Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Meerdere VLAN's scannen

Hoe de collector andere VLAN's via de router scant, wat je in de firewall moet toestaan en wat je daarbij minder ziet.

Eén collector kan alle VLAN's van een locatie scannen, zolang hij ze via de router of firewall kan bereiken. Je zorgt dat de firewall het verkeer van de collector naar die netwerken doorlaat. Daarna zie je in het portaal per VLAN hoeveel apparaten antwoordden.

Zo werkt het

De collector zit zelf in één VLAN. Andere VLAN's bereikt hij via routering, net als elke andere computer in dat netwerk. Hij voegt zichzelf niet aan andere VLAN's toe: hij heeft geen ondersteuning voor een trunkpoort of eigen VLAN-interfaces.

Over de VLAN-grens heen werken:

Alleen in het eigen VLAN werken:

  • ARP: de collector ziet MAC-adressen alleen in zijn eigen segment;
  • UPnP/SSDP (UDP 1900) en mDNS (UDP 5353): dat zijn multicastprotocollen die de router niet doorgeeft.

Stappen

  1. Zoek bij de collector in het portaal onder Toegang regelen het IP-adres van de collector op.
  2. Controleer in het blok Netwerken of de VLAN's al gevonden zijn. Ontbreekt er een, klik Wijzigen en voeg het netwerk toe onder Met de hand (zie Welke netwerken scant de collector?).
  3. Maak op de firewall of layer-3-switch tussen de VLAN's een regel:
    • bron: alleen het IP-adres van de collector (/32, geen subnet);
    • doel: de VLAN's die je wilt scannen;
    • diensten: de TCP-scanpoorten en UDP 161 (SNMP).
  4. Heeft de firewall een IPS of portscan-detectie, maak dan ook een uitzondering voor het IP-adres van de collector. De stappen per merk staan in de artikelen over FortiGate, Sophos, WatchGuard en de andere firewalls.
  5. Start een scan met Nu scannen en kijk in het blok Netwerken wat er per VLAN antwoordde.

Tip: stel SNMP-lezen in op de router of core-switch. Dan vindt de collector de VLAN's vanzelf via de interfaces van de router en leest hij de ARP-tabel van de router. Zo krijgt hij de MAC-adressen van apparaten in andere VLAN's toch. Zie SNMP instellen.

Wat je minder ziet in andere VLAN's

Zonder ARP ziet de collector in een ander VLAN geen MAC-adres. Daardoor mist hij twee dingen:

  • de fabrikant van de netwerkkaart (het MAC-voorvoegsel), een hint bij het herkennen;
  • apparaten die op geen enkele poort antwoorden, zoals pc's met de Windows-firewall aan. In het eigen VLAN ziet hij die nog via ARP, in een ander VLAN niet.

De herkenning is daardoor in andere VLAN's iets zwakker. SNMP, de beheerpagina, het certificaat en de SSH-melding werken wel gewoon. Kan de collector de ARP-tabel van de router via SNMP lezen, dan vult dat een groot deel van het gat.

Een VLAN zonder antwoord

Staat bij een netwerk geen antwoord: waarschijnlijk laat de firewall tussen de VLAN's de collector niet door, dan kwam er van geen enkel adres een reactie. Controleer:

  1. of de regel uit stap 3 bestaat en boven een blokkerende regel staat;
  2. of de IPS het IP-adres van de collector inmiddels blokkeert (zie Scan gehinderd of geblokkeerd door een IPS);
  3. of het VLAN wel apparaten bevat.

Scans binnen het eigen VLAN gaan meestal niet door de firewall. Een uitzondering is vooral nodig voor het verkeer tussen VLAN's.

Alternatief: een collector per VLAN

Mag de collector niet door de firewall, of wil je in elk VLAN ook ARP, UPnP en mDNS gebruiken? Eén collector per VLAN of locatie is een alternatief. Plaats dan in elk VLAN een eigen collector op dezelfde locatie. Elke collector scant zijn eigen segment en het portaal voegt de resultaten per locatie samen.

Zie ook