Subnetting (Phân chia mạng con) & Bảo mật mạng
Subnetting chia một mạng lớn thành các mạng con (subnet) nhỏ hơn. Ngoài tối ưu hiệu năng, đây là cơ sở kỹ thuật của Network Segmentation (Phân đoạn mạng) - nguyên tắc cốt lõi của Zero Trust và Defense in Depth.
Cách Subnetting cải thiện bảo mật
1. Giảm bề mặt tấn công (Reduce Attack Surface)
- Mạng /24 (254 host) → chia thành 4 subnet /26 (62 host mỗi subnet)
- Kẻ tấn công compromise 1 host → chỉ scan/tấn công được 62 IP thay vì 254
- Broadcast domain nhỏ hơn → giảm tác động broadcast storm, ARP spoofing
2. Thực thi Least Privilege tại Layer 3
- Mỗi subnet = một Security Zone (DMZ, Server, User, Guest, IoT, OT, Management)
- Firewall/ACL giữa các subnet: Chỉ cho phép traffic cần thiết (Default Deny)
- Ví dụ: User subnet KHÔNG truy cập trực tiếp Database subnet → phải qua App subnet
3. Kiểm soát Lateral Movement (Di chuyển ngang)
- Kẻ tấn công vào 1 máy User VLAN → muốn tới Database
- Phải vượt qua: Firewall inter-VLAN → IDS/IPS → NAC → Privileged Access
- Mỗi subnet = một "chốt chặn" (choke point) để detect, block, alert
4. Quarantine & Containment (Cách ly & Kiềm chế)
- Subnet Quarantine cho thiết bị không tuân thủ (non-compliant, no agent, guest)
- Subnet Honeypot/Deception: Kéo kẻ tấn công vào môi trường giả
- Compromised host → chuyển vào Quarantine VLAN tự động (NAC + Firewall API)
5. Tuân thủ & Audit (Compliance)
- PCI-DSS Requirement 1.2.1: CARD DATA ENVIRONMENT (CDE) phải tách biệt subnet riêng
- NIST 800-53 SC-7: Boundary Protection - Subnet là boundary vật lý/logic
- Dễ dàng audit: "Database subnet chỉ có 3 server, rule firewall rõ ràng"
Thiết kế Subnet an toàn (Secure Subnet Design)
| Zone/Subnet | Mục đích | CIDR ví dụ | Kiểm soát truy cập |
|---|---|---|---|
| Management | Switch, Router, Firewall, Server mgmt (iDRAC, iLO) | 10.10.0.0/24 | Chỉ Jump Host/Bastion, MFA, Out-of-band |
| DMZ / Public | Web server, Mail gateway, VPN concentrator | 10.10.10.0/24 | Internet → DMZ (allow 80/443), DMZ → Internal (deny all) |
| Application | App server, API, Middleware | 10.10.20.0/24 | DMZ → App (allow specific port), App → DB (allow specific port) |
| Database | SQL, NoSQL, Data warehouse | 10.10.30.0/24 | Chỉ App subnet truy cập, No Internet, Audit mọi query |
| User / Corporate | Laptop, PC, Printer nhân viên | 10.10.100.0/22 | Internet (proxy), App subnet, No direct DB/DMZ |
| Guest / BYOD | Khách, thiết bị cá nhân | 10.10.200.0/24 | Chỉ Internet, Captive Portal, Rate limit, No internal access |
| IoT / OT | Camera, Sensor, PLC, HMI, Building Mgmt | 10.10.150.0/24 | No Internet, Chỉ Management/App điều khiển, No user access |
| Server / Compute | VM, Container, K8s Worker | 10.10.50.0/23 | Micro-segmentation (Calico/Cilium), East-West encryption |
Công cụ triển khai Subnet Security
- L3 Switch / Router: ACL, VRF, Policy-Based Routing
- Next-Gen Firewall: Palo Alto, FortiGate, Check Point - Zone-based policy, App-ID, User-ID
- SDN/Overlay: VMware NSX, Cisco ACI, Calico, Cilium, Antrea - Micro-segmentation tại vNIC
- NAC: Cisco ISE, Aruba ClearPass, FortiNAC, Portnox - Dynamic VLAN assignment
- Cloud: AWS Security Group + NACL, Azure NSG + ASG, GCP Firewall + VPC Service Controls
Lỗi thường gặp khi dùng Subnet cho Security
- Subnet quá lớn (/16, /20) → không có segmentation thực sự
- Chỉ chia subnet, KHÔNG có firewall/ACL giữa các subnet → "Flat network trong vỏ bọc"
- Management plane chung data plane (cùng subnet) → compromise server = compromise switch
- Không document IP schema, không có IPAM (NetBox, Infoblox, BlueCat)
- Overlapping IP giữa on-prem và cloud → VPN conflict
Kết luận
Subnetting là kỹ thuật nền tảng cho Network Segmentation. Mặc dù chính nó không chặn tấn công, nhưng nó tạo ra ranh giới logic để triển khai Firewall, ACL, NAC, Zero Trust, Micro-segmentation. Không có subnet setting đúng → không thể làm Zero Trust được.