<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal ul li { font-size: 24px !important; line-height: 1.4 !important; margin-bottom: 10px !important; } .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ### VLAN-Sicherheit *Thomas Will – Stand: 03.07.2025* --- ### Grundlagen: Was ist ein VLAN? - VLAN = Virtual Local Area Network - Logische Segmentierung des Netzwerks auf Layer 2 - Trennung von Broadcast-Domänen - Geräte in einem VLAN können miteinander kommunizieren, auch wenn physisch getrennt --- ### Warum VLAN-Sicherheit? - VLANs sind keine Firewalls! - Logische Trennung schützt nicht vor Angriffen - Angreifer können VLAN-Grenzen überwinden (VLAN Hopping) - Falsche Konfiguration gefährdet die Netzwerksicherheit --- ### Angriff: VLAN Hopping (Double Tagging) - Frame mit zwei VLAN-Tags wird gesendet - Switch entfernt äußeres Tag (Native VLAN) und leitet weiter - Inneres Tag wird aktiv → Zugriff auf fremdes VLAN - Voraussetzung: Angreifer befindet sich im Native VLAN --- ### Angriff: Switch Spoofing - Angreiferport täuscht Trunk-Verbindung vor - Switch verhandelt Trunk (z. B. über DTP bei Cisco) - Zugriff auf mehrere VLANs möglich - Funktioniert nur bei dynamischer Trunk-Aushandlung --- ### Sicherheitsmaßnahmen - Keine Ports unkonfiguriert lassen (Shutdown oder Dummy-VLAN) - Trunk-Ports statisch definieren, DTP deaktivieren - Native VLAN nicht verwenden / isolieren - Access-Ports nur einem VLAN zuweisen - MAC-Port-Security aktivieren --- ### Erweiterte Schutzmaßnahmen - DHCP Snooping + Dynamic ARP Inspection aktivieren - 802.1X für Port-basierte Authentifizierung - Private VLANs (PVLAN) für Isolierung innerhalb eines VLANs - Logging und Monitoring der Switchports - VLANs nur als Teil einer Gesamtstrategie --- ### VLAN ≠ Firewall - VLANs trennen Layer 2 – keine Paketfilterung! - Zugriffskontrolle nur über ACLs oder Firewalls möglich - Management-VLANs besonders schützen - Keine sicherheitskritischen Systeme in Standard-VLANs --- ### Beispiel: Sichere VLAN-Struktur - VLAN 10 – Clients - VLAN 20 – Server - VLAN 30 – Management - VLAN 99 – Blackhole (für ungenutzte Ports) - VLAN 999 – Native VLAN (nicht verwendet) - Alle Trunks statisch, keine DTP --- ### Fazit - VLANs sind wichtig für Struktur, nicht für Sicherheit - Angriffsvektoren: Double Tagging, Switch Spoofing - Schutz durch saubere Konfiguration + Layer-3-Sicherheit - VLAN-Sicherheit ist kein Bonus – sie ist notwendig! --- ### Fragen & Diskussion *Welche Szenarien wollt ihr genauer betrachten?*