Zaawansowana segmentacja sieci na przełącznikach Cisco: VLAN, VRF, 802.1X i TrustSec

Strefy i rola zapory

Zaczynamy od podziału na kilka stref o różnym poziomie zaufania. Typowy zestaw w urzędzie albo firmie to strefa zarządzania, serwery, użytkownicy, drukarki, sala szkoleniowa i goście. Przykładowy podział z naszego projektu pokazujemy na stronie Zabezpieczenie sieci.

Najważniejsza decyzja projektowa: ruch między strefami przechodzi przez zaporę. Tylko tam da się egzekwować polityki, zapisywać, kto z kim się łączy, i używać inspekcji bezpieczeństwa. Cisco w swoim przewodniku po architekturze Zero Trust też wskazuje zaporę jako typowy punkt egzekwowania zasad między strefami. Przełączniki dbają o to, żeby urządzenie trafiło do właściwej strefy i nie mogło się pod nikogo podszyć.

W mniejszych sieciach bramą dla każdej strefy jest od razu zapora, a przełączniki pracują tylko w warstwie 2. W większych sieciach z rdzeniem L3, gdzie część ruchu wewnątrz strefy chcemy routować lokalnie, przydaje się VRF.

VRF-lite: rdzeń nie połączy stref za plecami zapory

Klasyczny błąd w sieciach z przełącznikiem L3 w rdzeniu: interfejsy VLAN wszystkich stref są na jednym przełączniku, który routuje między nimi bezpośrednio. Zapora widzi wtedy tylko ruch do Internetu, a granice stref istnieją jedynie na papierze albo w listach ACL, których nikt nie utrzymuje.

VRF-lite dzieli przełącznik na kilka niezależnych tablic routingu. Każda strefa dostaje własny VRF, a jedyną drogą wyjścia z niego jest trasa domyślna do zapory. Przełącznik fizycznie nie ma trasy do innej strefy, więc nie może ominąć zapory nawet przez pomyłkę w konfiguracji.

ip routing
!
vrf definition UZYTKOWNICY
 rd 65000:20
 address-family ipv4
 exit-address-family
!
interface Vlan20
 description Uzytkownicy
 vrf forwarding UZYTKOWNICY
 ip address 10.20.0.1 255.255.255.0
!
! VLAN tranzytowy do zapory w tym samym VRF
interface Vlan920
 vrf forwarding UZYTKOWNICY
 ip address 10.255.20.2 255.255.255.252
!
! jedyna droga ze strefy prowadzi przez zaporę
ip route vrf UZYTKOWNICY 0.0.0.0 0.0.0.0 10.255.20.1
!
show ip route vrf UZYTKOWNICY

Interfejs warstwy 3 może należeć tylko do jednego VRF, a wszystkie VRF-y korzystają ze wspólnej pamięci TCAM przełącznika. Po stronie zapory każdy VLAN tranzytowy to osobny interfejs ze strefą i politykami.

Ochrona warstwy 2

Sam podział na VLAN-y nie chroni przed atakami wewnątrz strefy: fałszywym serwerem DHCP, podszywaniem się pod bramę (ARP spoofing) czy cudzym adresem IP. Przełączniki Catalyst mają na to trzy mechanizmy, które działają razem:

• DHCP snooping przepuszcza odpowiedzi DHCP tylko z zaufanych portów (łączy w stronę serwera DHCP albo zapory) i buduje tablicę: port, adres MAC, adres IP.
• Dynamic ARP Inspection sprawdza pakiety ARP z tą tablicą i odrzuca te, które podszywają się pod inne urządzenie.
• IP Source Guard pozwala wysyłać ruch z portu tylko z adresu przydzielonego temu portowi.

ip dhcp snooping vlan 20,30
ip dhcp snooping
ip arp inspection vlan 20,30
ip arp inspection validate src-mac dst-mac ip
!
interface TenGigabitEthernet1/1/1
 description Uplink do zapory
 ip dhcp snooping trust
 ip arp inspection trust
!
interface range GigabitEthernet1/0/1-48
 ip dhcp snooping limit rate 10
 ip verify source
 storm-control broadcast level 1.00
 storm-control action trap

Kilka pułapek z praktyki. Dynamic ARP Inspection domyślnie dopuszcza 15 pakietów ARP na sekundę na porcie niezaufanym, a po przekroczeniu limitu wyłącza port (err-disable), więc uplinki muszą być zaufane. IP Source Guard wymaga włączonego DHCP snooping w danym VLAN-ie, a urządzenia ze stałymi adresami (drukarki, kamery) potrzebują statycznych powiązań albo rezerwacji DHCP. Na IOS XE włączenie DHCP snooping automatycznie uruchamia śledzenie urządzeń (SISF), z którego korzysta też 802.1X.

Prywatne VLAN-y: izolacja wewnątrz strefy

W strefie gości, drukarek czy kamer urządzenia nie mają powodu rozmawiać ze sobą nawzajem, tylko z bramą. Prywatne VLAN-y (PVLAN) to wymuszają: porty w VLAN-ie izolowanym widzą tylko port promiscuous, zwykle łącze do zapory, a nie siebie nawzajem, mimo że są w tej samej podsieci.

vtp mode transparent
!
vlan 501
 private-vlan isolated
vlan 40
 private-vlan primary
 private-vlan association 501
!
interface GigabitEthernet1/0/22
 description Drukarka
 switchport mode private-vlan host
 switchport private-vlan host-association 40 501
!
interface GigabitEthernet1/0/48
 description Zapora
 switchport mode private-vlan promiscuous
 switchport private-vlan mapping 40 add 501

Ograniczenia według dokumentacji Cisco: interfejs VLAN tylko dla VLAN-u głównego, porty PVLAN nie mogą należeć do EtherChannel, a na portach hostów nie łączy się 802.1X z port security, VLAN-em głosowym ani listami ACL per użytkownik. Na starszych Catalyst 2960-X obsługa PVLAN zależy od wersji oprogramowania.

802.1X i MAB: strefa zależy od tożsamości, nie od gniazdka

Bez uwierzytelniania strefę wyznacza gniazdko: kto podłączy laptopa do portu w sali konferencyjnej, trafia do sieci użytkowników. Z 802.1X przełącznik pyta serwer RADIUS (najczęściej Cisco ISE), kto się podłącza, i dopiero na tej podstawie przydziela VLAN, listę ACL albo grupę. Komputery uwierzytelniają się certyfikatem, a urządzenia bez obsługi 802.1X, takie jak drukarki czy telefony, adresem MAC (MAB), najlepiej wspartym profilowaniem w ISE.

aaa new-model
radius server ISE1
 address ipv4 10.99.0.10 auth-port 1812 acct-port 1813
 key TajnyKlucz
aaa group server radius ISE
 server name ISE1
aaa authentication dot1x default group ISE
aaa authorization network default group ISE
aaa server radius dynamic-author
 client 10.99.0.10 server-key TajnyKlucz
radius-server vsa send authentication
dot1x system-auth-control
!
interface GigabitEthernet1/0/10
 switchport mode access
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 mab
 dot1x pae authenticator

Przykład używa klasycznej składni. Nowszy model IBNS 2.0 opisuje zachowanie portu politykami (policy-map type control subscriber). Polecenie authentication display new-style pokazuje, jak wyglądałaby konfiguracja po konwersji, a authentication convert-to new-style konwertuje ją na stałe i nie da się tego cofnąć. Porty RADIUS warto podać jawnie, bo dokumentacja IOS XE w różnych miejscach podaje różne wartości domyślne.

Licencje ISE: poziom Essentials obejmuje 802.1X, MAB, uwierzytelnianie przez stronę WWW i obsługę gości. Profilowanie urządzeń i TrustSec wymagają poziomu Advantage, a licencję Advantage zużywa każde urządzenie, któremu ISE nada grupę SGT.

TrustSec: segmentacja wewnątrz strefy

VLAN-y i VRF-y dzielą sieć według adresów. TrustSec dzieli ją według grup: ISE przy uwierzytelnieniu nadaje urządzeniu znacznik grupy (SGT), na przykład „Księgowość” albo „Kamery”, a przełącznik egzekwuje zasady między grupami listami SGACL. Dzięki temu w jednej strefie użytkowników da się zabronić komputerom działu kadr połączeń z serwerem, z którego korzysta tylko księgowość, bez dzielenia podsieci.

! egzekwowanie zasad dla ruchu routowanego i w wybranych VLAN-ach
cts role-based enforcement
cts role-based enforcement vlan-list 20,30
!
! przykład: grupa 20 może łączyć się z grupą 50 tylko po HTTPS
ip access-list role-based TYLKO_HTTPS
 10 permit tcp dst eq 443
cts role-based permissions from 20 to 50 TYLKO_HTTPS

W praktyce macierz zasad między grupami utrzymuje się centralnie w ISE, a przełączniki ją pobierają. Urządzenia, które nie potrafią przenosić znaczników w ramkach, wymieniają przypisania adresów do grup protokołem SXP. Catalyst 2960-X obsługuje tylko SXP, więc zasady egzekwuje się na przełączniku wyżej. TrustSec ma sens w większych sieciach z ISE. W mniejszych zwykle wystarczają strefy, zapora i prywatne VLAN-y.

Strefa zarządzania i dostęp do przełączników

Segmentacja na nic się nie zda, jeśli każdy komputer w sieci może zalogować się do przełącznika. Interfejsy zarządzające przełączników, zapór, macierzy i serwerów trafiają do osobnej strefy, dostępnej tylko ze stanowisk administratorów. Na samym przełączniku ograniczamy dostęp do SSH:

ip access-list standard ADMINI
 10 permit 10.99.10.0 0.0.0.255
!
line vty 0 15
 access-class ADMINI in vrf-also
 transport input ssh
 exec-timeout 10 0
!
ip ssh version 2
no ip http server
no ip http secure-server

Bez vrf-also połączenia przychodzące z VRF (na przykład z osobnego VRF zarządzania) zostaną odrzucone. Bez ip ssh version 2 IOS XE akceptuje także przestarzały SSH w wersji 1. W wersji IOS XE 26.1.1 Cisco domyślnie blokuje niebezpieczne polecenia konfiguracyjne, a wcześniejsze wersje od 17.18.2 ostrzegają o nich (show system insecure configuration).

Wdrożenie bez przestoju

Segmentację działającej sieci wdrażamy etapami, tak żeby żaden dzień pracy nie zaczął się od braku dostępu do systemów:

1. InwentaryzacjaUrządzenia i przepływy: tablice MAC i ARP, sąsiedzi CDP i LLDP, logi zapory. Wychodzą przy tym urządzenia, o których nikt nie pamiętał, i połączenia, których nikt by się nie spodziewał.
2. ProjektStrefy, adresacja, VRF-y, macierz dozwolonych połączeń między strefami i plan przenoszenia urządzeń.
3. Reguły w trybie obserwacjiNowe polityki na zaporze najpierw zezwalają i zapisują ruch. Po kilku dniach widać, co jest potrzebne, i reguły zawężamy na podstawie danych.
4. Przenoszenie strefVLAN po VLAN-ie, w oknach serwisowych, z gotowym planem powrotu.
5. 802.1X etapamiNajpierw tryb monitorowania, w którym nikt nie traci dostępu, a my widzimy wyniki uwierzytelnienia. Potem tryb ograniczony i na końcu zamknięty.
6. Dokumentacja i przeglądSchemat stref, macierz połączeń i konfiguracje w repozytorium, a reguły przeglądane co kwartał.

To też dobry moment na przegląd sprzętu. Catalyst 2960-X i 2960-XR mają wsparcie do 31 października 2027 r., a miedziane modele Catalyst 3850 straciły je 31 października 2025 r. Cisco wskazuje jako następców odpowiednio Catalyst 9200L i Catalyst 9300. Dla rodziny Catalyst 9000 Cisco zalecało we wrześniu 2026 r. wersje IOS XE 17.18.4 i 17.15.6.

• Lista stref z opisem, co do nich należy i jaka jest domyślna zasada.
• Ruch między strefami tylko przez zaporę, bez routowania między nimi na przełącznikach.
• DHCP snooping, Dynamic ARP Inspection i IP Source Guard w strefach użytkowników.
• Prywatne VLAN-y dla gości, drukarek i kamer.
• Dostęp do zarządzania urządzeniami tylko ze strefy administratorów, przez SSH w wersji 2.
• Plan wymiany przełączników bez wsparcia producenta.
• Licencje przełączników i ISE sprawdzone przed projektem.

Najczęstsze pytania

Źródła

• Cisco Catalyst 9300: konfiguracja VRF-lite
• Cisco Catalyst 9300: prywatne VLAN-y
• Cisco Catalyst 9300: Dynamic ARP Inspection
• Cisco Catalyst 9300: uwierzytelnianie 802.1X
• Cisco Catalyst 9300: zasady SGACL (TrustSec)
• Cisco ISE: przewodnik po licencjach
• Cisco Catalyst 9300: karta katalogowa (licencje)
• Cisco: koniec sprzedaży i wsparcia Catalyst 2960-X
• Cisco: zalecane wersje IOS XE dla Catalyst 9000
• Cisco: przewodnik po architekturze Zero Trust

Stan na 6 listopada 2026 r. Przykłady konfiguracji są uproszczone; adresy, numery VLAN-ów i nazwy trzeba dopasować do własnej sieci, a składnię sprawdzić dla posiadanej wersji oprogramowania.