Интернетмагазин

уровень чувствительности при угрозе – предполагая, что у вас есть ак-
туальная оценка риска ваших ресурсов, вы можете создавать виртуаль-
ные локальные сети на основе уровня риска (высокий, низкий, средний);

расположение – для крупных организаций иногда лучше организовать 
ресурсы в зависимости от местоположения;

зоны безопасности – обычно этот тип сегментации комбинирует-
ся с другими типами для определенных целей (например, одна зона 
безопас ности для всех серверов, к которым обращаются партнеры).
Хотя это распространенные методы агрегации ресурсов, которые могут 
привести к сегментации сети на основе VLAN, вы можете использовать все это 
вместе. Приведенная ниже диаграмма показывает пример такого смешанного 
подхода (рис. 10.4).
В этом случае у нас есть коммутаторы рабочей группы (например, Cisco Ca-
talyst 4500) с возможностью настройки VLAN. Они подключены к центрально-
му маршрутизатору, который будет выполнять управление маршрутизацией 
для этих виртуальных сетей. В идеале этот коммутатор должен иметь функции 
безопасности, ограничивающие IP-трафик из ненадежных портов канально-
го уровня. Эта функция известна как безопасность портов. Данный маршру-
тизатор включает в себя контрольный список доступа, чтобы убедиться, что 
через эти виртуальные локальные сети может проходить только авторизован-
ный трафик. Если вашей организации требуется более глубокая проверка че-
рез VLAN, вы также можете использовать межсетевой экран для выполнения 
данной маршрутизации и проверки. Обратите внимание, что сегментация по 
VLAN выполняется с использованием разных подходов, что вполне нормаль-
но, если вы планируете текущее состояние и то, что будет в дальнейшем.

Если вы используете Catalyst 4500, убедитесь, что у вас включена функция dynamic ARP 
inspection. Эта функция защищает сеть от некоторых атак типа «человек посередине». 
Для получения дополнительной информации об этой функции перейдите по ссылке