Guia de segmentação VLAN: conceba, mapeie e teste a sua rede

Uma rede pode ter um nome de WiFi para visitantes, uma rede de colaboradores e uma coleção de redes de dispositivos e, ainda assim, deixar um portátil de um visitante a uma única regra permissiva de distância de um servidor de colaboradores. A lista de VLAN pode parecer organizada, mas a questão útil é se um dispositivo consegue aceder a algo a que não deveria.

A segmentação de VLAN oferece uma forma prática de separar o tráfego numa infraestrutura de comutação partilhada. Não prova que a separação seja segura. Comece com os grupos e as respetivas ligações necessárias, atribua dispositivos por identidade sempre que possível e, em seguida, teste os caminhos que devem ser permitidos e bloqueados.

Índice

• Um Mapa de Referência de VLAN para Convidados, Colaboradores e Dispositivos
• Como Conceber Segmentos a partir do Seu Inventário de Ativos
• Mapeamento de Identidades para VLANs Através de RADIUS
  • O que acontece durante uma ligação
  • Aplicar o mapeamento a pessoas e dispositivos
• Regras de Segmento que Limitam o Movimento Lateral
• Manter as Atribuições de VLAN Precisas à Medida que os Dispositivos e as Pessoas Mudam
• Testar se a Segmentação Realmente Funciona
  • Utilize três verificações e, em seguida, reteste as alterações
• Confirmar o Mapa de Segmentos e Pilotar num Local

Um mapa de referência de VLAN para convidados, colaboradores e dispositivos

Uma VLAN divide uma infraestrutura física de comutação em domínios de difusão separados, para que os dispositivos numa rede lógica não estejam automaticamente noutra. O IEEE 802.1Q identifica as tramas Ethernet com um Identificador de VLAN, ou VID, que os switches utilizam para manter o tráfego associado à LAN virtual correta, conforme descrito na norma IEEE 802.1Q.

Apresenta-se um mapa inicial para um local com visitantes, pessoal, dispositivos do edifício, prestadores de serviços e inquilinos. Os números da VLAN são exemplos de atribuições e não requisitos universais. Os ID de prestadores de serviços e inquilinos estão preenchidos como 50 e 60 para ilustrar uma forma de reservar espaço para grupos que necessitam do seu próprio segmento.

Segmento	Rede	VLAN	Como os dispositivos se ligam	Acessível a partir desta VLAN
Convidados e BYOD	Aberta	10	Portal cativo ou Passpoint, com consentimento registado	Apenas Internet, isolamento de clientes ativo
Portáteis e telemóveis de funcionários	Segura	20	EAP-TLS via MDM, ou SSO através do Entra ID, Okta ou Google Workspace	Apenas servidores internos e impressoras designados
Fechaduras, termóstatos, sensores de fuga	xPSK	40	Uma chave associada ao MAC por dispositivo	Apenas nuvem do fornecedor, inacessível a convidados
Prestadores de serviços de manutenção	xPSK	50	Chave com limite de tempo, sem necessidade de MDM	Apenas os sistemas necessários para o trabalho, o acesso termina no último dia do trabalho
Inquilinos ou concessões	xPSK	60	Uma chave por inquilino	Própria VLAN, separada dos clientes e dos sistemas do centro

Trate a tabela como um mapa do acesso pretendido, e não como prova de que o acesso funciona como escrito. As VLANs fornecem separação lógica e podem facilitar a operação de uma rede em crescimento, mas o VID em si não cria uma política de segurança detalhada. O trunking, a atribuição de portas de acesso, o encaminhamento e as regras de limite devem corresponder ao projeto.

As VLANs continuam a ser uma base comum: num inquérito da Omdia realizado a 352 líderes de segurança dos setores da saúde e do fabrico, 64% utilizavam ou planeavam utilizar VLANs. O mesmo inquérito revelou que quase 50% tinham sofrido um incidente envolvendo movimento lateral no ano anterior, um lembrete de que as zonas de rede necessitam de controlos além da etiqueta da VLAN (relatório de microsegmentação da Omdia).

Elabore a sua própria versão desta tabela, com os responsáveis e os sistemas acessíveis, antes de alterar qualquer configuração de switch.

Como desenhar segmentos a partir do seu inventário de ativos

Comece com a pergunta que as equipas costumam saltar: o que é que tem de comunicar com o quê? Os números de VLAN vêm mais tarde. Atribuir IDs antes de saber quais os dispositivos existentes e o que precisam de alcançar cria segmentos difíceis de justificar e ainda mais difíceis de manter.

As orientações da CISA para proteger a infraestrutura de rede recomendam o agrupamento de dispositivos com finalidades semelhantes e a separação de componentes com diferentes requisitos de segurança. Para ambientes de maior risco, isso pode significar VLANs de TI e de tecnologia operacional distintas, com controlos de acesso de Camada 3 e firewalls com suporte para aplicações.

Utilize esta sequência para transformar o inventário num design funcional:

1. Inventariar dispositivos e proprietários. Liste pontos de extremidade, sistemas e interfaces de gestão, incluindo câmaras, caixas registadoras, controlos de edifícios e equipamentos de rede. Registe quem é o proprietário de cada ativo e quem pode aprovar o seu acesso. Os dispositivos desconhecidos tendem a acabar onde quer que alguém os consiga ligar à Internet, que é como herdam acessos que ninguém pretendia dar.

2. Agrupar por finalidade e risco. Separe os dispositivos de convidados, pontos de extremidade de colaboradores, sistemas de pagamento, câmaras, controlos de edifícios, servidores e gestão de rede. Funções de negócio semelhantes podem partilhar uma zona quando as suas necessidades de acesso e risco forem comparáveis.

3. Registar os fluxos legítimos mínimos. Para cada ligação necessária, registe a origem, o destino, o protocolo e a porta. Se a equipa não conseguir justificar a necessidade de um fluxo, trate-o como um candidato a remover e não como uma exceção a permitir.

4. Criar uma VLAN e uma sub-rede IP por grupo. Mantenha a tecnologia operacional de maior risco separada da TI quando o ambiente o exigir. Escolha os limites para refletir as necessidades do negócio e de segurança, não a localização física de um switch.

5. Colocar o encaminhamento inter-VLAN num limite controlado. Encaminhe através de uma firewall ou de um ponto de controlo de Camada 3 onde a equipa possa aplicar políticas. Não deixe o encaminhamento aberto apenas porque as VLANs têm nomes diferentes.

6. Negar primeiro e, em seguida, adicionar exceções restritas. Restrinja cada regra aprovada ao protocolo, porta, direção e destino necessários. Registe a aprovação de um proprietário para cada exceção.

7. Registar as decisões limite desde o início. Torne visíveis os fluxos permitidos e negados para que as equipas possam rever o impacto das regras.

Um grupo de restauração, por exemplo, pode separar os terminais de ponto de venda dos ecrãs de cozinha. Se a única interação necessária for um sistema POS enviar uma transação para um terminal de pagamento numa porta, permita esse caminho específico em vez de abrir um acesso geral entre as duas VLANs.

Um esquema de numeração pode tornar a política mais fácil de ler. Um exemplo é a reserva de intervalos por zona, como 10 para convidados, 20 para funcionários e 40 para dispositivos, deixando lacunas para grupos posteriores. Fazer corresponder o terceiro octeto de uma sub-rede ao seu ID de VLAN também pode facilitar a leitura das regras do firewall, desde que o esquema se adapte ao plano de endereçamento existente.

Para uma regra que possa analisar hoje, pergunte: Consigo identificar o responsável e o fluxo de negócio por trás dela? Se a resposta for não, não a inclua na arquitetura aprovada.

Mapear identidades para VLANs através de RADIUS

Um dispositivo não tem de se juntar à mesma VLAN que todos os outros dispositivos numa rede sem fios partilhada. Com a atribuição baseada na identidade, a autenticação determina a colocação na rede.

O que acontece durante uma junção

Uma junção típica de 802.1X segue uma sequência clara. O dispositivo envia um pedido de autenticação através do ponto de acesso ou switch, e a rede encaminha-o para o RADIUS. O RADIUS verifica a identidade e, se aceitar o pedido, devolve atributos de VLAN. O switch ou ponto de acesso coloca então essa sessão na VLAN atribuída.

Os atributos comummente utilizados para identificar a VLAN são Tunnel-Type definido como VLAN, Tunnel-Medium-Type definido como 802 e Tunnel-Private-Group-ID definido como o número da VLAN. Esses valores têm de corresponder aos IDs configurados na rede; uma identidade correta emparelhada com um atributo incorreto pode colocar um dispositivo no segmento errado.

Aplicar o mapeamento a pessoas e dispositivos

Para os funcionários, o EAP-TLS pode utilizar certificados emitidos através da gestão de dispositivos móveis. Um portátil gerido de um colaborador apresenta o seu certificado durante a autenticação, e a política de identidade pode colocá-lo na VLAN dos funcionários. Isto evita a dependência de uma palavra-passe de WiFi partilhada como base para o acesso.

Um segundo caminho começa com um fornecedor de identidades de colaboradores. A pertença a grupos do Entra ID ou do Okta pode ser transmitida via SAML e SCIM para que, por exemplo, um membro do grupo de Finanças receba a VLAN dos colaboradores, enquanto um grupo de prestadores de serviços recebe a sua própria VLAN. Para uma análise mais aprofundada da vertente de controlo de acessos desta configuração, consulte WiFi controlo de acessos e acesso baseado em identidade.

Alguns dispositivos não conseguem executar 802.1X. Para esses, uma chave associada ao MAC pode fornecer uma credencial individual e uma atribuição de VLAN definida. Utilize uma chave por dispositivo onde precisar de revogar um dispositivo sem alterar o acesso de outros dispositivos que utilizam a mesma rede.

O Acesso Condicional e a postura do dispositivo devem fazer parte da decisão de adesão quando o ambiente o exigir. Se um dispositivo falhar uma regra obrigatória, recuse-o na autenticação em vez de o colocar numa VLAN supostamente mais segura e assumir que o risco está contido.

Escreva o mapeamento de grupo para atributo para VLAN numa tabela antes de configurar o RADIUS. Inclua também o comportamento de recurso: se o RADIUS estiver inacessível, uma sessão existente permanece ligada, mas as novas adesões falham com bloqueio em vez de irem parar à VLAN dos colaboradores. Uma conta desativada deve ser rejeitada na sua próxima adesão, com os registos de autenticação a indicar quando e porquê. A atribuição da VLAN ocorre no início de sessão; não é reavaliada automaticamente durante a sessão, a menos que adicione uma política para o fazer.

Regras de segmento que limitam o movimento lateral

Um dispositivo numa VLAN de confiança não é de confiança apenas devido ao local onde se ligou. O NIST distingue a segmentação de rede do zero trust: as VLANs criam zonas ao nível da sub-rede, enquanto as políticas de acesso são frequentemente impostas nos gateways para grupos de anfitriões. O zero trust não concede acesso implícito com base na localização na rede (Publicação Especial NIST 800-215).

Utilize uma matriz de fluxo como a política de trabalho. As condições importam tanto quanto a decisão de permitir ou negar.

Origem	Destino	Regra	Condição
Convidados (VLAN 10)	Internet	Permitir	O isolamento de clientes bloqueia dispositivos pares
Convidados (VLAN 10)	Funcionários (VLAN 20)	Negar	Sem rota, negar por predefinição
Funcionários (VLAN 20)	Convidados (VLAN 10)	Negar	Sem rota, negar por predefinição
Funcionários (VLAN 20)	Servidor de ficheiros designado	Permitir	Apenas as portas necessárias
Dispositivos (VLAN 40)	Nuvem do fornecedor	Permitir	Apenas de saída, para destinos fixos
Dispositivos (VLAN 40)	Funcionários (VLAN 20)	Negar	Controlador acedido através de um gateway aprovado
Prestadores de serviços	Controlos do edifício	Permitir apenas por exceção	É necessária a aprovação do proprietário e uma data de término

A regra de convidados permite o acesso à internet, impedindo simultaneamente que os dispositivos de convidados iniciem ligações entre si. As duas regras de convidados para pessoal negam o acesso em ambas as direções, em vez de dependerem da política de um dos lados para proteger o outro. O pessoal só pode aceder a um servidor de ficheiros designado através das portas de que o seu serviço necessita. Um dispositivo pode contactar o serviço de nuvem do seu fornecedor no sentido de saída, mas a ligação do fornecedor não deve tornar-se um caminho de acesso aos dispositivos do pessoal. Se um prestador de serviços precisar de aceder aos controlos do edifício, conceda acesso apenas para a tarefa aprovada e remova-o na data de conclusão acordada.

Os controlos dentro de uma VLAN também são importantes. Os dispositivos na mesma VLAN podem geralmente alcançar-se uns aos outros, a menos que outro controlo o impeça. Utilize o isolamento de clientes para redes de convidados e de dispositivos onde a comunicação entre pares não seja necessária, e firewalls de host em pontos de extremidade de funcionários para limitar as ligações locais.

Mantenha estas salvaguardas ao nível do segmento ativas:

• Remover o acesso predefinido: Coloque as portas de switch não utilizadas fora da VLAN predefinida e desative-as sempre que for viável.
• Evitar uma VLAN nativa ativa: Defina a VLAN nativa para um ID não utilizado.
• Limitar os trunks: Permita apenas as VLANs necessárias em cada ligação de switch.
• Proteger a gestão: Coloque a gestão de rede na sua própria VLAN e não forneça qualquer rota para a mesma a partir de redes de convidados.

Mais VLANs não significam automaticamente uma melhor segurança. As orientações do NIST apoiam o isolamento de recursos críticos em zonas de confiança separadas e a divisão progressiva da infraestrutura nos casos em que tal melhore o confinamento e a monitorização. No entanto, zonas mais reduzidas e baseadas no risco podem ser mais seguras e fáceis de operar do que uma longa lista de VLANs estreitas, desde que a aplicação de políticas considere a identidade e as regras. Num inquérito da Omdia a líderes de segurança dos setores da saúde e da indústria transformadora, 99% estavam a implementar ou a planear a microsegmentação, enquanto apenas 9% a utilizavam para proteger os seus sistemas críticos (Inquérito da Omdia sobre a lacuna da microsegmentação).

Como regra prática, se dois grupos tiverem os mesmos requisitos de acesso e risco, podem pertencer à mesma zona. Para mais detalhes sobre como isolar o acesso de visitantes, utilize este guia para a segurança da rede de visitantes.

Manter as atribuições de VLAN precisas à medida que os dispositivos e as pessoas mudam

Um funcionário sai, um prestador de serviços termina um trabalho ou uma fechadura é substituída. Cada alteração pode deixar uma credencial desatualizada vinculada a uma VLAN, pelo que os registos de acesso precisam de acompanhar a identidade e o ciclo de vida de cada pessoa ou dispositivo.

Evento	Ação	Temporização	Efeito no acesso
Funcionário sai da empresa	Desativar a conta; o RADIUS rejeita a ligação seguinte	No próprio dia	O acesso à VLAN dos funcionários termina
Dispositivo substituído	Revogar a chave associada ao MAC e emitir uma nova	Antes da instalação	O substituto junta-se à sua VLAN de classe de dispositivo
Hóspede de longa duração faz o check-out	A chave expira na data de término definida na emissão	Data de término	O acesso à VLAN de convidados termina
O trabalho do prestador de serviços termina	A chave com limite de tempo expira	Último dia do trabalho	O acesso à VLAN do prestador de serviços termina
Inquilino muda de instalações	Revogar apenas a chave desse inquilino	No momento da saída	Os outros inquilinos permanecem ligados

Uma fechadura de um edifício com uma chave associada ao MAC mantém a sua chave e o VLAN durante a rotação de hóspedes. A credencial pertence ao hardware, não ao hóspede que está de saída. Revogue-a quando a fechadura for substituída, não quando um hóspede fizer o check-out.

Para ativos de alto risco, como controlos de edifícios e sistemas de pagamento, exija um controlo de alterações explícito antes de alterar uma atribuição de VLAN. Para o WiFi para visitantes e outros acessos temporários, defina uma data de expiração na credencial para que o acesso termine sem depender de uma limpeza manual.

Em vários locais, mantenha um plano de VLAN partilhado e registe nele as diferenças locais legítimas. Caso contrário, as configurações do switch podem tornar-se o único registo da forma como um local está configurado. Revise as exceções e as chaves não utilizadas regularmente e remova aquelas sem um proprietário atual. Avalie o processo pelo facto de as identidades ainda se mapearem para os segmentos pretendidos e se o acesso termina quando deveria, e não pelo número de VLANs no mapa.

Testar se a segmentação é realmente mantida

Testar a acessibilidade, não a contagem de VLAN. Para cada caminho pretendido, verifique se a ligação permitida funciona e se os caminhos proibidos falham a partir do dispositivo ou segmento que iniciaria o tráfego.

Teste	De	Para	Aprova quando
Alcance lateral	Convidado VLAN 10	Pessoal VLAN 20	Zero ligações estabelecidas com sucesso
Alcance entre pares em convidado VLAN	Dispositivo de convidado A	Dispositivo de convidado B	Bloqueado pelo isolamento de cliente
Fuga no trunk	Porta de acesso	Não utilizada VLAN	Nenhumas tramas são etiquetadas para a não utilizada VLAN
Exposição do dispositivo	Convidado VLAN 10	Controlador de fechaduras	A ligação é recusada
Verificação de exceções	Pessoal VLAN 20	Servidor de ficheiros designado	Apenas a porta aprovada está aberta

A separação lógica pode falhar devido a erros de configuração comuns. Um trunk pode transportar tráfego para VLANs que não pertencem a essa ligação. Uma VLAN nativa pode expor o tráfego de forma inesperada. Uma porta de switch não gerida pode colocar um dispositivo na VLAN predefinida, enquanto o encaminhamento permissivo ou uma regra de firewall demasiado ampla podem reabrir caminhos que o projeto pretendia bloquear.

Utilize três verificações e, em seguida, volte a testar as alterações

Primeiro, realize uma revisão de configuração autenticada de switches e firewalls. Verifique a pertença a VLAN em portas de acesso, VLANs permitidas em trunks, a VLAN nativa, interfaces de encaminhamento e as regras que permitem tráfego inter-VLAN.

Em segundo lugar, execute scans de vulnerabilidade em cada segmento. Um scan pode revelar sistemas que não deveriam estar presentes, serviços expostos que precisam de revisão e diferenças entre o mapa previsto e a rede implementada.

Em terceiro lugar, organize um teste de intrusão que tente o movimento lateral a partir de cada VLAN de menor confiança para zonas de maior confiança. Um teste deve exercitar caminhos realistas, não apenas confirmar que a rede tem nomes de VLAN separados. Para obter orientações sobre como verificar o próprio caminho de autenticação, consulte como testar a autenticação de RADIUS.

Após uma alteração de firewall para um fornecedor de ponto de venda, volte a testar a partir da VLAN de visitantes para o sistema POS e confirme que o tráfego de visitantes continua bloqueado. Em seguida, teste a exceção do fornecedor a partir da respetiva origem aprovada e confirme que apenas a porta aprovada está aberta.

Execute estas verificações após cada alteração relevante:

• Verificar os caminhos permitidos: Confirme se as aplicações necessárias continuam a ligar-se.
• Verificar os caminhos negados: Tente efetuar ligações que a política especifique que devem falhar.
• Verificar a atribuição de portas e de VLAN: Confirme se os dispositivos de teste ficam no segmento pretendido.
• Analisar os registos de limite: Confirme se as decisões de permissão e de negação são registadas.
• Registar a aprovação: Mantenha um responsável e um motivo para cada exceção ativa.

Considere um teste como aprovado apenas quando os caminhos não autorizados falharem, as decisões de limite forem registadas e cada exceção tiver um responsável documentado. Quando um teste falhar, corrija a regra e execute novamente o mesmo teste antes de fechar o pedido.

Confirmar o mapa de segmentos e realizar um piloto num local

Uma implementação fiável começa com um mapa acordado e um local onde a equipa possa verificar o design com dispositivos reais. Utilize este caminho de decisão:

1. Confirme cada grupo com o respetivo responsável. Associe o grupo a uma VLAN, a uma fonte de identidade e aos sistemas a que precisa de aceder.
2. Utilize o planeador. Assinale o que se liga à rede atualmente e verifique onde cada grupo ficaria posicionado nas três redes.
3. Faça um teste piloto num local. Execute os testes de acessibilidade com os responsáveis do local e confirme que os serviços do dia a dia continuam a funcionar.
4. Proceda à implementação apenas após a aprovação do piloto. Mantenha as exceções vinculadas a responsáveis designados antes de aplicar a configuração noutros locais.

O Purple Access utiliza três SSIDs em vez de sete, com a identidade a decidir a VLAN e cada residente, inquilino ou grupo de dispositivos colocado no seu próprio segmento. O seu planeador permite que as equipas mapeiem o que se liga hoje às três redes, e sessões de design com especialistas podem rever o plano antes da implementação.

Um VLAN é um limite que tem de provar, não uma etiqueta que atribui.

Execute o planeador ou agende uma sessão de design antes de alterar a configuração do switch.

---

O Purple Access pode mapear redes abertas, seguras e de xPSK para atribuições de VLAN baseadas em identidade nos pontos de acesso existentes, com revogação e registo de auditoria. Utilize o planeador do Purple Access para mapear os seus grupos de dispositivos atuais e, em seguida, valide as regras de acessibilidade antes da implementação.