جداسازی مرز اعتماد در لایه‌های پیوند داده و شبکه
مسئله
دستگاه‌های مختلف دارای محدوده آدرس IP مشابه هستند یا به سوییچ مشابه متصلند. جداسازی ترافیک شان برای جلوگیری از همپوشانی مزز قابل اعتماد بین آنها، تبدیل به یک اولویت شده است.
این مشکل را می‌توان از زوایای مختلف در محیط‌های مجازی و فیزیکی توصیف کرد. گرچه تمام طبقه بندی‌های مختلف دارای یک هدف روشن: مرز‌های قابل اعتماد مشترک هستند. مشکل به کمک دو مثال مختلف- مشکل در محیط فیزیکی و مشکل در محیط مجازی، توضیح داده می‌شود.
محیط فیزیکی- ارائه دهنده ابر به یک مصرفکننده ابری با شعبه‌ها و بخش‌های مختلف، خدمات ارائه می‌دهد. هر بخش، از یک یا چند سرور اختصاص داده شده به واحد کسب و کارشان استفاده می‌کنند؛ براساس طراحی، ارائه دهنده ابر، سرور‌ها را به سوییچ یکسان متصل می‌کند. با اینکه سرور‌ها در سوییچ‌های یکسان هستند و محدوده آدرس IP یکسانی به آنها اختصاص داده شده است، مصرفکننده ابر تقاضای جداسازی کامل ترافیک بین سرور‌هایی که به واحد‌های کسب و کار مختلف سرویس می‌دهند، دارد.
محیط مجازی- ارائه دهنده سرویس، سرویس پلت‌فرم به عنوان سرویس را به مشتری ابر A و B برای توسعه برنامه کاربردی ارائه می‌دهد. مشتری و سرویس دهنده هر کدام از پایگاه داده مختلفی که روی یک سرور پایگاه داده مشترک، استفاده می‌کنند. برای بهبود عملکرد و زمان پاسخ، ارائه دهنده سرویس از محدوده IP یکسان برای سرورهای پایگاه داده و سرورهای برنامه کاربردی استفاده می‌کند تا از مسیریابی و فیلتر شدن جلوگیری کند و موجب لایه ی سوم مرز قابل اطمینان می‌شود. مرز‌های قابل اطمینان روی لایه دوم و سوم، به یک مهاجم فرصت حمله به لایه 2و3 را می‌دهد که چندین مشتری را تحت تأثیر قرار می‌دهد. همان طور که در شکل نشان داده شده است، تمام سرور‌ها به یک سوییچ فیزیکی یا مجازی متصل هستند، در نتیجه، آنها می‌توانند ترافیک ارسالی به سرورهای دیگر را ازطریق اجرای برنامه‌های جاسوسی[۱] بدست بیاورند.
راه‌حل
ایجاد VLAN[۲]های کمکی (VLAN خصوصی هم نامیده می‌شوند) برای جداسازی ترافیک روش ایده آلی برای رسیدن به هدف است (یک LAN یا شبکه محلی، شبکه‌ای شامل یکسری دستگاه‌هایی است که اگر پیامی از یک دستگاه یا وسیله‌ای که به این شبکه متصل است ارسال شود، تمام دستگاه‌های عضو شبکه، آن را دریافت می‌کنند. شبکه‌های محلی مجازی، یعنی LAN هایی که به صورت مجازی پیاده‌سازی می‌شوند. در واقع در VLAN، یک LAN بزرگ با یک محدوده پوششی به همان اندازه بزرگ را به VLAN های کوچکتر با محدوده پوششی کوچکتر تقسیم می‌شود و در حقیقت این عمل باعث صرفه جویی در پهنای باند، امنیت بیشتر، جلوگیری از صرف هزینه زیادی برای خریدن سوییچ و برخوداری از یک طراحی منعطف برای شبکه می‌شود.) VLANهای خصوصی در حالی که امنیت را بهبود می‌بخشند، می‌توانند ترافیک و مرز‌های امن را جداسازی کنند. VLAN های خصوصی، قسمت‌هایی از مرز‌های محلی هستند که اجازه ی بخش کردن VLAN به دو یا چند بخش جدا یا متصل به هم را می‌دهد. این بخش بندی براساس پورت انجام می‌شود. برای مثال، پورت A، می‌تواند یک بخشی از VLAN خصوصی A باشد و پورت B، می‌تواند یک بخشی از VLAN خصوصی B باشد.
کاربرد
با توجه به مدل طراحی، VLAN های کمکی هم روی سوییچ فیزیکی یا مجازی تنظیمات خواهند شد. این تنظیمات به جداسازی ترافیک در لایه دو مدل OSI کمک می‌کند. در نتیجه، از اشتراک مرز و تجاوز لایه دو هم جلوگیری می‌شود. (مدل [۳]OSI یک مدل مرجع برای شبکه‌ها می‌باشد که در سال 1980 طراحی گردیده است. این مدل بر اساس لایه بندی قراردادهای برقراری ارتباط که همزمان روی دو سیستم مرتبط اجرا شدهاند پایه ریزی شده است که این امر موجب افزایش سرعت و دقت ارتباط می‌شود و این قراردادها بصورت طبقه طبقه در هفت لایه تنظیم شدهاند که در شکل نشان داده شده است.)
از مکانیزم VLAN خصوصی، برای حل هر دو مشکل محیط فیزیکی و مجازی استفاده می‌شود. مدل‌های مختلف VLAN خصوصی عبارتند از: VLAN خصوصی جدا[۴]، VLAN خصوصی ارتباطی[۵] و VLAN خصوصی بی قاعده[۶] است.
VLAN خصوصی جدا- یک پورت جدا، به غیر از پورت‌های بی قاعده در دامنه VLAN خصوصی، با پورت‌های دیگر نمی‌تواند تبادل اطلاعات کند.
VLAN خصوصی ارتباطی- دستگاه‌ها یی که به پورت‌های ارتباطی یکسانی متصل هستند، می‌توانند با یکدیگر و یا دستگاه‌هایی که به پورت‌های بی قاعده متصل هستند، ارتباط برقرار کنند، اما با دستگاه‌هایی که به پورت‌های جدا یا پورت‌های ارتباطی دیگر متصل هستند، نمی‌توانند ارتباط برقرار کنند.
VLAN خصوصی بی قاعده- دستگاه‌هایی که به این پورت‌ها متصل هستند، می‌توانند با دستگاه‌هایی با انواع دیگر پورت‌های VLAN خصوصی ارتباط برقرار کنند.
| جدا | ارتباط ۱ | ارتباط ۲ | بی‌قاعده | |
|---|---|---|---|---|
| جدا | عدم ارتباط | عدم ارتباط | عدم ارتباط | اجازهٔ ارتباط |
| ارتباط ۱ | عدم ارتباط | اجازهٔ ارتباط | عدم ارتباط | اجازهٔ ارتباط |
| ارتباط ۲ | عدم ارتباط | عدم ارتباط | اجازهٔ ارتباط | اجازهٔ ارتباط |
| بی‌قاعده | اجازهٔ ارتباط | اجازهٔ ارتباط | اجازهٔ ارتباط | اجازهٔ ارتباط |
راجع به مشکل در محیط فیزیکی قبل از استفاده از الگو، مطابق شکل، همه سرور‌ها می‌توانند با یکدیگر ارتباط برقرار کنند. تنها این مسئله باعث اشتراک مرز قابل اطمینان نمی‌شود، اما فرصت خوبی برای متجاوزان علاقه مند ایجاد می‌کند که به کمک یک ترافیک مشترک بین لایه دو و سه، می‌توانند حمله کنند. از آنجایی که سرورهای مصرفکننده ابر از محدوده IP یکسانی استفاده می‌کند، باید در یک زیرشبکه باشند. بنابراین، باید عضو یک VLAN باشند. بنابراین، VLAN بهتر است در لایه فیزیکی، تنظیمات شود. که اجازه می‌دهد، ترافیک سرورهای مصرفکننده ابر، از ترافیک دیگر مصرفکننده‌های ابر یا سرورهای دیگر در زیرشبکه‌های مختلف جدا شود، اما همچنان با یکدیگر در ارتباط هستند.
در سوییچ فیزیکی، پورت‌های ارتباطی VLAN خصوصی باید مشخص شوند. سپس، سرورهای هر واحد کسب و کار باید در یکی از VLAN های ارتباطی قرار داده شوند. گرچه آنها قسمتی از یک VLAN اصلی هستند و دارای محدوده IP یکسانی هستند، ولی چون متعلق به دو VLAN خصوصی مختلف هستند، برقراری ارتباط بین این دو ممنوع است.
همان طور که در شکل نشان داده می‌شود، همه ی سرور‌ها به سوییچ متصل‌اند، و عضو یک VLAN هستند. سرورهای هر کسب و کار در یک بخشی از یک پورت ارتباطی VLAN خصوصی قرار داده شدهاند. بین سرور‌ها ی بسته‌های مختلف پورت‌های خصوصی ارتباطی، هیچ ارتباطی وجود ندارد. اما سرورهای داخل هر بسته پورت ارتباطی، می‌توانند با یکدیگر در ارتباط باشند. این روش همچنین برای جداسازی مرز‌های قابل اعتماد و ترافیک سرورهای مصرفکننده‌های ابری مختلف و سرویس‌ها، می‌تواند استفاده می‌شود. اگر سرور‌ها در VLAN خصوصی 1، متعلق به مصرفکننده ابر A، باشند و سرور‌ها در VLAN خصوصی 2، متعلق به مصرفکننده ابر B، باشند، این الگو مرز‌های قابل اعتماد بین دو مشتری مختلف را جدا می‌کند. راجع به مشکل در محیط مجازی، قبل از اینکه الگو به کار گرفته شود، تمام سرور‌ها می‌توانند با یکدیگر ارتباط برقرار کنند. سرورهای مصرفکننده‌های ابر از آدرس IP یکسانی برای سرور پایگاه داده استفاده می‌کنند؛ آنها نیاز دارند تا با سرورهای پایگاه داده ارتباط برقرار کنند اما نیازی به ارتباط با یکدیگر ندارند. همان طور که در شکل نشان داده شده است، هر سرور مصرفکننده ابر، در VLAN های خصوصی ارتباطی مختلفی قرار داده شده است، و سرور پایگاه داده در VLAN خصوصی بی قاعده قرار داده شده است.
حالا تمام سرورهای مصرفکننده قادر به ارتباط با سرور پایگاه داده هستند؛ همچنین می‌توانند با دیگر سرور‌هایی که با هم در یک گروه VLAN خصوصی- ارتباطی هستند ارتباط برقرار کنند، اما با سرور‌هایی که در VLAN خصوصی- ارتباطی دیگر هستند نمی‌توانند ارتباط برقرار کنند. در هر دو سناریوی فیزیکی و مجازی، VLAN های اولیه در سرورهای فیزیکی ابتدا باید مشخص و تنظیمات شوند، سپس VLAN های خصوصی یا کمکی در سوییچ‌های مجازی، ایجاد شوند.