Phân đoạn mạng bằng thiết bị chuyển mạch Cisco Catalyst và ISE: Từ VLAN đến Zero Trust

Trong bối cảnh đe dọa ngày nay, mạng phẳng là một mạng dễ bị tấn công. Đối với các mạng doanh nghiệp xử lý dữ liệu nhạy cảm, thiết bị IoT và thiết bị đầu cuối BYOD, VLAN tĩnh và ACL thủ công không còn đủ hiệu quả. Thiết bị chuyển mạch Cisco Catalyst kết hợp với Cisco Identity Services Engine (ISE) cung cấp các công cụ để triển khai phân đoạn mạng động, dựa trên danh tính, phù hợp với các nguyên tắc Zero Trust và giảm thiểu rủi ro chuyển động ngang.

Hướng dẫn này hướng dẫn các kỹ sư mạng, nhóm bảo mật và người ra quyết định CNTT về quá trình phát triển phân khúc, triển khai kỹ thuật và chiến lược triển khai thực tế, với thông tin chi tiết về cách tận dụng Router-switch để nâng cao hiệu quả mua sắm và triển khai.

Mục lục

Phần 1: Tại sao phân đoạn mạng hiện đại lại cần thiết
Phần 2: Sự phát triển phân đoạn: VLAN đến SD-Access
Phần 3: Cisco ISE và Catalyst: Trí tuệ và Sức mạnh
Phần 4: Tài liệu tham khảo về phần cứng và cấp phép
Phần 5: Kịch bản triển khai thực tế
Phần 6: Vượt qua những thách thức triển khai với Router-switch
Phần 7: Câu hỏi thường gặp

Phần 1: Tại sao phân đoạn mạng hiện đại lại cần thiết

Phân đoạn mạng chia mạng thành các vùng riêng biệt để kiểm soát lưu lượng và giảm thiểu rủi ro. Mặc dù VLAN và ACL truyền thống cung cấp khả năng phân tách cơ bản, nhưng chúng vẫn còn nhiều hạn chế:

Hạn chế của phương pháp truyền thống

• Cấu hình tĩnh – VLAN và ACL yêu cầu phải điều chỉnh thủ công khi di chuyển người dùng hoặc thiết bị, làm tăng chi phí vận hành.
• Rủi ro chuyển động ngang – Một thiết bị bị xâm phạm trong một VLAN có thể tự do giao tiếp với các thiết bị khác, phát tán phần mềm độc hại nhanh chóng.
• Sự phức tạp trong quản lý – Việc duy trì ACL trên hàng trăm thiết bị dễ xảy ra lỗi do con người.

Lợi ích của phân đoạn động

• Chính sách dựa trên danh tính – Kiểm soát truy cập theo người dùng và thiết bị thay vì theo địa chỉ IP.
• Giảm tác động vi phạm – Nếu cảm biến IoT hoặc thiết bị khách bị xâm phạm, các chính sách sẽ hạn chế quyền truy cập vào các hệ thống quan trọng.
• Tuân thủ đơn giản hóa – Các vùng nhạy cảm có thể được cô lập, thu hẹp phạm vi kiểm toán đối với PCI, HIPAA hoặc các khuôn khổ pháp lý khác.
• Tự động hóa chính sách – Chính sách tập trung loại bỏ việc cấu hình thủ công lặp đi lặp lại.

Phần 2: Sự phát triển phân đoạn: VLAN đến SD-Access

Cisco Phân khúc có thể được hiểu là bốn tầng tiến triển:

Phân đoạn kế thừa: VLAN và ACL

Ý tưởng: Thiết bị được nhóm theo mạng con; lưu lượng được kiểm soát thông qua ACL.
Ưu điểm: Đơn giản cho các mạng nhỏ.
Nhược điểm: Cứng nhắc, dễ xảy ra lỗi và khả năng mở rộng kém.

Phân đoạn vĩ mô: VRF / Mạng ảo

Ý tưởng: Phân tách các bảng định tuyến trong cùng một bộ chuyển mạch để cô lập các miền lưu lượng lớn.
Các trường hợp sử dụng tốt nhất: Wi-Fi dành cho khách, hệ thống quản lý tòa nhà (HVAC/BMS).
Hạn chế: Không thể ngăn chặn chuyển động ngang trong cùng một phân đoạn.

Phân đoạn vi mô: Thẻ nhóm bảo mật và an ninh Cisco TrustSec (SGT)

Ý tưởng: Các chính sách được thực thi dựa trên SGT được ISE chỉ định, không phụ thuộc vào IP hoặc VLAN.
Lợi ích: Quy tắc truy cập tuân theo người dùng/thiết bị, giúp đơn giản hóa việc quản lý chính sách và tính di động.
Ví dụ: Thẻ “IoT-Camera” không thể giao tiếp với Thẻ “Data-Center-Server”, ngay cả khi chúng chia sẻ VLAN.

Truy cập được xác định bằng phần mềm (SD-Access)

Ý tưởng: Tự động hóa các đường hầm TrustSec, VRF và VXLAN bằng Cisco DNA Center.
Lợi ích: Quản lý chính sách tập trung và thực thi tự động, lý tưởng cho mạng quy mô doanh nghiệp.
Yêu cầu: Dòng sản phẩm Catalyst 9000 có giấy phép DNA Advantage.

Phần 3: Cisco ISE và Catalyst: Trí tuệ và Sức mạnh

Phân khúc thành công dựa vào cả hai Điểm quyết định chính sách (PDP) và Điểm thực thi chính sách (PEP).

Cisco ISE: Bộ não

• Hồ sơ: Xác định loại thiết bị (PC, cảm biến IoT, camera).
• Nhận thức bối cảnh: Xác định vai trò của người dùng, tư thế thiết bị và vị trí.
• Nhiệm vụ SGT: Đẩy Thẻ nhóm bảo mật tới các thiết bị chuyển mạch.
• Ma trận chính sách: Duy trì các quy tắc kiểm soát truy cập (SGACL) và tích hợp với pxGrid/SXP để thực thi bên ngoài.
• Ngăn chặn mối đe dọa nhanh chóng: Có thể tự động cách ly các điểm cuối bị xâm phạm.

Dòng Cisco Catalyst 9000: Sức mạnh vượt trội

• Thực thi chính sách: Bộ chuyển mạch áp dụng chính sách SGT theo tốc độ đường truyền.
• Yêu cầu phần cứng: C9300, C9400, C9500 được khuyến nghị sử dụng cho phân đoạn vi mô và SD-Access.
• Hiệu suất: Việc thực thi dựa trên ASIC đảm bảo độ trễ ở mức tối thiểu ngay cả khi lưu lượng truy cập lớn.

Phần 4: Tài liệu tham khảo về phần cứng và cấp phép

Bảng dưới đây tóm tắt phần cứng Catalyst và giấy phép được đề xuất cho từng loại phân đoạn.

Mẹo quyết định: Đối với phân đoạn vi mô, Catalyst 9300 là tiêu chuẩn. UADP ASIC cho phép thực thi chính sách tốc độ đường truyền mà không làm giảm hiệu suất.

Phần 5: Kịch bản triển khai thực tế

kịch bản: Khuôn viên hỗn hợp dành cho nhân viên, khách và thiết bị IoT.

• Không phân đoạn: Một khách hàng cắm vào, quét mạng, khai thác máy in và chuyển sang máy chủ HR.
• Với Catalyst + ISE:
• Thiết bị xác thực thông qua 802.1X hoặc MAB.
• Thiết bị cấu hình ISE, gán SGT (ví dụ: “Guest-Tag”).
• Catalyst thực thi các chính sách dựa trên SGT ở cấp cổng.
• Lưu lượng truy cập trái phép sẽ bị loại bỏ ngay lập tức, bất kể VLAN hay IP.

Kết quả: Các chính sách thực thi Zero Trust một cách linh hoạt, hạn chế sự di chuyển ngang và tiếp xúc.

Phần 6: Vượt qua những thách thức triển khai với Router-switch

Mạng lưới phân đoạn đòi hỏi cả đầu tư và chuyên môn kỹ thuật. Những trở ngại thường gặp:

• Ràng buộc ngân sách: Phần cứng và giấy phép hỗ trợ TrustSec đắt hơn.
• Khả dụng: Tình trạng thiếu chip toàn cầu có thể làm chậm trễ các dự án.
• Độ phức tạp của việc cấp phép: Việc chọn sai cấp giấy phép sẽ làm đình trệ quá trình triển khai.

Ưu điểm của bộ định tuyến-bộ chuyển mạch:

• Phần cứng có sẵn: Dòng Cisco Catalyst 9300/9400 chính hãng có sẵn để triển khai nhanh chóng thông qua Bộ định tuyến-chuyển mạch.
• Giải pháp linh hoạt: Hướng dẫn cân bằng phần cứng mới và phần cứng tân trang để đạt hiệu suất-chi phí tối ưu.
• Hỗ trợ cấp phép: Đảm bảo đăng ký Network Advantage hoặc DNA Advantage chính xác để tích hợp ISE liền mạch.
• Mua sắm một cửa: Kết hợp phần cứng, giấy phép và hướng dẫn kỹ thuật để triển khai hiệu quả.

Phần 7: Câu hỏi thường gặp

Liệu công nghệ phân đoạn vi mô có thể hoạt động với các công tắc Catalyst cũ hơn không?

Các model cũ hơn (2960X/3560) có thể phân loại lưu lượng nhưng không thể áp dụng chính sách SGT ở tốc độ đường truyền. Hãy nâng cấp lên Catalyst 9300+ để có đầy đủ chức năng.

ISE và Catalyst có yêu cầu đăng ký bổ sung không?

Có, SD-Access và TrustSec yêu cầu Lợi thế mạng or Lợi thế của DNA giấy phép tùy thuộc vào tính năng được sử dụng.

Phân khúc ảnh hưởng đến khả năng di chuyển của người dùng như thế nào?

SGT theo dõi người dùng/thiết bị. Chính sách được áp dụng linh hoạt bất kể VLAN hay vị trí vật lý.

Router-switch có thể hỗ trợ triển khai phân đoạn như thế nào?

Router-switch cung cấp tính khả dụng của phần cứng, hướng dẫn cấp phép và hỗ trợ mua sắm, giúp nhóm CNTT triển khai TrustSec và SD-Access hiệu quả.

Kết luận

Để đạt được phân đoạn mạng an toàn, có thể mở rộng và tự động đòi hỏi phải kết hợp Dòng Cisco Catalyst 9000 chuyển đổi với ISE của Cisco. Bằng cách chuyển từ VLAN tĩnh sang chính sách TrustSec động dựa trên danh tính, các tổ chức có thể:

• Giảm nguy cơ chuyển động ngang
• Đơn giản hóa việc tuân thủ
• Tự động thực thi chính sách

Với sự hỗ trợ của Router-switch về tính khả dụng của phần cứng, cấp phép và hướng dẫn mua sắm, các nhóm CNTT có thể triển khai phân đoạn mạnh mẽ mà không bị chậm trễ hoặc đoán già đoán non, biến mạng thành môi trường Zero Trust thực sự.