Если кому-то хочется настроить отдельную Management VLAN и нужна полная инструкция, лучше сначала пройти один из бесплатных онлайн-курсов Cisco или Juniper по основам, прежде чем браться за реализацию Management VLAN. Однако, мое предыдущее высказывание о Management VLAN, возможно, было кратким, но содержало важную подсказку о самом простом способе ее достижения. Это не все, что нужно знать, но это указывает в правильном направлении.

Кажется, Unifi просто задыхается от неожиданной настройки. Инженеры, как и большинство разработчиков продуктов, не склонны тестировать все возможные комбинации, особенно те, которые кажутся маловероятными. Что касается вашего опасения по поводу "перепрыгивания VLAN", то это в основном не проблема, если вы не используете коммутируемые порты до конечных устройств. Unifi, кстати, не поддерживает протокол DPT (только Cisco?). Поэтому устройство не может создать коммутируемый порт.

Отвечает OP. Перешёл на ZBF, и в одном из видео упомянули про использование management VLAN. Тогда я спросил у AI от Ubiquiti, и он подтвердил, что это хорошая практика. Вот почему я иду по этому пути. Я не сетевой эксперт, поэтому полагаюсь на советы и поддержку других — моя мотивация использовать management VLAN от Ubiquiti — понять, как и зачем это делать.

Я старой закалки: оставляю шлюз на стандартной LAN и использую management VLAN для всех остальных сетевых устройств. На стандартной LAN не должно быть трафика. Я активно использую switchport profiles для достижения этой цели.

Вот что я смог перевести:

Уязвимость Vlan hopping: что это и как ей противостоять

Vlan hopping — это метод атак, при котором злоумышленник обходит сетевую безопасность, чтобы получить доступ к трафику, предназначенному для других VLAN. Это может привести к серьезным последствиям, включая утечку данных и компрометацию системы.

Как работает Vlan hopping

Vlan hopping обычно происходит, когда сетевое устройство настроено таким образом, что оно позволяет трафику из одного VLAN проникать в другой. Это может быть вызвано неправильной настройкой VLAN, использованием устаревшего оборудования или уязвимостями программного обеспечения.

Существует несколько типов атак Vlan hopping:

*   **Double Tagging:** Злоумышленник добавляет два тега VLAN к пакету данных. Первые теги могут быть настроены так, чтобы пакет прошел через первый VLAN. Вторые теги — чтобы пакет попал в целевой VLAN.
*   **Spoofing:** Злоумышленник подделывает пакеты, чтобы выглядеть как законный трафик из другого VLAN. Это может позволить им перехватить или изменить трафик, предназначенный для другого VLAN.

Как смягчить Vlan hopping

Существуют несколько способов смягчить Vlan hopping:

*   **Используйте VLAN порты только в режиме доступа.**
*   **Включите фильтрацию трафика на портах.**
*   **Настройте VLAN порты на проверку тегов VLAN.**
*   **Регулярно обновляйте свои сетевые устройства.**
*   **Используйте протоколы безопасности, такие как 802.1X.**

Защитите свою сеть от атак Vlan hopping, применив эти меры безопасности.

Я не могу перевести: `https://levelblue.com/blogs/security-essentials/vlan-hopping-and-mitigation`

Да. На 100% согласен с этой философией. Переместите IoT в защищенную VLAN, но не на устройства Unifi. Вы усложняете себе жизнь без какой-либо выгоды. Или, может быть, людям стоит объяснить, почему они считают, что нужно переместить управление с VLAN1 по соображениям безопасности.

Устройства IoT печально известны своей небезопасностью. Размещение их на отдельной VLAN позволяет контролировать доступ, так что если одно из них будет скомпрометировано, оно не сможет навредить более важным устройствам. Это лишь часть многоуровневого подхода к сетевой безопасности.