In questa lezione esploriamo il concetto di porte access all'interno di un'architettura VLAN, analizzando come questi endpoint definiscano l'appartenenza di un dispositivo a una specifica rete virtuale.
Approfondiremo il funzionamento dello switch e il ruolo cruciale delle porte access nel garantire la segmentazione e la sicurezza del traffico di rete.
Abbiamo studiato come il protocollo IEEE 802.1Q permetta agli switch di etichettare (taggare) i pacchetti per mantenere separati i flussi delle diverse VLAN mentre viaggiano sui dorsali della rete. Tuttavia, sorge una domanda fondamentale: i computer, le stampanti e i server sanno gestire queste etichette? La risposta, nel 99% dei casi, è no. I dispositivi finali (host) parlano il linguaggio Ethernet standard (IEEE 802.3), ignorando completamente l'esistenza delle VLAN. Essi si aspettano di inviare e ricevere pacchetti "puliti".
Per far dialogare il mondo complesso e frammentato degli switch (che usano le etichette) con il mondo semplice dei PC (che non le usano), serve un traduttore, una sorta di "dogana" di rete. Questo ruolo cruciale è svolto dalle interfacce dello switch configurate in modalità Porta Access (Access Port).
Nel gergo del networking, una Porta Access è un'interfaccia fisica dello switch destinata al collegamento dei dispositivi finali (noti come dispositivi VLAN-unaware, ovvero ignari delle VLAN). La caratteristica fondamentale di una porta Access è che può appartenere a una e una sola VLAN dati .
Se l'amministratore configura l'interfaccia numero 5 di uno switch come "Accesso sulla VLAN 10", quella porta diventa a tutti gli effetti un vicolo cieco dedicato esclusivamente alla sottorete dell'Amministrazione. Ma la vera ingegneria risiede in ciò che l'hardware dello switch fa al pacchetto nell'esatto momento in cui attraversa questa porta, sia in entrata che in uscita.
L'ASIC (il processore hardware) dello switch applica due comportamenti diametralmente opposti a seconda della direzione del traffico sulla porta Access.
1. Processo di Ingress (Traffico in entrata dal PC allo Switch):
Quando il PC genera un file da inviare in rete, crea un normale frame Ethernet senza alcun Tag (definito Untagged Frame). Questo frame attraversa il cavo ed entra nella porta Access dello switch. Immediatamente, lo switch ispeziona il frame. Poiché è privo di etichetta, l'hardware applica internamente il PVID (Port VLAN ID) assegnato a quella specifica porta. Da questo nanosecondo in poi, per tutto il viaggio all'interno dei circuiti dello switch, quel frame sarà considerato etichettato come "VLAN 10".
Cosa succede se uno studente "hacker" prova a inviare volontariamente un frame già dotato di Tag 802.1Q verso una porta Access, nel tentativo di saltare in una VLAN protetta? Lo switch applica la regola di sicurezza dell'Ingress: una porta in modalità strict Access si aspetta solo traffico Untagged. Se riceve un frame Tagged, lo scarta (drop) istantaneamente . Questo risponde al dilemma lasciato in sospeso nella lezione precedente.
2. Processo di Egress (Traffico in uscita dallo Switch al PC):
Immaginiamo ora il percorso inverso. Un pacchetto etichettato "VLAN 10" ha viaggiato tra gli switch e ora deve essere consegnato al PC finale sulla porta 5. Lo switch sa che il PC non capirebbe l'etichetta 802.1Q da 4 byte. Quindi, prima di far uscire il frame dalla porta Access, l'hardware dello switch esegue un'operazione di Untagging: strappa via letteralmente i 4 byte dell'etichetta, ricalcola il checksum FCS alla fine del frame, e spara sul cavo un frame Ethernet standard, puro e immacolato.
Essendo le porte Access esposte fisicamente negli uffici, nelle aule e nelle prese a muro, rappresentano il perimetro esterno della nostra rete, e quindi il punto più vulnerabile per gli attacchi informatici di Livello 2. Per questo motivo, su queste porte vanno configurati dei rigidi protocolli di blocco.
Il primo è il Port Security. [tooltip]Il Port Security è una feature che limita il numero di MAC address che possono inviare traffico su una specifica porta fisica.[/tooltip] Se una porta Access in aula è destinata a un solo PC, possiamo configurare il Port Security per memorizzare il MAC address di quel PC e bloccare la porta se ne rileva un secondo. Questo previene l'attacco di MAC Flooding (visto nella lezione 5) e impedisce agli studenti di portare un hub o uno switch da casa per collegare abusivamente altri computer alla presa a muro.
Il secondo meccanismo è la BPDU Guard. Le BPDU sono i pacchetti speciali che gli switch usano tra di loro per mappare la rete (protocollo Spanning Tree). Una porta Access non dovrebbe MAI ricevere una BPDU, perché non dovrebbe esserci uno switch dall'altra parte, ma solo un PC! Se la BPDU Guard è attiva e rileva una BPDU in entrata, disabilita istantaneamente la porta mettendola in stato di Err-Disable, sventando sabotaggi della topologia di rete.
Le porte Access sono i guardiani del Livello 2. Svolgono il fondamentale compito di mascherare la complessità della rete ai dispositivi finali, aggiungendo il PVID al traffico in ingresso (Ingress) e strappando via le etichette 802.1Q al traffico in uscita (Egress). Proteggere queste porte con feature come il Port Security e BPDU Guard è la base della sicurezza informatica aziendale moderna.
Mettiti alla prova con questo scenario pratico. Sei un amministratore di rete distratto. Assegni la porta 10 dello switch alla "VLAN 20 (Stampanti)" come normale porta Access. Purtroppo, accedi al pannello di controllo web della stampante collegata e, per errore, attivi l'opzione avanzata "Usa VLAN" impostando il valore su 20. La stampante inizia quindi a etichettare lei stessa i suoi frame 802.1Q prima di inviarli sul cavo verso lo switch. Secondo le regole ferree del processo di Ingress, cosa farà l'ASIC dello switch ai documenti che gli utenti stanno cercando di stampare e perché?
Contatti Supportaci Chi siamo Cookies
La possibilità di poter ascoltare l'audio è offerto da ResponsiveVoice-NonCommercial
licensed under
Questo sito è un'idea di Francesco
Statistics