Vue d'ensemble
La microsegmentation (segmentation au niveau de l'hôte) sécurise le trafic au sein du même domaine de diffusion (par exemple, un VLAN) en ajoutant un contrôle d'accès pour le mouvement latéral entre les hôtes. Les pare-feux de réseau traditionnels fonctionnent souvent au niveau 3, où ils n'inspectent pas toujours ou ne bloquent pas le trafic intra-VLAN (niveau 2).
Lorsque vous activez la microsegmentation pour un site Socket dans Cato, le masque de sous-réseau de la plage est divisé en plusieurs adresses /32. Tout le trafic d'hôte à hôte dans ce VLAN est forcé d'être envoyé à la passerelle par défaut (Socket), où le moteur de pare-feu Cato évalue le trafic avant qu'il n'atteigne l'hôte de destination. Cela force le trafic "est-ouest" entre les hôtes partageant un VLAN à passer par le pare-feu pour inspection et application des politiques.
Nous recommandons d'utiliser le pare-feu LAN Socket Next Gen pour la microsegmentation afin de fournir la sécurité sur site optimale pour les appareils.
Pourquoi en avez-vous besoin
Réduisez le risque en empêchant le trafic non autorisé entre les hôtes dans le même LAN
Obtenez une visibilité sur le trafic de niveau 2 afin que toute communication d'hôte à hôte soit soumise à vos politiques zéro trust
Simplifiez la segmentation - au lieu de créer de nombreux VLAN, vous pouvez appliquer des règles de politique au niveau de l'hôte
Microsegmentation et configuration DHCP
La microsegmentation s'appuie sur DHCP pour imposer une isolation au niveau de l'hôte en attribuant à chaque appareil une adresse /32 et en forçant tout le trafic est-ouest à passer par la Socket pour évaluation de la politique. Vous pouvez activer la microsegmentation en utilisant soit Cato comme serveur DHCP, soit un serveur DHCP tiers intégré via le relais DHCP de Cato.
Voici des descriptions des options de configuration DHCP pour la microsegmentation :
Cato comme serveur DHCP - Cato attribue directement les adresses IP aux hôtes dans la plage réseau. Quand la microsegmentation est activée, Cato applique automatiquement l'adressage /32 à chaque attribution DHCP et impose une inspection est-ouest via la Socket.
Serveur DHCP tiers utilisant le relais DHCP - Active la microsegmentation pour les plages réseau qui utilisent un serveur DHCP externe, avec Cato configuré comme relais DHCP. Dans cette configuration, le serveur externe attribue l'adresse IP, et Cato applique de manière transparente le même routage d'hôte /32 et l'inspection du trafic est-ouest qu'avec le DHCP géré par Cato. Cela vous permet d'appliquer une segmentation zéro trust sans modifier votre infrastructure DHCP existante.
Note :
Le support de la microsegmentation pour le relais DHCP nécessite un site physique Socket exécutant la version 24.0.21570 ou supérieure de Socket.
Licence
La microsegmentation nécessite une licence de Sécurité des Ressources.
Conditions préalables
Sockets physiques avec Socket v22.x ou supérieur
Pris en charge pour les plages réseau natives et VLAN
En fonction de vos besoins de sécurité, configurez la politique de pare-feu LAN ou WAN pour autoriser le trafic pertinent pour les appareils couverts par la microsegmentation
Systèmes d'exploitation vérifiés pour la microsegmentation
Les systèmes d'exploitation suivants sont vérifiés par Cato pour supporter la microsegmentation. Avant d'appliquer la microsegmentation pour des appareils utilisant un autre système d'exploitation, nous vous recommandons de vérifier que le système fonctionne correctement dans votre environnement.
Android Samsung Galaxy A24 SM-A245F/DSN
Client DHCP BusyBox (basé sur Linux 18.04.6 LTS Ubuntu Debian OS)
iOS 18.3.1
Linux 18.04.6 LTS Ubuntu Debian (Bionic Beaver)
macOS Apple M4 Pro 15.3.2 (24D81)
Imprimante HP LaserJet Pro MFP M428fdn
Imprimante Brother Modèle MFC-L2700DW
Windows 11
Windows 10 ESX VM : Windows 10 Entreprise, 22H2 19045.5608 (système d'exploitation 64 bits, processeur x64)
Windows Serveur 2022 ESX VM Datacenter, Processeur AMD EPYC 7413 24-Core 2.65 GHz (système d'exploitation 64 bits, processeur x64)
Windows Serveur 2019 ESX VM standard AMD EPYC 7413 24-Core 2.65 GHz (système d'exploitation 64 bits, processeur x64)
Téléphone IP Yealink SIP-T23G & SIP-T40G
Recommandations pour le déploiement de la microsegmentation
Le déploiement de la microsegmentation peut potentiellement perturber le trafic légitime pendant que vous assurez une application précise des politiques de sécurité qui limitent le mouvement latéral au sein du réseau. Suivez ces recommandations pour déployer avec succès la microsegmentation dans votre réseau.
Activez progressivement la microsegmentation dans votre compte, en commençant par une seule plage.
Puisque la microsegmentation ne prend effet qu'après la fin de la durée du bail DHCP actuel, et que les appareils demandent une nouvelle adresse IP DHCP, vous devez :
Remplacez les paramètres du compte pour la durée du bail DHCP et réduisez la durée du bail DHCP pour la plage réseau, la valeur minimale est de 1 minute.
Lorsque vous activez la microsegmentation pour l'ensemble du compte, réduisez temporairement la durée du bail DHCP au niveau du compte. Après avoir confirmé que la microsegmentation fonctionne correctement, vous pouvez revenir aux paramètres précédents pour la durée du bail DHCP.
Remarque : La durée par défaut du bail DHCP est de 72 heures (3 jours).
Surveillez l'impact sur les appareils de la plage réseau :
Vérifiez que les appareils peuvent communiquer avec les entités autorisées dans votre compte en fonction de la politique de pare-feu.
Vérifiez que les appareils ont une connectivité complète aux ressources Internet.
La microsegmentation est destinée au trafic intra-VLAN est-ouest, et il ne devrait y avoir aucun impact sur le trafic Internet
Évitez le routage asymétrique pour garantir que le trafic intra-VLAN est routé via le Socket de manière symétrique. Nous recommandons que les appareils protégés par la microsegmentation utilisent Cato comme serveur DHCP.
Par exemple, une imprimante avec une IP statique qui n'est pas configurée accidentellement avec le masque de sous-réseau /32 attribué par Cato ne pourra pas communiquer avec d'autres appareils derrière le site.
Activer la microsegmentation pour une plage réseau
Configurez les nouvelles plages de réseau ou les plages existantes pour la microsegmentation. Cette configuration impose une affectation automatique du masque de sous-réseau /32 pour chaque hôte du site. Ensuite, examinez la politique de pare-feu LAN ou WAN Socket pour confirmer que le trafic segmenté est autorisé.
Pour activer la microsegmentation pour une plage réseau derrière un site :
De l'onglet de navigation, cliquez sur Réseau > Sites et sélectionnez le site.
Dans le menu de navigation, cliquez sur Configuration du site > Réseaux.
Cliquez sur Nouveau, ou dans la colonne Paramètres DHCP, cliquez sur la plage de réseau.
Le panneau Plage d'adresses IP s'ouvre.
Définissez le Type de réseau sur la plage prise en charge.
Entrez les autres paramètres de la plage réseau, tels que : VLAN, Sous-réseau, etc...
Définissez la configuration DHCP :
Pour utiliser Cato comme serveur DHCP :
Définissez Type de DHCP sur Plage DHCP et entrez la plage d'adresses IP pour les hôtes dans cette Plage DHCP.
Pour configurer un serveur DHCP tiers utilisant le relais DHCP :
Définissez Type de DHCP sur Relais DHCP.
Dans Groupe de relais DHCP, sélectionnez le groupe de relais DHCP pour ce réseau.
Pour plus d'informations sur les relais DHCP et Cato, voir Configurer Cato comme Relais DHCP.
Sélectionnez Microsegmentation basée sur DHCP.
Cliquez sur Appliquer, puis cliquez sur Enregistrer.
Recommandations pour annuler la microsegmentation
Si vous devez revenir en arrière et annuler la microsegmentation déployée dans votre réseau, suivez ces recommandations pour minimiser l'impact sur votre réseau.
Désactivez progressivement la microsegmentation dans votre compte, en commençant par une seule plage.
Comme la désactivation de la microsegmentation ne prend effet qu'après la fin de la durée du bail DHCP actuel, et que les appareils demandent une nouvelle adresse IP DHCP, vous devez :
Remplacez les paramètres du compte pour la durée du bail DHCP et réduisez la durée du bail DHCP pour la plage réseau, la valeur minimale est de 1 minute.
Lorsque vous désactivez la microsegmentation pour l'ensemble du compte, réduisez temporairement la durée du bail DHCP au niveau du compte. Après avoir confirmé que la microsegmentation fonctionne correctement, vous pouvez revenir aux paramètres précédents pour la durée du bail DHCP.
Remarque : La durée par défaut du bail DHCP est de 72 heures (3 jours).
Limites connues
Pour les systèmes basés sur Linux, activer la microsegmentation ne crée pas d'entrée de route pour la passerelle par défaut lorsqu'il y a déjà deux routes par défaut connectées à deux routeurs.
Pour plus d'informations sur une solution de contournement, consultez cet article.