Segmentacja sieci LAN oraz wdrożenie architektury VLAN w oparciu o przełączniki HPE Aruba dla przedsiębiorstwa produkcyjnego
Projekt zrealizowany przez zespół inżynierów Lizard dla klienta z sektora produkcyjnego. Prace objęły analizę zastanej sieci, zaprojektowanie nowej architektury logicznej, konfigurację urządzeń aktywnych, etapową migrację użytkowników oraz przekazanie zaktualizowanej dokumentacji zespołowi klienta.
Środowisko Klienta przed wdrożeniem
Firma produkcyjna zatrudniająca ponad 250 pracowników, posiadająca centralę oraz dwa zakłady produkcyjne. Infrastruktura obejmowała ponad 100 urządzeń sieciowych, w tym komputery użytkowników, serwery, drukarki, urządzenia IoT, systemy kontroli produkcji, monitoring CCTV, telefonię VoIP oraz sieć Wi-Fi. Sieć oparta była na przełącznikach HPE Aruba pracujących w jednej, płaskiej domenie rozgłoszeniowej.
Wyzwanie
Wraz z rozwojem organizacji sieć komputerowa była sukcesywnie rozbudowywana, jednak bez wprowadzenia logicznego podziału na segmenty. Wszystkie urządzenia funkcjonowały praktycznie w jednej podsieci, co powodowało:
- nadmierny ruch rozgłoszeniowy (broadcast),
- pogorszenie wydajności sieci,
- trudności w zarządzaniu dostępem do zasobów,
- zwiększone ryzyko rozprzestrzeniania się zagrożeń cybernetycznych,
- brak możliwości skutecznego wydzielenia systemów produkcyjnych od sieci biurowej,
- problemy z wdrażaniem nowych usług oraz urządzeń IoT.
Klient oczekiwał zaprojektowania nowoczesnej architektury sieci zgodnej z dobrymi praktykami bezpieczeństwa oraz umożliwiającej dalszy rozwój infrastruktury.
#MyWiemyJakToZrobić!
Zakres projektu
Działania adekwatne do potrzeb klienta
Lizard przeprowadził kompleksowy projekt modernizacji sieci LAN obejmujący zarówno warstwę logiczną, jak i konfigurację urządzeń aktywnych.
Projekt został podzielony na kilka etapów.
Technologie wykorzystane we wdrożeniu
Projekt został zrealizowany z wykorzystaniem:
- HPE Aruba CX Switch,
- HPE Aruba 2930,
- Aruba Central,
- VLAN IEEE 802.1Q,
- Rapid Spanning Tree,
- Link Aggregation,
- ACL,
- DHCP Relay,
- Microsoft Active Directory,
- Microsoft Entra ID,
- Fortinet NGFW.
Architektura sieci i przebieg prac wdrożeniowych
Ta część opisuje projekt logicznego podziału sieci, konfigurację przełączników, wdrożone polityki bezpieczeństwa oraz sposób przeprowadzenia migracji użytkowników. Znajdziesz tu szczegóły techniczne przydatne przy ocenie, jak podobny podział sieci mógłby wyglądać w Twojej organizacji.
Analiza środowiska
Na początku wykonano szczegółową analizę infrastruktury obejmującą:
inwentaryzację przełączników HPE Aruba,
analizę topologii sieci,
identyfikację wszystkich urządzeń,
analizę ruchu sieciowego,
ocenę wykorzystania portów,
analizę bezpieczeństwa.Projekt architektury VLAN
Na podstawie wyników analizy przygotowano nową architekturę logiczną sieci.
Wydzielono między innymi następujące segmenty:
- sieć użytkowników biurowych,
- sieć produkcyjna,
- sieć serwerowa,
- sieć administratorów,
- sieć urządzeń IoT,
- sieć drukarek,
- sieć monitoringu CCTV,
- sieć telefonii VoIP,
- sieć Wi-Fi dla pracowników,
- sieć Wi-Fi dla gości,
- sieć urządzeń zarządzających.
Dla każdej grupy przygotowano odrębną adresację IP, polityki bezpieczeństwa oraz zasady komunikacji pomiędzy segmentami.
Modernizacja konfiguracji przełączników
Projekt obejmował konfigurację:
- VLAN,
- trunków,
- portów access,
- agregacji łączy,
- protokołu STP,
- LLDP,
- DHCP Relay,
- QoS,
- mechanizmów redundancji,
- zarządzania przełącznikami.
Przeprowadzono również aktualizację oprogramowania urządzeń HPE Aruba do rekomendowanych wersji producenta.
Wdrożenie polityk bezpieczeństwa
W celu ograniczenia możliwości nieautoryzowanej komunikacji pomiędzy segmentami wdrożono:
- kontrolę ruchu pomiędzy VLAN,
- listy ACL,
- segmentację ruchu administracyjnego,
- wydzielenie urządzeń IoT,
- izolację sieci gościnnej,
- ochronę interfejsów administracyjnych,
- ograniczenie dostępu do infrastruktury krytycznej.
Migracja użytkowników
Migracja została przeprowadzona etapowo poza godzinami największego obciążenia.
Proces obejmował:- przenoszenie użytkowników do nowych VLAN,
- rekonfigurację urządzeń,
- testy komunikacji,
- testy wydajności,
- testy bezpieczeństwa,
- aktualizację dokumentacji.
Dzięki odpowiedniemu planowaniu wszystkie prace wykonano bez wpływu na ciągłość działalności przedsiębiorstwa.
Efekty
Po zakończeniu projektu infrastruktura sieciowa została podzielona na logiczne segmenty odpowiadające rzeczywistym potrzebom organizacji.
Zmniejszono ruch rozgłoszeniowy w sieci, poprawiono wydajność komunikacji pomiędzy systemami oraz zwiększono poziom bezpieczeństwa poprzez ograniczenie komunikacji pomiędzy poszczególnymi strefami.
Nowa architektura umożliwiła również łatwe wdrażanie kolejnych usług oraz rozbudowę infrastruktury bez konieczności przebudowy całej sieci.
Administratorzy uzyskali pełną dokumentację topologii, adresacji oraz konfiguracji urządzeń, co znacząco uprościło późniejsze zarządzanie środowiskiem.
Korzyści biznesowe dla Klienta
zwiększenie poziomu cyberbezpieczeństwa poprzez logiczne odseparowanie krytycznych systemów od sieci użytkowników oraz urządzeń IoT,
ograniczenie możliwości rozprzestrzeniania się zagrożeń,
takich jak ransomware czy nieautoryzowany ruch wewnętrzny, pomiędzy poszczególnymi segmentami sieci,
poprawa wydajności infrastruktury dzięki znacznemu ograniczeniu ruchu rozgłoszeniowego oraz bardziej efektywnemu wykorzystaniu przepustowości sieci,
uproszczenie zarządzania środowiskiem poprzez wprowadzenie czytelnej struktury VLAN oraz jednolitych standardów konfiguracji przełączników HPE Aruba,
łatwiejsze wdrażanie nowych usług, urządzeń produkcyjnych,
systemów monitoringu czy rozwiązań IoT bez wpływu na funkcjonowanie pozostałych obszarów infrastruktury,
możliwość precyzyjnego definiowania polityk bezpieczeństwa i kontroli dostępu dla poszczególnych grup użytkowników oraz systemów,
przygotowanie infrastruktury do wdrożenia modelu Zero Trust oraz dalszego rozwoju usług sieciowych i bezpieczeństwa,
ograniczenie ryzyka przestojów produkcyjnych wynikających z problemów sieciowych dzięki uporządkowanej architekturze oraz większej przejrzystości konfiguracji,
skrócenie czasu diagnozowania i usuwania awarii dzięki pełnej dokumentacji technicznej oraz jednoznacznemu podziałowi odpowiedzialności poszczególnych segmentów sieci,
stworzenie skalowalnej architektury,
która umożliwia dalszy rozwój przedsiębiorstwa bez konieczności kosztownej przebudowy infrastruktury sieciowej.