Сегментація мережі

Сегментація мережі — це архітектурна практика розбиття мережі на окремі зони з контрольованим трафіком між ними. Кожна зона має власну політику щодо того, що можна входити та залишати. Мета: обмежити радіус вибуху будь-якого компромісу. Порушення в одній зоні не повинно автоматично надавати доступ іншим.

Чому плоскі мережі небезпечні

Плоска мережа, де кожен пристрій може з’єднуватися з усіма іншими через стандартні порти, є історичною умовою для невеликих офісів і будинків. Проблеми:

• Один скомпрометований пристрій може сканувати та атакувати будь-який інший пристрій.
• Бічний рух після початкового злому необмежений.
• Конфіденційні системи та ненадійні кінцеві точки використовують одну мережу.
• Трансляція трафіку з балакучих пристроїв переповнює весь мережа.
• Системи відповідності (PCI-DSS, HIPAA) дедалі частіше вимагають сегментації.

Масові зломи 2010-х років — Target, Home Depot, OPM — усі залучені зловмисники рухаються від початкової точки опори до кінцевої цілі через плоскі або недостатньо сегментовані мережі.

Загальна сегментація шаблони

Трьохрівневий (базовий корпоративний):

• DMZ — загальнодоступні сервери (веб, пошта), доступні з Інтернету, обмежений доступ до внутрішніх
• Внутрішній — корпоративні робочі станції, внутрішні служби
• Зона безпеки — конфіденційна бази даних, ідентифікаційна інфраструктура, відокремлена від загального доступу

Перефункціональні сегменти (середнє підприємство):

• Робоча станція VLAN
• Сервер VLAN
• VoIP VLAN
• Принтер VLAN
• Гостьовий Wi-Fi VLAN
• IoT VLAN
• Керування VLAN (доступно лише користувачам-адміністраторам)

Мікросегментація (сучасна Zero Довіра):

• Сегменти для кожної програми або для кожної служби
• Кожне робоче навантаження має чітку політику щодо того, що може обмінюватися даними з чим
• Часто застосовується на рівні брандмауера хоста, а не на рівні мережевого пристрою
• Власне в хмарі: Kubernetes NetworkPolicies, Групи безпеки AWS, правила брандмауера GCP

Технології

• VLAN (віртуальні локальні мережі) — сегментація рівня 2 у спільній фізичній інфраструктурі. Перегляньте нашу статтю VLAN . Класичний будівельний блок.
• Subnetting — сегментація рівня 3; різні діапазони IP для кожної зони. Маршрутизатори застосовують політику між собою.
• Брандмауери — політика стану між зонами. Можуть бути фізичними (пристрої Palo Alto, Fortinet) або віртуальними (хмарні групи безпеки).
• VxLAN і SDN — програмно визначені мережі, що підтримують набагато більше сегментів, ніж традиційні VLAN (максимум 4094).
• Сервісні мережі (Istio, Linkerd) — mTLS для кожного сервісу забезпечує сегментацію на основі ідентичності для мікросервісів.
• IПроксі-сервери з підтримкою ідентичності (Cloudflare Access, BeyondCorp) — Ідентифікація користувача, а не розташування в мережі, визначає доступ.

Чому лише сегментація не є достатньо

Сегментація зменшує радіус вибуху, але не запобігає певним загрозам:

• Зловмисник, який досягає одного сегмента, все ще може атакувати те, що в цьому сегменті.
• Неправильні конфігурації створюють ненавмисні мости (правила брандмауера, які дозволяють більше ніж
• Мережеві протоколи, розроблені для плоских мереж (принтери, IoT, виявлення багатоадресної передачі), часто борються із сегментацією.
• Сервісний трафік, що проходить між сегментами (веб-серверам потрібен доступ до бази даних), створює законні, але придатні для використання шляхи.

Ефективна сегментація поєднує зони мережевого рівня з політикою на рівні хоста, автентифікацією на основі ідентифікації та моніторингом поведінки. Чиста сегментація мережі необхідна, але недостатня.

Для домашніх мереж

Шаблон домашньої сегментації, найбільш корисний у 2026 році:

• Main LAN — ноутбуки, телефони, пристрої, яким ви довіряєте.
• IoT VLAN — камери, розумні колонки, лампочки, усе, що не потребує доступу до ваших ноутбуків. Дозволити доступ до Інтернету, заборонити вхід із основної локальної мережі, щоб контролювати їх.
• Guest Wi-Fi — для відвідувачів, ізольованих від усього іншого.
• Пристрій для роботи з дому — ноутбук, який ваш роботодавець надає у власній VLAN. Зменшує випадкове переміщення даних між робочими та особистими пристроями.

Більшість споживчих маршрутизаторів у кращому випадку підтримують «гостьову мережу». Обладнання Prosumer (ПК Ubiquiti, MikroTik, OPNsense) підтримує належні VLAN. Інвестиції в апаратне забезпечення окупаються зменшенням радіуса вибуху.

Розширення Zero Trust

Сегментація мережі в моделі Zero Trust є частиною ширшої системи. Нульова довіра передбачає, що самій мережі не можна довіряти; кожен запит на доступ перевіряється та авторизується незалежно від того, з якого сегмента він походить. Перегляньте нашу статтю Zero Trust.

Прагматичний синтез: сегментація мережі для глибокого захисту, а також контроль доступу з урахуванням ідентичності для детальної політики. Сучасна відповідь не одна; разом вони утворюють сучасну передову практику.