根据标题，为什么人们告诉我不要出于安全目的使用 VLAN？
我有一个网络，其中有几个 VLAN。两个 VLAN 之间有防火墙。我使用的是 HP Procurve 交换机，并确保交换机到交换机的链路仅接受标记帧，而主机端口不接受标记帧（它们不是“VLAN 感知”）。我还确保中继链路的本机 VLAN（PVID）与两个主机 VLAN 都不相同。我还启用了“入口过滤”。此外，我确保主机端口仅是单个 VLAN 的成员，该 VLAN 与相应端口的 PVID 相同。唯一属于多个 VLAN 的端口是中继端口。
有人能向我解释一下为什么上述内容不安全吗？我相信我已经解决了双重标记问题。
谢谢
更新：两个交换机都是 Hp Procurve 1800-24G
答案1
为什么人们告诉我不要出于安全目的使用 VLAN？
如果您没有完全了解潜在问题，并且没有正确设置网络以将风险降低到您的环境可以接受的程度，那么就会存在真正的风险。在许多地方，VLAN 为两个 VLAN 之间提供了足够的隔离级别。
有人可以向我解释一下为什么上述内容不安全吗？
听起来你已经采取了实现相当安全的设置所需的所有基本步骤。但我对 HP 设备并不完全熟悉。你可能已经为你的环境做了足够的准备。
一篇值得一看的好文章是Cisco VLAN 安全白皮书。
它列出了针对基于 VLAN 的网络可能遭受的攻击。其中一些攻击在某些交换机上不可能发生，或者可以通过适当设计基础设施/网络来缓解。花点时间了解这些攻击，并决定是否值得在您的环境中努力避免这种风险。
摘自文章。
- MAC 泛洪攻击
- 802.1Q 和 ISL 标记攻击
- 双重封装 802.1Q/嵌套 VLAN 攻击
- ARP 攻击
- 私有 VLAN 攻击
- 多播暴力攻击
- 生成树攻击
也可以看看：
答案2
对于某些安全值来说，它是安全的。
固件中的错误、交换机配置重置、人为错误都可能使其不安全。只要只有极少数人可以访问交换机的配置和交换机本身，那么在一般的商业环境中就没问题。
不过，对于真正敏感的数据，我会选择物理分离。
答案3
我似乎记得，在过去，进行 VLAN 跳跃更容易，所以这可能是“人们”这么说的原因。但是，你为什么不问“人们”原因呢？我们只能猜测他们为什么告诉你这一点。我确实知道 HIPAA 和 PCI 审计员同意使用 VLAN 来确保安全。
答案4
我认为核心问题是 VLAN 不安全，因为您只是隔离广播域，而不是真正隔离流量。来自多个 VLAN 的所有流量仍然通过相同的物理线路流动。有权访问该流量的主机始终可以配置为混杂模式并查看线路上的所有流量。
显然，使用交换机可以大大降低这种风险，因为交换机控制着哪些数据实际上出现在哪些端口上，但基本风险仍然存在。