Por que não colocar todos os servidores em uma única lan / vlan?

Question

Eu estava pensando, por que eu não coloco todas as nossas duas dúzias de servidores em vlans exclusivas para que eu possa gerenciar efetivamente todas as regras de firewall entre servidores do roteador? (Eu manteria os firewalls do sistema operacional em execução como backup).

Na minha leitura limitada, eu não vi isso como uma recomendação, mas parece fazer muito sentido para mim. 99% dos nossos servidores são apenas silos - você os acessa da internet, eles atualizam seus dados locais, e é sobre isso. (Embora eles precisem de acesso ssh de entrada de nossa rede de gerenciamento e de saída para obter atualizações.) O ponto é que a conectividade entre servidores é de longe a exceção. Não há razão para ter os servidores em uma lan compartilhada para facilitar a comunicação inexistente. Também não há motivo para deixar cada servidor exposto à primeira máquina incluída na lan.

O que estou perdendo? Qual é o lado negativo dessa configuração?

Nota lateral, eu sou começando com a suposição de que as vlans estão disponíveis e são fáceis de implementar. Se você tem um roteador decente e todas as suas máquinas rodando em hipervisores modernos, isso parece uma suposição justa.

    

Answer 1

Você pode, em teoria, enviar todo o tráfego pelo roteador, o que o torna um gargalo para o tráfego. Também criaria uma grande quantidade de sobrecarga com muitas interfaces no roteador (uma por vlan), muitas listas de controle de acesso ou lugares separados onde você precisa limitar / permitir o tráfego, e geralmente provavelmente seria uma grande bagunça. ..

Geralmente, as vlans são usadas para conter dispositivos de nível de segurança semelhantes ou para vários dispositivos de funções semelhantes (como telefones, impressoras ou acesso Wi-Fi) ou para cercar um departamento ou outro agrupamento lógico de usuários. Isso também permite que eles intercomunicam entre si sem tantas restrições, o que normalmente é um bom compromisso, mas você pode limitar ainda mais isso com um switch de camada 3, firewall baseado em host ou alguns outros métodos como firewalls dedicados.

Quando você usa um roteador para forçar o tráfego do cliente a mover a inter-vlan, você está enviando todo o tráfego inter-vlan do switch para o roteador, o que aumenta o uso da largura de banda. Isso pode ou não ser desejável, mas geralmente o switch terá um throughput maior do que o roteador, portanto, geralmente não é um bom compromisso.

Dito isto, dada a descrição do seu ambiente, você provavelmente obteria o máximo de milhagem de um firewall de rede combinado com firewalls simples baseados em host para serem configurados através de um sistema de gerenciamento de configuração (fantoche / chef / ansible et al ). Isso permite a você um método fácil de dimensionar a configuração de firewall, sem a complexidade das vlans para cada servidor.

edite: oh, e fazê-lo da maneira sugerida também separa a configuração dos servidores (ou seja, a segurança deles) dos próprios servidores, o que pode levar a uma complexidade extra desnecessária.