Anti-Lateral-Movement: Segmentierung mit VRF Lite und ACL-Patterns

Die Verhinderung von Lateral Movement innerhalb eines Unternehmensnetzwerks ist eine zentrale Sicherheitsmaßnahme, um die Ausbreitung von Bedrohungen einzudämmen. VRF Lite und gezielte ACL-Patterns ermöglichen die Segmentierung des Netzwerks auf Layer-3-Ebene, sodass administrative, User- und Server-Traffic isoliert und kontrolliert wird, ohne den normalen Betrieb zu beeinträchtigen.

Grundlagen von VRF Lite

VRF Lite (Virtual Routing and Forwarding) erlaubt die Trennung von Routing-Instanzen auf einem Router ohne zusätzliche Hardware. Jede VRF hat ihre eigene Routing-Tabelle, wodurch verschiedene Netzwerksegmente isoliert bleiben.

Vorteile der Segmentierung

• Isolierung von sensiblen Bereichen wie Management-Plane oder Server
• Verhinderung von unerwünschtem Zugriff zwischen User- und Produktionsnetz
• Erhöhung der Auditierbarkeit und Security-Compliance
• Flexibilität bei Multi-Tenant oder Multi-Branch Umgebungen

ACL-Design für VRF-Segmentierung

ACLs werden genutzt, um gezielt Traffic zwischen VRFs oder Interfaces zu erlauben oder zu blockieren. Dabei gilt das Least-Privilege-Prinzip: Nur der minimal notwendige Zugriff wird gewährt.

Beispiel: Management VRF

ip access-list extended MGMT-ACL
 remark Allow SSH/HTTPS from Admin Subnet
 permit tcp 192.168.100.0 0.0.0.255 any eq 22
 permit tcp 192.168.100.0 0.0.0.255 any eq 443
 deny ip any any

Beispiel: User VRF

ip access-list extended USER-ACL
 remark Allow Web and DNS traffic
 permit tcp any any eq 80
 permit tcp any any eq 443
 permit udp any any eq 53
 deny ip any any

Implementierung von VRF Lite

! Definition von VRFs
ip vrf MGMT
 rd 65001:10
ip vrf USER
 rd 65001:20
! Zuweisung von Interfaces

interface GigabitEthernet0/0

vrf forwarding MGMT

ip address 10.0.0.1 255.255.255.0
interface GigabitEthernet0/1

vrf forwarding USER

ip address 10.0.1.1 255.255.255.0

• Jedes Interface gehört zu einer eigenen VRF
• Routing-Tabellen werden isoliert
• ACLs auf Interfaces angewendet für Traffic-Control

Best Practices für Anti-Lateral-Movement

• Segmentierung konsequent nach Rollen und Funktionen
• VRF-Routing-Tabelle nur mit autorisierten Routen befüllen
• ACLs regelmäßig prüfen und Hits überwachen
• Logging aktivieren, um unerwünschten Zugriff zu erkennen
• Dokumentation für Audit und Compliance sicherstellen

Monitoring und Audit

show ip route vrf MGMT
show ip route vrf USER
show access-lists MGMT-ACL
show access-lists USER-ACL

• Überwachung der Routing-Tabellen und ACL-Hits
• Früherkennung von fehlerhaften Konfigurationen
• Auditierbarkeit für interne und externe Reviews

Praxisbeispiel CLI-Zusammenfassung

! VRF Definition
ip vrf MGMT
 rd 65001:10
ip vrf USER
 rd 65001:20
! Interface-Zuweisung

interface GigabitEthernet0/0

vrf forwarding MGMT

ip address 10.0.0.1 255.255.255.0

ip access-group MGMT-ACL in
interface GigabitEthernet0/1

vrf forwarding USER

ip address 10.0.1.1 255.255.255.0

ip access-group USER-ACL in
! ACLs

ip access-list extended MGMT-ACL

remark Allow SSH/HTTPS from Admin Subnet

permit tcp 192.168.100.0 0.0.0.255 any eq 22

permit tcp 192.168.100.0 0.0.0.255 any eq 443

deny ip any any
ip access-list extended USER-ACL

remark Allow Web and DNS traffic

permit tcp any any eq 80

permit tcp any any eq 443

permit udp any any eq 53

deny ip any any
! Monitoring

show ip route vrf MGMT

show ip route vrf USER

show access-lists MGMT-ACL

show access-lists USER-ACL

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.