Bezbednost i izolacija VLAN mreža pomoću MikroTik IP Firewall-a

Izolacija virtuelnih lokalnih mreža (VLAN – Virtual Local Area Network) na sloju 3 (L3) predstavlja jedan od ključnih koraka u izgradnji stabilne, sigurne i profesionalne mrežne infrastrukture. Kada kreirate više VLAN-ova na ruteru, podrazumevano ponašanje mrežnog operativnog sistema (kao što je MikroTik RouterOS) jeste da dozvoli međusobno rutiranje saobraćaja (Inter-VLAN Routing).

To znači da računari iz kancelarijskog VLAN-a mogu slobodno komunicirati sa kamerama iz video-nadzora ili IP telefonima, što eliminiše osnovnu svrhu bezbednosne segmentacije. Da bismo osigurali mrežu, moramo primeniti precizna IP Firewall Filter pravila.

U ovom članku detaljno obrađujemo arhitekturu, principe rada i kompletnu konfiguraciju MikroTik IP Firewall-a za potpunu izolaciju VLAN-ova uz zadržavanje pristupa Internetu i mrežnim servisima.

1. Zašto je potrebna izolacija na nivou Firewall-a?

Dok VLAN tehnologija na Nivo-u 2 (L2) sprečava mešanje emitujućeg saobraćaja (Broadcast Domain), ruter po svojoj definiciji spaja i prosleđuje pakete između različitih IP podmreža na Nivo-u 3 (L3).

Bez dodatnih sigurnosnih pravila:

Ranjivost na napade: Ako potencijalni napadač kompromituje uređaj u Gostinskom (Guest) VLAN-u, ima direktan L3 pristup serverskoj opremi.

Neovlašćeni pristup: Zaposleni iz jednog odeljenja mogu pristupati poverljivim resursima i bazama podataka drugog odeljenja.

Nekontrolisani saobraćaj: Zlonamerni softver (npr. ransomware) može se brzo proširiti kroz sve podmreže koje ruter spaja.

Primena IP Firewall-a omogućava definisanje politike “najmanjih privilegija” (Principle of Least Privilege), gde se eksplicitno dozvoljava samo onaj saobraćaj koji je neophodan za rad poslovnih procesa.

2. Razumevanje MikroTik Firewall Lanaca (Chains)

U MikroTik RouterOS-u, poželjno je razumeti dva osnovna lanca u /ip firewall filter tabeli:

forward lanac: Obrađuje pakete koji prolaze kroz ruter (sa jednog mrežnog interfejsa na drugi, npr. iz VLAN 10 ka VLAN 20 ili iz VLAN 10 ka Internetu/WAN-u). Ovde se vrši izolacija VLAN-ova.

input lanac: Obrađuje pakete čije je krajnje odredište sam ruter (npr. DNS zahtevi ka ruteru, DHCP zahtevi, pristup WinBox-u ili SSH-u). Ovde se štiti sam ruter od neovlašćenog pristupa.

                  +———————————–+

                  |        Ulazni Paket na Ruter       |

                  +———————————–+

                                    |

                  +———————————–+

                  | Da li je paket namenjen ruteru?  |

                  +———————————–+

                         /                     \

                   Da   /                       \ Ne

                       v                         v

            +——————-+       +——————-+

            |    INPUT lanac    |       |   FORWARD lanac   |

            | (Zaštita rutera)  |       | (Izolacija VLAN)  |

            +——————-+       +——————-+

3. Organizacija interfejsa pomoću Interface Lists

Pre pisanja samih filtrirajućih pravila, uvek je preporučljivo grupisati logičke interfejse u liste interfejsa (Interface Lists). Ovo pojednostavljuje pravila i drastično smanjuje opterećenje procesora (CPU) jer umesto pisanja posebnih pravila za svaki VLAN, pravilo primenjujemo na celu listu.

Primer strukture lista:

WAN: Fizički ili logički interfejs ka dobavljaču internet usluga (npr. ether1 ili pppoe-out1).

LAN: Svi internim VLAN-ovi koji treba da imaju izlaz na internet.

RESTRICTED_VLANS: VLAN-ovi koji moraju biti strogo izolovani (npr. Gosti, IoT, Video nadzor).

Konfiguracija lista preko RouterOS CLI:

Plaintext

/interface list

add name=WAN

add name=LAN

add name=GUEST_LIST

/interface list member

add interface=ether1 list=WAN

add interface=vlan10-kancelarije list=LAN

add interface=vlan20-voip list=LAN

add interface=vlan30-gosti list=LAN

add interface=vlan30-gosti list=GUEST_LIST

4. Konfiguracija pravila u FORWARD lancu

Prilikom konfiguracije forward lanca, MikroTik obradjuje pravila od vrha ka dnu (top-to-bottom). Čim paket zadovolji kriterijum prvog pravila, izvršava se navedena akcija (accept, drop, reject) i dalja provera u lancu se prekida za taj paket.

Korak 1: Rad sa stanjima konekcija (Stateful Firewall)

Prvo pravilo mora omogućiti nesmetan prolaz za pakete koji pripadaju već započetim i proverenim sesijama (established,related). Ovo dramatično ubrzava rad mreže jer se provera vrši samo za prvi paket nove konekcije.

Plaintext

/ip firewall filter

add action=accept chain=forward connection-state=established,related \

    comment=”Dozvoli uspostavljene i srodne konekcije”

add action=drop chain=forward connection-state=invalid \

    comment=”Odbaci neispravne pakete (Invalid State)”

Korak 2: Selektivna ili Potpuna Izolacija VLAN-ova

Postoje dva pristupa izolaciji VLAN-ova:

Pristup A: Eksplicitno blokiranje određenih VLAN-ova (Blacklisting)

Ako želite da blokirate komunikaciju između konkretnih VLAN-ova (npr. iz VLAN 10 u VLAN 20 i obrnuto):

Plaintext

# Blokiraj saobraćaj iz Kancelarija ka VoIP mreži

add action=drop chain=forward in-interface=vlan10-kancelarije out-interface=vlan20-voip \

    comment=”Izolacija: VLAN 10 -> VLAN 20″

# Blokiraj saobraćaj iz Gostinske mreže ka svim ostalim LAN interfejsima

add action=drop chain=forward in-interface-list=GUEST_LIST out-interface-list=LAN \

    comment=”Izolacija: Gosti -> Ostali LAN-ovi”

Pristup B: Potpuna izolacija svih VLAN-ova (Whitelisting – Najsigurniji pristup)

Umesto da pišemo pravilo za svaku kombinaciju VLAN-ova, primenjujemo koncept “Zabrani sve što nije eksplicitno dozvoljeno”:

Plaintext

# 1. Dozvoli izlaz svim LAN VLAN-ovima ka Internetu (WAN)

add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN \

    comment=”Dozvoli LAN ka Internetu”

# 2. Blokiraj sav ostali rutirani saobraćaj izmedju bilo kojih interfejsa

add action=drop chain=forward comment=”DROP ALL: Blokiraj sav ostali Inter-VLAN saobraćaj”

5. Konfiguracija pravila u INPUT lancu (Zaštita Rutera)

Iako smo u forward lancu onemogućili prelazak iz VLAN-a u VLAN, uređaji iz izolovanih VLAN-ova i dalje mogu pokušati da pristupe samom ruteru (njegovim IP adresama/gateway-ima).

Da bismo im omogućili samo neophodne servise (DHCP i DNS), a blokirali pristup upravljačkim interfejsima (WinBox, SSH, HTTP), konfigurišemo input lanac.

Plaintext

/ip firewall filter

# 1. Dozvoli uspostavljene konekcije ka ruteru

add action=accept chain=input connection-state=established,related \

    comment=”INPUT: Dozvoli uspostavljene konekcije”

# 2. Dozvoli DHCP zahteve (UDP port 67)

add action=accept chain=input dst-port=67 protocol=udp in-interface-list=LAN \

    comment=”INPUT: Dozvoli DHCP ka ruteru”

# 3. Dozvoli DNS zahteve (UDP/TCP port 53)

add action=accept chain=input dst-port=53 protocol=udp in-interface-list=LAN \

    comment=”INPUT: Dozvoli DNS (UDP)”

add action=accept chain=input dst-port=53 protocol=tcp in-interface-list=LAN \

    comment=”INPUT: Dozvoli DNS (TCP)”

# 4. Dozvoli pun pristup ruteru samo iz Poverljivog/Management VLAN-a (npr. VLAN 10)

add action=accept chain=input in-interface=vlan10-kancelarije \

    comment=”INPUT: Dozvoli pristup ruteru iz VLAN 10″

# 5. Blokiraj sve ostale zahteve ka ruteru iz ostalih VLAN-ova

add action=drop chain=forward comment=”INPUT: DROP ostali pristup ruteru”

6. Kompletan i Sređen Pregled Pravila (CLI Script)

Evo celokupne, produkcijski spremne konfiguracije za MikroTik ruter koju možete upotrebiti ili prilagoditi:

Plaintext

/ip firewall filter

# ==========================================

# 1. FORWARD LANAC (Segmentacija Saobraćaja)

# ==========================================

add action=accept chain=forward connection-state=established,related \

    comment=”1. FORWARD: Uspostavljene i srodne konekcije”

add action=drop chain=forward connection-state=invalid \

    comment=”2. FORWARD: Odbaci invalid pakete”

add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN \

    comment=”3. FORWARD: Dozvoli LAN ka Internetu”

add action=drop chain=forward in-interface-list=LAN out-interface-list=LAN \

    comment=”4. FORWARD: Blokiraj sav Inter-VLAN saobraćaj”

add action=drop chain=forward comment=”5. FORWARD: Drop sve ostalo”

# ==========================================

# 2. INPUT LANAC (Zaštita Rutera)

# ==========================================

add action=accept chain=input connection-state=established,related \

    comment=”1. INPUT: Uspostavljene i srodne konekcije”

add action=drop chain=input connection-state=invalid \

    comment=”2. INPUT: Odbaci invalid pakete”

add action=accept chain=input dst-port=67 protocol=udp in-interface-list=LAN \

    comment=”3. INPUT: Dozvoli DHCP”

add action=accept chain=input dst-port=53 protocol=udp in-interface-list=LAN \

    comment=”4. INPUT: Dozvoli DNS (UDP)”

add action=accept chain=input dst-port=53 protocol=tcp in-interface-list=LAN \

    comment=”5. INPUT: Dozvoli DNS (TCP)”

add action=accept chain=input in-interface=vlan10-kancelarije \

    comment=”6. INPUT: Poverljivi upravljački VLAN”

add action=drop chain=input comment=”7. INPUT: Drop sve ostale pristupe ruteru”

Zaključak

Pravilno definisanje IP Firewall Filter pravila ključno je za postizanje potpune izolacije VLAN-ova. Kombinovanjem forward lanca za kontrolu Inter-VLAN saobraćaja i input lanca za zaštitu samog MikroTik uređaja, dobijate bezbedno i stabilno mrežna okruženje prilagođeno savremenim standardima mrežnog inženjeringa.