VLAN (Virtual LAN) là gì?
VLAN cho phép phân chia một mạng LAN vật lý thành nhiều mạng LAN logic (broadcast domain) riêng biệt. Thiết bị trong VLAN khác nhau không thể giao tiếp trực tiếp ở Layer 2 - bắt buộc phải qua Router/Layer 3 Switch (Inter-VLAN Routing) với kiểm soát truy cập (ACL, Firewall).
Cách VLAN tăng cường bảo mật mạng
1. Phân đoạn mạng (Network Segmentation) - Cốt lõi
- Cách ly các nhóm: User, Server, Management, IoT, Guest, DMZ, Voice, OT/ICS.
- Áp dụng nguyên tắc Least Privilege: Chỉ cho phép traffic cần thiết giữa VLAN (qua ACL/Firewall).
- Ví dụ: VLAN IoT (camera, đèn) KHÔNG được truy cập VLAN Server/Database.
2. Giảm bề mặt tấn công (Reduce Attack Surface)
- Broadcast traffic (ARP, DHCP, mDNS, NetBIOS) bị giới hạn trong VLAN → Giảm thông tin rò rỉ cho attacker внутри VLAN.
- Chặn các tấn công Layer 2: ARP Spoofing/Poisoning, MAC Flooding, DHCP Starvation, VLAN Hopping (nếu cấu hình đúng).
3. Kiểm soát truy cập giữa các vùng (Inter-VLAN Access Control)
- Router/L3 Switch thực hiện Routing giữa VLAN.
- Áp dụng ACL (Access Control List) hoặc Firewall Policy trên giao diện L3 (SVI/Routed Port) để lọc traffic.
- Ví dụ: User VLAN (10) → Allow HTTP/HTTPS/DNS to Internet, Allow RDP/SSH to Mgmt VLAN (99), DENY ALL to Server VLAN (20) trừ port app cụ thể.
4. Hỗ trợ Zero Trust Architecture
- VLAN là bước đầu tiên của Micro-segmentation.
- Kết hợp với Identity-based Policy (Cisco ISE, Aruba ClearPass, FortiNAC, Microsoft NPS + 802.1X) → Gán VLAN động dựa trên user/device posture (Health check, Cert, MFA).
- Quarantine VLAN cho thiết bị không tuân thủ/đã compromise.
5. Bảo vệ Management Plane
- Dedicated Management VLAN (Out-of-Band) cho: Switch/Router/Firewall/Server Mgmt Interface (iDRAC, iLO, IPMI, Console Server).
- Chỉ cho phép truy cập từ Jump Host/Bastion Host cụ thể + MFA.
- Tách hoàn toàn khỏi Data Plane (User/Server traffic).
Ví dụ thiết kế VLAN cho Enterprise/SMB
| VLAN ID | Tên | Mục đích | ACL chính (Inter-VLAN) |
|---|---|---|---|
| 10 | USER_WIRED | PC/Laptop dây | Allow: Internet (HTTP/HTTPS/DNS), DC (LDAP/Kerberos/DNS), Print (IPP). Deny: Server, Mgmt, IoT. |
| 11 | USER_WIFI | Laptop/Phone Wi-Fi (802.1X) | Giống USER_WIRED. Bonus: Dynamic VLAN assignment per user/group. |
| 12 | GUEST_WIFI | Khách, BYOD | Allow: Internet ONLY (HTTP/HTTPS/DNS). Deny: ALL Internal (RFC1918). Captive Portal. |
| 20 | SERVER_APP | App Server, Web Server | Allow: User_VLAN (App Port), DB_VLAN (DB Port), Mgmt (SSH/HTTPS). Deny: Internet (trừ update repo), User direct. |
| 21 | SERVER_DB | Database Server | Allow: APP_VLAN (DB Port 1433/3306/5432). Deny: ALL ELSE (Internet, User, Mgmt - trừ backup). |
| 30 | IOT_CAMERA | Camera IP, NVR | Allow: NVR_VLAN, Mgmt (HTTPS/SSH). Deny: Internet, User, Server. No DHCP Server (rogue). |
| 31 | IOT_BUILDING | BMS, Access Control, Lighting | Allow: Mgmt, Controller. Deny: Internet, User, Server, Camera. |
| 99 | MGMT_OOB | Switch/Router/FW/Server Mgmt (iDRAC/iLO) | Allow: Jump Host/Bastion (SSH/HTTPS/Redfish). Deny: ALL ELSE. Out-of-Band physical port nếu có. |
| 999 | QUARANTINE | Thiết bị fail posture/NAC | Allow: Remediation Server (WSUS, AV Update, NAC Policy). Deny: ALL ELSE. |
Các lỗ hổng VLAN & Cách khắc phục (VLAN Security Best Practices)
| Lỗ hổng / Rủi ro | Mô tả | Khắc phục (Mitigation) |
|---|---|---|
| VLAN Hopping (Switch Spoofing) | Attacker giả làm Trunk port (DTP) → Nhận traffic tất cả VLAN. | switchport mode access trên TẤT CẢ access port. switchport nonegotiate trên trunk. Tắt DTP (no dtp). |
| VLAN Hopping (Double Tagging) | Attacker gắn 2 tag VLAN (Outer=Native VLAN, Inner=Target VLAN) → Switch bóc outer, forward inner. | Đổi Native VLAN trên Trunk khác VLAN 1 (vd: 999). Tag Native VLAN (vlan dot1q tag native). |
| Rogue DHCP Server | Thiết bị giả DHCP cấp IP sai gateway/DNS → MitM. | DHCP Snooping + ip dhcp snooping limit rate trên access port. Trust chỉ trên uplink/dhcp server port. |
| ARP Spoofing / Poisoning | Giả MAC/IP gateway → MitM trong VLAN. | Dynamic ARP Inspection (DAI) (cần DHCP Snooping binding table). Port Security. |
| MAC Flooding | Làm ngập MAC Table → Switch flood traffic → Sniff. | Port Security (limit MAC, violation restrict/shutdown, aging). |
| STP Manipulation | Gây Root Bridge change → Traffic redirect. | Root Guard (non-root port), BPDU Guard (access port), Loop Guard. |
| Private VLAN (PVLAN) Bypass | Promiscuous port config sai → Isolated port nói chuyện nhau. | Kiểm tra PVLAN mapping (Primary, Isolated, Community, Promiscuous). Chỉ Promiscuous (Gateway) mới nói được với Isolated. |
VLAN có an toàn tuyệt đối không?
KHÔNG. VLAN là cơ chế phân đoạn Layer 2, không phải tường lửa (Firewall).
- Traffic Inter-VLAN vẫn cần ACL/Firewall/IDS/IPS ở Layer 3/4/7 để kiểm soát nội dung.
- VLAN tag có thể bị spoof (Double Tagging) nếu Native VLAN config sai.
- Switch bị compromise (CLI exploit, default cred) → Bypass mọi VLAN.
- Cần kết hợp: VLAN + ACL/FW + 802.1X/NAC + Port Security + DAI + DHCP Snooping + Monitoring (NDR/NetFlow).
Kết luận
VLAN là công cụ thiết yếu, nền tảng cho Network Segmentation và Zero Trust. Nó giảm broadcast domain, cách ly nhóm thiết bị, cho phép áp dụng chính sách bảo mật khác nhau cho từng nhóm (qua ACL/FW tại L3). Tuy nhiên, VLAN KHÔNG tự bảo vệ nội dung traffic - phải kết hợp Firewall/ACL/IDS/IPS/NAC/Monitoring. Cấu hình đúng (Access mode, Native VLAN ≠ 1, Tag Native, Port Security, DHCP Snooping, DAI, BPDU Guard) là bắt buộc để VLAN thực sự an toàn.