Inter Zone VLAN

最新推荐文章于 2024-11-10 15:23:27 发布

Gerry.Bao

最新推荐文章于 2024-11-10 15:23:27 发布

阅读量229

点赞数 1

文章标签：网络

本文链接：https://blog.csdn.net/weixin_58458700/article/details/130483959

版权

InterZoneVLAN是一种VLAN部署模式，用于在不同安全区之间实现隔离和保护。它将每个VLAN划分为独立的防火墙区域，并通过设定访问策略控制不同区域间的流量。在企业网络中，这种技术常用于DMZ、内部和外部网络的安全分区，确保信息网络安全并允许按需定制网络访问规则。

摘要由CSDN通过智能技术生成

Inter Zone VLAN

1.1. 什么是Inter Zone VLAN/Inter Zone VLAN的应用场景

Inter Zone VLAN是一种VLAN部署模式，用于实现不同安全区之间的隔离和保护。在这种模式下，每个VLAN都被划分到一个特定的安全区域，不同安全区之间的流量需要通过安全设备或控制策略进行管理和限制。
Inter Zone VLAN通常用于企业网络中，用于实现安全分区。企业网络分为不同的安全区域，例如DMZ、内部网络、外部网络等，每个安全区域都对应着一个特定VLAN。不同的安全区域之间必须通过安全策略进行管理和限制，以确保网络安全和保密。
Inter Zone VLAN使不同的部门、用户组和应用程序能够在不干扰其他部门、用户组和应用程序的情况下独立使用网络资源。在Inter Zone VLAN中，管理员可以根据应用程序和信息安全的需求，定义特定的网络访问策略，在不同的安全区之间限制流量，并根据需要进行审计和监视。
总之，Inter Zone VLAN是一种用于实现安全分区、隔离和保护的VLAN部署模式，可以对企业的信息安全提供重要支持。

1.2. Inter Zone VLAN的原理

Inter Zone VLAN是将每一个VLAN划分成一个独立的域(Firewall Zone)，每一个域由自己域的安全访问策略进行管理和限制，安全访问策略为可以限制该域对其他指定域的Forward行为(Allow / block Forwarding)，在当前模式下，我们应该有一个默认的行为去作为该域默认的Forward行为。
在这里插入图片描述

如图所示，每一个VLAN都被划分成一个独立的Firewall Zone，我们可以设置该Zone 对于其他Zone的forwarding策略。

1.3. 使用Inter Zone VLAN

在一款支持Inter Zone VLAN的设备上实现Inter Zone VLAN需要进行以下方面的设置：划分不同的VLAN >>将VLAN划分不同的安全区域 >>设置不同的域间访问策略。

1.3.1. 划分不同的VLAN

在这里插入图片描述

在图中的设备上，已经创建了三个VLAN：

lan | IP 192.168.1.1/24
lan2 | IP 192.168.2.1/24
lan3 | IP 192.168.3.1/24
默认情况下，添加的VLAN都在一个域(lan Zone)中.

lan Zone的Forward的默认行为是Accept,所以可以从VLAN1 Ping通VLAN2.
在这里插入图片描述

将lan Zone的Forward行为更改为Reject：
在这里插入图片描述

Lan Zone内的所有VLAN就不能互相转发，在VLAN1上也无法Ping通VLAN2：
在这里插入图片描述

1.3.2. 将VLAN划分到不同的安全区域

在firewall 中，为每一个VLAN添加新的Zone。
在这里插入图片描述

为每一个VLAN添加一个域后，应该为下图所示：
在这里插入图片描述

这样就将每个VLAN划分到独立的安全区域。

1.3.3. 设置不同的域间访问策略

将每个VLAN划分独立安全区域后，每个Zone设置的Forward还是Reject，所以所有Zone之间是没有路由转发的。如果需要VLAN之间有路由转发，需要为不同的域设置自己的访问策略。
如果我们只希望VLAN1和VLAN2通信，则在firewall Zone中应该如下设置：
在firewall zone中选择VLAN1：
在这里插入图片描述

将lan1 zone设置为：
在这里插入图片描述

这样VLAN1就可以和VLAN2进行通信：
在这里插入图片描述

lan1 Zone和lan3 Zone没有设置Zone forward：

在这里插入图片描述

如果我们希望VLAN1->VLAN3 VLAN1->VLAN2通讯，那么可以将Zone设置为:

在这里插入图片描述

OpenWrt实验论证
设备：XXXXXX
版本：XXXXXX
我们添加三个VLAN：

在这里插入图片描述
默认情况下三个VLAN应该属于同一个域，
当前域的Forward的行为为ACCEPT，所以可以从VLAN1 Ping VLAN2.

按照步骤我们将VLAN1/VLAN2/VLAN3/VLAN4 分成独立的域
在这里插入图片描述

每个域的Forward行为为REJECT，所以无法从VLAN1 ping VLAN2：
在这里插入图片描述

我们将更改VLAN1和VLAN2的区域策略，添加VLAN1->VLAN2 VLAN2->VLAN1的Forward策略：
在这里插入图片描述

VLAN1 ping VLAN2 ：
在这里插入图片描述

VLAN1 ping VLAN3 ：
在这里插入图片描述

只添加VLAN1->VLAN2的forward规则：

在这里插入图片描述

VLAN1可以ping 通VLAN2：

在这里插入图片描述

VLAN2不能ping 通VLAN1

如果如下配置：

在这里插入图片描述

那么:
VLAN1 <–> VLAN2
VLAN2<->VLAN3

参考资料:
1.Firewall configuration [Old OpenWrt Wiki]
2.VLAN Inter-Zone accessibility control configuration example - Teltonika Networks Wiki (teltonika-networks.com)