VLAN de gestión

[esotelo86]

Buenos días estimados;

Actualmente estamos tratando de implementar una vlan de gestión para aislar el trafico de administración con el trafico de datos sin embargo no tengo muy claro cuales son los objetivos adicionales que me puede ofrecer el implementar este tipo de soluciones, por favor si me ayudan a entender que otros beneficios me puede brindar.

[Diana Karolina Rojas]

Buenas noches estimado,

La principal razón para tener una vlan de administración es Seguridad, con esto puedes controlar qué redes o IPs pueden acceder a los dispositivos de red, todo con el fin de qué usuarios no deseados logren ingresar y generar una violación en la red, caída de servicios o logren ver información confidencial creando alguna especie de sniffer en los equipos.

***Por favor no olvides calificar las respuestas útiles, tu calificación promueve nuestra participación.***

Saludos,

[Julio E. Moisa]

Buenas noches

Como menciona Diana, la VLAN de administracion como su palabra lo indica es utilizada para administrar el switch de manera remota, a traves de telnet y ssh. 

Tambien puede ser utilizado para ser el origen de la comunicacion con servicios de SNMP cuando estas monitoreando los dispositivos.

Adicional la VLAN de administracion, puede ser cualquier VLAN ID, y tambien debe ser utilizada unicamente para ese tipo de role, no para asignar a usuarios, adicional tambien puede ser utilizada para VLAN Nativa entre puertos troncales, aunque lo ideal es que la VLAN nativa sea distinta.

Espero esto sea útil.

Saludos. 

[Paxeco]

Parece que hoy en día, es casi mas que una opción una obligación, segmentar y eliminar configuraciones por defecto para eliminar posibles vectores de ataque.

A good security practice is to separate management and user data traffic. The management VLAN, which is VLAN 1 by default, should be changed to a separate, distinct VLAN. To communicate remotely with a Cisco switch for management purposes, the switch must have an IP address configured on the management VLAN. Users in other VLANs would not be able to establish remote access sessions to the switch unless they were routed into the management VLAN, providing an additional layer of security. Also, the switch should be configured to accept only encrypted SSH sessions for remote management.

Management plane: The management plane of operation is used to manage a
router or a switch. This management involves, for example, accessing and configuring
a device.
>>> ACCESO POR CONSOLA
>>> ACCESO POR TELNET
>>> ACCESO POR SSH
>>> ACCESO POR HTTP
>>> ACCESO POR HTTPS
>>> ACCESO SNMP

Control plane: The control plane of operation encompasses protocols used between
routers and switches. These protocols include, for example, routing protocols and
Spanning Tree Protocol (STP).

Data plane: The data plane is the plane of operation in charge of forwarding data
through a router or switch.

Viendo las posibilidades de un atacante lo mejor sería dificultar al máximo la posible ejecución de acciones no legítimas.

https://www.stigviewer.com/stig/layer_2_switch_-_cisco/2018-03-02/

https://www.sans.org/reading-room/whitepapers/networkdevs/virtual-lan-security-weaknesses-countermeasures-1090

Espero te sirva de algo la aportación.

[Daniel Ordóñez Flores]

Hola @esotelo86 

El objetivo se llama seguridad, en muchas implementaciones de red es común que el segmento de administración de los equipos este aislado del resto de los usuarios, debes de evitar que usuarios de la red pudieran llegar a tener acceso a los equipos. A través de por ejemplo ACLs puedes prohibir o permitir el acceso a esos equipos. Si tu eres el administrador de la red, no querras que alguien más pudierá llegar a tener acceso a los equipos.

Espero que la información haya sido útil y si no tienes más preguntas recuerda cerrar el topic, seleccionando la respuesta como "Respuesta correcta"

**Please rate the answer if this information was useful***

**Por favor si la información fue util marca esta respuesta como correcta**

[Hilda Arteaga]

hola @Diana Karolina Rojas @Julio E. Moisa @Paxeco y @Daniel Ordóñez Flores , gracias a todos por buscar asistir a @esotelo86 con su duda