VLAN (Virtual LAN) – Khái niệm và vai trò bảo mật
VLAN cho phép phân chia một mạng LAN vật lý thành nhiều miền phát sóng (broadcast domain) logic riêng biệt. Thiết bị trong VLAN này không trực tiếp giao tiếp Layer 2 với thiết bị trong VLAN khác – phải qua Router/Layer 3 Switch (Inter-VLAN Routing).
Cơ chế tăng cường bảo mật
- Cô lập lỗi & giới hạn bề mặt tấn công: Nếu một máy tính trong VLAN "Marketing" bị nhiễm mã độc, nó không thể quét hoặc tấn công Layer 2 sang VLAN "Server" hay "Accounting". Kẻ tấn công phải vượt qua router/firewall giữa các VLAN – nơi áp dụng ACL, IPS, Zero Trust.
- Triển khai chính sách theo nhóm nghiệp vụ: Mỗi phòng ban (HR, Finance, IT, Guest, IoT, OT) có VLAN riêng → áp dụng quy tắc firewall, QoS, NAC phù hợp rủi ro riêng.
- Giảm tải broadcast storm: Giới hạn phạm vi broadcast (ARP, DHCP, STP) trong từng VLAN → tăng hiệu năng, giảm rủi ro DoS nội bộ.
- Hỗ trợ tuân thủ (Compliance): PCI-DSS yêu cầu tách môi trường Cardholder Data Environment (CDE) – VLAN là công cụ tự nhiên.
VLAN so với LAN truyền thống
| Tiêu chí | LAN vật lý riêng | VLAN |
|---|---|---|
| Chi phí cáp/switch | Cao (cáp riêng, switch riêng) | Thấp (chia sẻ hạ tầng) |
| Linh hoạt | Thấp (di chuyển cáp) | Cao (cấu hình port/trunk) |
| Bảo mật Layer 2 | Cách ly vật lý tuyệt đối | Cách ly logic (cần cấu hình đúng) |
| Quản trị | Phức tạp | Tập trung, tự động hóa (VTP, GVRP, NetBox/Ansible) |
Phân đoạn mạng (Network Segmentation) với VLAN
- Mỗi VLAN = một subnet IP riêng (ví dụ: VLAN 10: 10.10.10.0/24 – User; VLAN 20: 10.10.20.0/24 – Server).
- Inter-VLAN Routing: SVI trên Layer 3 Switch hoặc Router-on-a-stick.
- ACL trên SVI/Router: chỉ cho phép traffic cần thiết (ví dụ: User → Server port 443/80, chặn Server → User).
- Micro-segmentation tiến một bước xa hơn: chính sách trên từng workload (VM, container) dùng NSX, Calico, Cilium – vượt khỏi ranh giới VLAN.
Rủi ro và tấn công VLAN
- VLAN Hopping: Double Tagging (gửi frame 2 tag VLAN) hoặc Switch Spoofing (giả lập trunk port). Phòng chống:
switchport mode accesstrên access port,switchport nonegotiate, native VLAN không dùng VLAN 1, tắt DTP. - MAC Flooding: Làm tràn CAM table → switch chuyển thành hub → sniff traffic các VLAN khác. Phòng chống: Port Security (sticky MAC, limit count, violation restrict/shutdown).
- ARP Spoofing / DHCP Snooping bypass: Cần bật Dynamic ARP Inspection (DAI), DHCP Snooping, IP Source Guard trên access port.
Best Practice bảo mật VLAN
- Tắt port không dùng, gán vào VLAN "Parking Lot" (VLAN 999, blackhole).
- Access port:
switchport mode access,switchport access vlan <id>,spanning-tree portfast,bpduguard enable. - Trunk port: Chỉ allow VLAN cần thiết (
switchport trunk allowed vlan 10,20,30), đổi native VLAN không dùng (switchport trunk native vlan 999). - VLAN 1: Không dùng cho dữ liệu, chỉ management (nếu cần).
- Management VLAN riêng, Out-of-Band Management (OOB) nếu có thể.
- Tài liệu hóa: NetBox, Nautobot, hoặc sơ đồ Visio cập nhật liên tục.
Kết luận
VLAN là công cụ cần thiết nhưng không đủ cho bảo mật mạng. Nó cung cấp ranh giới logic để triển khai chính sách (firewall, ACL, NAC, monitoring). Kết hợp với Zero Trust, micro-segmentation, và vệ sinh mạng (hardening switch) mới đạt hiệu quả tối đa.