगमेंट मॅपची पुष्टी करा आणि एका साइटवर पायलट करा

एक विश्वासार्ह रोलआउट मान्य केलेल्या मॅपसह आणि जिथे टीम वास्तविक उपकरणांविरुद्ध डिझाइनची पडताळणी करू शकते अशा साइटसह सुरू होते. या निर्णय पाथचा वापर करा:

1. प्रत्येक गटाची त्याच्या मालकाकडून पुष्टी करून घ्या. गट एका VLAN शी, ओळख स्त्रोताशी आणि त्याला ज्या सिस्टीमपर्यंत पोहोचणे आवश्यक आहे त्यांच्याशी जुळवा.
2. प्ॅलनरचा वापर करा. आज नेटवर्कशी काय कनेक्ट होते ते टिक करा आणि तिन्ही नेटवर्कमध्ये प्रत्येक गट कुठे लँड होईल ते तपासा.
3. एका साइटवर पायलट करा. साइटच्या मालकांसह रीचॅबिलिटी चाचण्या चालवा आणि दररोजच्या सेवा अद्याप कार्य करत असल्याची पुष्टी करा.
4. पायलट यशस्वी झाल्यानंतरच पूर्ण रोल आउट करा. इतर ठिकाणी कॉन्फिगरेशन लागू करण्यापूर्वी अपवाद नामनिर्देशित मालकांशी जोडलेले ठेवा.

Purple Access सात ऐवजी तीन SSIDs वापरते, ज्यामध्ये ओळख VLAN ठरवते आणि प्रत्येक रहिवासी, भाडेकरू किंवा डिव्हाइस ग्रुप त्याच्या स्वतःच्या सेगमेंटमध्ये ठेवला जातो. याचे प्लॅनर टीम्सना आज काय कनेक्ट होते याचे तीन नेटवर्कमध्ये मॅपिंग करू देते, आणि तज्ज्ञांचे डिझाइन सेशन्स रोलआउटपूर्वी योजनेचे पुनरावलोकन करू शकतात.

VLAN ही एक सीमा आहे जी तुम्हाला सिद्ध करावी लागेल, तुम्ही दिलेले लेबल नाही.

स्विच कॉन्फिगरेशन बदलण्यापूर्वी प्लॅनर चालवा किंवा डिझाइन सेशन बुक करा.

---

Purple Access रिव्होकेशन आणि ऑडिट लॉगिंगसह, विद्यमान ॲक्सेस पॉइंट्सवर ओपन, सुरक्षित आणि xPSK नेटवर्कचे ओळख-आधारित VLAN असाइनमेंटमध्ये मॅपिंग करू शकते. तुमच्या सध्याच्या डिव्हाइस ग्रुप्सचे मॅपिंग करण्यासाठी Purple Access प्लॅनर वापरा, त्यानंतर रोलआउटपूर्वी रीचेबिलिटी नियमांची पडताळणी करा.