VLAN ช่วยเพิ่มความปลอดภัยเครือข่ายได้อย่างไร

VLAN ช่วย Security อย่างไร?

VLAN (Virtual LAN) แบ่งเครือข่ายทาง Logic (Layer 2) ทำให้อุปกรณ์ใน VLAN เดียวกันคุยกันได้ แต่อุปกรณ์ใน VLAN ต่างกัน ต้องผ่าน Router/Layer 3 Switch จึงจะคุยกันได้ ช่วย:

• Segmentation: แยกแผนก (HR, Finance, IT, Guest, IoT) กันการแพร่เชื้อ Malware/Lateral Movement
• Reduce Broadcast Domain: ลด Broadcast Traffic เพิ่มประสิทธิภาพ
• Policy Enforcement: ใช้ Firewall/ACL ระหว่าง VLAN ควบคุม Traffic
• Cost Effective: ไม่ต้องซื้อ Switch แยกตัว จริงๆ 1 Switch ทำหลาย VLAN ได้

VLAN คืออะไรในมุมมอง Security?

กลุ่มอุปกรณ์บน Physical LAN เดียวกัน แต่แยกเป็น Logical LAN แยกกัน จำกัดจำนวนอุปกรณ์ที่คุยกันได้โดยตรง ลด Attack Surface

VLAN Facilitate Network Segmentation อย่างไร?

สร้าง Broadcast Domain แบบ Logical ข้าม Physical Segments แยก Broadcast Domain ใหญ่เป็นเล็กๆ Frame ใน VLAN หนึ่ง ไม่ไปถึง VLAN อื่น เว้นแต่ผ่าน Router

Security Benefits ของ VLAN

• Logical Grouping ตาม Function/Department
• ลด Broadcast Traffic
• ควบคุม Security Policy ได้ละเอียด (Inter-VLAN ACL/Firewall)
• Isolate IoT/Guest/Untrusted Devices

VLAN ปลอดภัยกว่า LAN แบบเดิมไหม?

ใช่ เพราะแยก Traffic ทาง Logic Packet ไม่ไหลข้าม VLAN ได้โดยอัตโนมัติ ต้องผ่าน Layer 3 Device ที่มี ACL/Firewall ควบคุม

VLAN ถูกแฮ็กได้ไหม?

ได้ VLAN อยู่ Layer 2 (Data Link) มีช่องโหว่:

• VLAN Hopping (Double Tagging, Switch Spoofing)
• DTP (Dynamic Trunking Protocol) Exploit
• MAC Flooding (CAM Table Overflow)
• ARP Spoofing ภายใน VLAN เดียวกัน

ทำไมต้องมี VLAN?

• ลด Collision และ Wasted Bandwidth
• Broadcast ควบคุมได้ (อยู่ใน VLAN เดียว)
• Security & Compliance (PCI DSS ต้องแยก Cardholder Data)
• Management ง่ายขึ้น

VLAN ใช้สำหรับ Security ได้จริงไหม?

ได้ - แต่ VLAN ไม่ใช่ Firewall VLAN แยก Traffic Layer 2 ไม่ดู Payload ต้องใช้ร่วมกับ Firewall/ACL ระหว่าง VLAN

ทำไม VLAN อาจ "ไม่ปลอดภัย" ถ้าใช้ผิด?

• ไม่ใช่ Firewall - ไม่ Inspect Payload
• VLAN Tag Spoofing ได้ (ถ้า Switch ไม่ Hardened)
• Native VLAN Mismatch
• Trunk Port ไม่ได้ Prune VLAN ที่ไม่จำเป็น

Ways to Secure VLANs (Best Practices)

1. Shutdown Unused Ports & Put ใน "Parking Lot" VLAN (Unused/Quarantine)
2. Trunk Port: Allow Only Required VLANs (Pruning)
3. Access Port: Hardcode switchport mode access ปิด DTP
4. Disable Native VLAN บน Trunk หรือเปลี่ยน Native VLAN ให้ไม่ใช่ VLAN 1
5. Enable BPDU Guard, Root Guard, Port Security
6. Inter-VLAN Routing ผ่าน Firewall/Router with ACL
7. Private VLANs สำหรับ Isolation ภายใน VLAN เดียวกัน (Isolated/Community Ports)

VLAN คือ Network Segmentation?

ใช่ VLAN = Layer 2 Segmentation แต่ละ VLAN = 1 IP Subnet ปกติ

ประโยชน์ VLAN Segmentation

• กลุ่ม User/Dept/Function ไม่จำเป็นติดกันทาง Geography
• ลด Cost, เพิ่ม Security & Performance, จัดการง่าย, ยืดหยุ่น

VLAN ส่งผลต่อ Routing อย่างไร?

• Device ใน VLAN ต่างกัน ต้อง Routing ผ่าน Router/L3 Switch
• Admin จัดกลุ่ม User ตาม Resource Access ได้ (Server, Printer)
• Device เดียว Switch เดียวกัน แต่ VLAN ต่าง = คุยไม่ได้โดยตรง