← Справочные архитектуры / reference-architecture / design-guides

Защита гостевых беспроводных сетей

Многие организации и компании предоставляют своим клиентам, пациентам, студентам и посетителям бесплатный беспроводной доступ в интернет. В таких отраслях, как гостиничный бизнес, гостевой Wi-Fi часто становится обязательным. Для колледжей и университетов надёжный и защищённый Wi-Fi может стать значимым фактором при привлечении будущих студентов и посетителей.

Бесплатный беспроводной доступ в интернет дает бизнесу несколько преимуществ. Компании используют гостевой Wi-Fi для повышения вовлеченности клиентов, направляя пользователей на целевые страницы маркетинговых кампаний или предлагая купоны. Кроме того, многие системы гостевого Wi-Fi собирают ценную аналитику: адреса электронной почты, поведение при просмотре и даже время пребывания в конкретных местах. Эти данные помогают принимать решения, например о выкладке товаров в магазинах, или запускать последующие email-рассылки.

Однако предоставление гостевого Wi-Fi несет в себе и риски. Злоумышленники могут использовать вашу сеть для противоправной деятельности: доступа к запрещенному контенту, покупки нелегальных товаров или совершения киберпреступлений. В некоторых случаях компании, например отели, кафе и библиотеки, сталкивались с исками за то, что якобы допускали нелегальные загрузки через свой гостевой Wi-Fi. Такие иски, часто подаваемые правообладателями, утверждают, что компании способствовали пиратству, не контролируя контент, к которому обращались или который загружали их гости.

Хотя вероятность уголовного преследования вашей организации может быть невысокой, она может оказаться вовлечена в длительные расследования, что чревато судебными издержками и репутационным ущербом. В этом руководстве вы узнаете, как Cloudflare помогает снизить риски, обеспечить видимость активности гостей в интернете и лучше защитить гостевую беспроводную сеть ↗.

Эта эталонная архитектура предназначена для ИТ-специалистов и специалистов по безопасности, которые рассматривают Cloudflare как средство защиты гостевых беспроводных сетей. Для более прочного базового понимания Cloudflare рекомендуем следующие материалы:

• Что такое Cloudflare? | Сайт ↗ (5 минут на чтение) или видео ↗ (2 минуты)
• Cloudflare Zero Trust | https://www.cloudflare.com/zero-trust/ ↗
• Архитектура SASE с Cloudflare | /reference-architecture/architectures/sase/

Это руководство по эталонной архитектуре поможет читателям разобраться в следующем:

1. Cloudflare Gateway DNS: Изучение способов интеграции DNS-политик Cloudflare Gateway в типовые сценарии развёртывания гостевого Wi-Fi.
2. Рекомендации по политикам DNS: Изучение эффективных подходов к построению DNS-политик для гостевого Wi-Fi, которые обеспечивают соблюдение политики допустимого использования и предотвращают вредоносную активность.
3. Расширенная видимость и безопасность:

• Используйте панель управления Cloudflare Zero Trust для доступа к подробным журналам и аналитике: данным о DNS-запросах, паттернах трафика и потенциальных угрозах безопасности.
• Включить Logpush чтобы экспортировать журналы во внешние хранилища для долгосрочного анализа или соблюдения нормативных требований.
• Интегрируйтесь с платформой SIEM (Security Information and Event Management), чтобы сопоставлять журналы Cloudflare с другими данными о безопасности и ускорять обнаружение инцидентов и реагирование на них.

Cloudflare предлагает клиентам Zero Trust усиленный защищенный сервис DNS-резолвера. Он использует Anycast, технологию маршрутизации, которая позволяет нескольким серверам или дата-центрам работать под одним и тем же IP-адресом. Когда запрос отправляется на Anycast-адрес, маршрутизаторы с помощью протокола BGP (Border Gateway Protocol) направляют его на ближайший сервер. Благодаря этому DNS-запросы всегда обрабатываются ближайшим к вам дата-центром Cloudflare. Дата-центры Cloudflare расположены более чем в 330 городах, и это один из крупнейшие глобальные сети ↗. Этот сервис также может усилить защиту организации, позволяя создавать политики фильтрации DNS-разрешений для потенциально опасных, сомнительных или неприемлемых адресов. В этом руководстве рассказывается, как включить сервис и настроить среду для защиты гостевых беспроводных сетей, снижая риски для организации.

Cloudflare Локации DNS представляют собой набор конечных точек DNS, которые можно сопоставить с физическими объектами, такими как офисы, дома или дата-центры. Gateway определяет местоположения по-разному в зависимости от протокола DNS-запроса. Трафик IPv4 определяется по исходному IP-адресу, с которого поступил DNS-запрос. Трафик IPv6 можно определить по уникальному адресу IPv6-резолвера, созданному в дашборде Cloudflare. В следующих разделах описано, как обеспечить корректное сопоставление DNS-запросов с вашими физическими местоположениями в зависимости от сетевого окружения и используемых протоколов. Далее в этом документе вы узнаете, как использовать IP-адрес местоположения в качестве атрибута, который можно применять в политиках Gateway DNS.

Цель заключается в том, чтобы DNS запросы из ваших сетей Wi-Fi передавались через безопасный сервис DNS и secure web gateway Cloudflare, где ваши политики DNS могут фильтровать запросы и блокировать те, что вы считаете опасными. В этом руководстве рассматриваются возможные варианты сетевой архитектуры для гостевых сетей и приведены рекомендации по внедрению Cloudflare для защиты устройств в этих гостевых сетях Wi-Fi.

Распространённый способ организации гостевого беспроводного доступа заключается в создании полностью отдельной сети, не связанной с корпоративной или производственной сетью. Например, филиал или розничный магазин может использовать для этого один беспроводной маршрутизатор. Такой маршрутизатор транслирует гостевой идентификатор беспроводной сети (SSID), назначает IP-адреса подключённым устройствам и обеспечивает доступ в интернет. Публичный статический адрес IPv4, назначенный маршрутизатору, затем можно использовать как атрибут местоположения DNS в панели Cloudflare Zero Trust. Если IP-адрес маршрутизатора назначается динамически вашим интернет-провайдером, см. раздел «Dedicated DNS resolver IPv4 and IPv6 addresses».

Чтобы направлять все DNS-запросы через Cloudflare, укажите в настройках DNS на WAN-интерфейсе маршрутизатора IP-адреса resolver-серверов Cloudflare. Конкретные адреса resolver-серверов для Zero Trust указаны в настройках DNS-локации в дашборде Cloudflare. Подробные шаги по изменению WAN-интерфейса приведены в документации производителя маршрутизатора. Как правило, устройства, подключённые по Wi-Fi, используют IP-адрес маршрутизатора как свой DNS-сервер, а маршрутизатор пересылает их DNS-запросы в Cloudflare. В результате DNS-запросы с беспроводных устройств отправляются в Cloudflare со статического IP-адреса, присвоенного маршрутизатору.

Для повышения безопасности запретите гостевым устройствам Wi-Fi доступ к сторонним DNS-сервисам, создав правило межсетевого экрана на маршрутизаторе (если это поддерживается). Правило должно разрешать доступ только к DNS-серверам Cloudflare и блокировать все остальные DNS-адреса на портах UDP/TCP 53. Кроме того, некоторые продвинутые маршрутизаторы Wi-Fi поддерживают фильтрацию контента. Если такая возможность есть, включите блокировку DNS over TLS (DoT) и DNS over HTTPS (DoH), чтобы конечные устройства не могли обойти настроенные вами параметры безопасности DNS в Cloudflare.

Некоторые компании идут дальше использования бытовых или полупрофессиональных универсальных беспроводных маршрутизаторов и разворачивают гостевой доступ Wi-Fi поверх уже существующего корпоративного сетевого решения. Например, одна и та же точка доступа Wi-Fi может одновременно транслировать и внутреннюю корпоративную сеть, и гостевую сеть.

Распространённый способ разделения внутренней и гостевой сети заключается в использовании разных SSID. Внутренний корпоративный SSID и гостевой беспроводной SSID можно привязать к отдельным VLAN (виртуальным локальным сетям) или Теги Dot1q ↗, обеспечивая виртуальную сегментацию между сетями.

В этой конфигурации:

1. Подсеть назначается гостевому беспроводному VLAN.
2. Шлюз по умолчанию для этой подсети настраивается на интерфейсе (или виртуальном интерфейсе) вышестоящего сетевого устройства, например межсетевого экрана или маршрутизатора.
3. Устройство отделяет трафик гостевой сети от трафика внутренней сети, а также выполняет функцию защищённого шлюза в публичный интернет.

Как и в более простых конфигурациях, DNS-запросы с гостевых беспроводных устройств должны перенаправляться на IP-адреса резолвера Cloudflare. Этого можно добиться следующими способами:

• Назначение DNS-серверов Cloudflare в области DHCP для гостевых устройств.
• Настройка вышестоящего сетевого устройства для проксирования DNS-запросов в Cloudflare.

Обратите внимание: вы можете также предоставлять гостевым устройствам доступ к некоторым внутренним ресурсам, и в этом случае может потребоваться настроить клиенты на использование внутреннего DNS-сервиса. Этот сервис также можно настроить так, чтобы он перенаправлял DNS-запросы, предназначенные для интернета, в Cloudflare.

Для повышения безопасности настройте исходящие правила межсетевого экрана так, чтобы DNS-запросы во внешний интернет разрешались только на IP-адреса корпоративных resolver-серверов Cloudflare по TCP/UDP порту 53.

Чтобы гостевой трафик исходил с уникального публичного IPv4-адреса:

1. Настройте на межсетевом экране или граничном устройстве политику Port Address Translation (PAT) специально для гостевого трафика.
   • PAT (или NAT overload) позволяет нескольким устройствам в локальной сети выходить в Интернет через один публичный IP-адрес.
2. В настройках межсетевого экрана укажите диапазон адресов источника как подсеть гостевой сети.
3. Укажите транслируемый исходный адрес (публичный IPv4-адрес), который будет использоваться для всего интернет-трафика, исходящего из гостевой сети.

Подробные инструкции по настройке правила PAT или NAT overload см. в документации производителя вашего межсетевого экрана.

Как только трафику гостевой сети назначен уникальный публичный адрес IPv4, этот адрес можно использовать как атрибут в панели управления Cloudflare для точного сопоставления с местоположением DNS.

Если вы не можете использовать статический публичный IP-адрес на пограничном устройстве, Cloudflare предлагает выделенные адреса конечных точек DNS-резолвера IPv4 и IPv6, которые можно назначить отдельно вашей организации. В этом случае адрес назначения, на который отправляются DNS-запросы, можно использовать, чтобы связать ваше физическое местоположение с конечной точкой DNS Cloudflare.

Cloudflare бесплатно предоставляет уникальные адреса конечных точек резолвера IPv6 через дашборд Zero Trust. Однако из-за ограниченной доступности адресов IPv4 выделенные конечные точки DNS с IPv4 доступны только на тарифе Cloudflare Enterprise.

Например, если вашему гостевому беспроводному маршрутизатору провайдер динамически назначает IPv6-адрес и IPv6 DNS-сервер, вы можете изменить IPv6-адрес DNS так, чтобы он совпадал с адресом конечной точки IPv6 DNS, настроенным в параметрах DNS Location в Cloudflare.

Теперь, когда мы рассмотрели различные варианты отправки DNS-запросов к DNS-резолверам Cloudflare и определения гостевой беспроводной сети вашей организации (по её исходному IP-адресу или выделенному адресу резолвера), можно переходить к созданию новых locations в Zero Trust.

Чтобы начать, перейдите в DNS Locations в дашборде Zero Trust. Подробные пошаговые инструкции приведены в DNS Locations руководстве. При использовании фильтрации конечных точек и сопоставления местоположений по IPv4 или IPv6 вы можете задать сеть и маску подсети в нотации CIDR, чтобы указать исходные IP-адреса вашего местоположения. Например:

• Если все ваши беспроводные сети используют общий публичный IP-адрес в одной подсети, можно применить политику сразу ко всем локациям с помощью одного объекта локации DNS.
• Чтобы назначать уникальные политики отдельным локациям, используйте адрес узла с маской /32, представляющий каждую локацию отдельно.

Чтобы начать, перейдите в firewall policies и выберите DNS в дашборде Zero Trust. Подробные, шаговые инструкции см. в DNS Policies руководство.

Чтобы политики оставались упорядоченными, рекомендуем давать им содержательные названия, ясно отражающие их назначение. Например, политика с названием Guest-Security-Block передаёт:

• Гости: К кому применяется политика.
• Безопасность: Тип оцениваемого контента.
• Block: Выполняемое действие.

Cloudflare предоставляет набор управляемых категорий, с помощью которых можно фильтровать самые разные типы угроз. Например, если добавить в политику DNS категория безопасности Вредоносное ПО не позволит подключенному устройству отправить DNS-запрос на сайт, который Cloudflare пометил как часть известной вредоносной кампании или как потенциально размещающий вредоносное ПО. Помимо категорий безопасности, у нас также есть категории контента которые определяют такие сайты, как криптовалютные, P2P-сети для обмена файлами или сайты для взрослых. Cloudflare также ведет список приложения, чтобы вы могли фильтровать доступ к публичным облачным хранилищам или сайтам обмена файлами.

Cloudflare также позволяет пользовательские фиды где можно либо подключить стороннего поставщика для получения списка сайтов для фильтрации, либо использовать встроенные фиды угроз на основе государственных источников. Это позволяет очень точно выбирать, какие сайты вы хотите фильтровать.

Для устройств, отправляющих запросы из известных DNS-локаций, эти локации тоже можно добавить в политику. Так вы сможете создавать разные политики для разных гостевых сетей Wi-Fi. Это полезно, например, если местное законодательство требует блокировать доступ к определённым типам сайтов.

Политика может состоять из нескольких правил, поэтому одна и та же политика способна блокировать доступ как к сайтам с высоким уровнем риска, так и к неприемлемому контенту.

У Cloudflare есть еще несколько рекомендуемых политик DNS, которые можно найти в разделе Руководство по внедрению защиты интернет-трафика. Эти политики предназначены для усиления общей безопасности организации, и их также следует учитывать при настройке политик для внутреннего рабочего веб-трафика.

Теперь, когда DNS-трафик направляется через Cloudflare, а ваши беспроводные сети защищены, вы можете получить детальную видимость активности гостей в интернете с помощью журналов и расширенных инструментов логирования. Каждый DNS-запрос зарегистрировано в Cloudflare, а наш дашборд предоставляет простой интерфейс поиска. Эти журналы помогают понять, как применяются ваши политики, и выявить тенденции или закономерности в использовании интернета гостями, предоставляя практические сведения для настройки конфигураций безопасности.

Для расширенной телеметрии и удобного управления данными рекомендуем включить Logpush в вашем дашборде Cloudflare. Отправка этих журналов во внешний источник, чаще всего на платформу SIEM, дает следующие преимущества:

• Централизованный анализ: Объединение логов из нескольких сервисов Cloudflare с остальными корпоративными данными в SIEM для полной прозрачности.
• Расширенное обнаружение угроз: Сопоставление активности DNS с другими событиями безопасности для более эффективного выявления признаков вредоносного поведения.
• Готовность к соответствию требованиям и аудиту: Хранение логов DNS в течение длительного времени для соответствия нормативным требованиям или поддержки расследований инцидентов.
• Оповещения в реальном времени: Использование интеграции с SIEM для запуска автоматических оповещений и реагирования при подозрительной активности DNS.
• Операционная аналитика: Более глубокое понимание поведения гостевых пользователей при просмотре сайтов помогает находить узкие места по производительности и оптимизировать политики фильтрации контента.

Используя журналы, Logpush и интеграции с SIEM, вы не только повышаете прозрачность интернет-активности гостей, но и усиливаете общий уровень защищённости вашей организации.

До этого момента все описанные методы строились вокруг DNS, главным образом потому, что большая часть трафика в гостевых сетях Wi-Fi использует DNS, а такие конфигурации не требуют установки на устройства агентов или сертификатов. Поэтому защита на основе DNS всегда рекомендуется как отправная точка при обеспечении безопасности гостевых сетей Wi-Fi. К сожалению, существуют способы обойти защиту на основе DNS, например:

• Ручное изменение DNS-резолвера
• Использование IP-адреса для доступа к сайтам (с возможностью сохранения сопоставлений IP и полного доменного имени через файл host)
• Использование несанкционированных VPN-клиентов

По этим причинам стоит также применять эшелонированную защиту и дополнять защиту на уровне DNS механизмами контроля на сетевом уровне.

Для фильтрации на уровне сети Cloudflare должен находиться на пути трафика не только для DNS-запросов. Для этого интернет-трафик направляется через IPsec ↗ туннель к Cloudflare. Cloudflare WAN (ранее Magic WAN) позволяет сторонним устройствам устанавливать туннели IPsec или GRE к сети Cloudflare. Также можно просто развернуть наш Cloudflare One Appliance, предварительно настроенное легковесное сетевое устройство, которое автоматически создает туннель обратно к Cloudflare и может управляться удаленно. После того как трафик достигает Cloudflare, можно наложить несколько уровней контроля безопасности, например:

• Облачный сетевой межсетевой экран (Cloudflare Network Firewall)
• Защищённый веб-шлюз (Gateway)

Ниже показан общий поток трафика, соответствующий приведённой выше диаграмме:

1. Трафик, предназначенный для интернета, из подключённых гостевых сетей будет направляться в Cloudflare, и настроить это можно с помощью маршрута на основе политики. В большинстве гостевых сетей Wi-Fi устройства обычно генерируют только трафик, предназначенный для интернета, поэтому в большинстве случаев достаточно маршрута на основе политики, указывающего ANY в качестве назначения. Например: источник 192.168.53.0/24, назначение ANY, следующий переход: туннель Cloudflare IPsec.
2. Когда трафик достигает границы сети Cloudflare, он сначала проверяется Cloudflare Network Firewall. С его помощью можно создавать блокировки на сетевом и транспортном уровнях, позволяя администраторам ограничивать доступ к определенным IP-адресам или портам назначения. Например, распространенная политика блокирует весь DNS-трафик, не направленный к DNS-резолверам Cloudflare. С помощью пользовательских списков можно импортировать уже существующие списки клиентов. IDS можно включить для отслеживания попыток гостевых пользователей запускать известные эксплойты из вашей гостевой сети. Управляемые угрозы lists позволяют использовать автоматически обновляемые данные Cloudflare об угрозах для блокировки известных угроз, таких как репозитории вредоносного ПО или ботнеты.
3. Далее трафик передаётся в Cloudflare Gateway. В Gateway можно создавать сетевые политики на основе тех же категорий контента и рисков безопасности, что упоминались ранее для политик на основе DNS. Преимущество в том, что при применении этих фильтров на уровне сети они продолжают действовать, даже если пользователь обходит DNS, обеспечивая многоуровневое применение правил. Рекомендуется отражать в них правила на основе DNS в соответствии с политикой допустимого использования вашей организации. Cloudflare Gateway также работает как безопасный исходящий прокси и может выполнять SNAT частных адресов в публичные адреса, маршрутизируемые в интернете. По умолчанию адреса RFC1918 автоматически преобразуются через SNAT в общие исходящие IP-адреса Cloudflare. Это устраняет необходимость управлять PAT напрямую на устройстве на периметре сети, а также обеспечивает дополнительный уровень приватности, поскольку при обращении к сайтам в интернете трафик будет исходить с IP-адресов, принадлежащих Cloudflare. Также можно получить выделенные исходящие IP-адреса, уникальные для вашего аккаунта, и управлять выбором исходящего IP-адреса через политику.
4. Теперь трафик направляется к конечному адресату в интернете, а обратный трафик проходит через edge-сеть Cloudflare и возвращается в соответствующий IPsec-туннель.

Следуя этим рекомендациям и используя Cloudflare Zero Trust, организации могут обеспечить своим гостям безопасный и надёжный доступ по Wi-Fi, соответствующий установленным политикам. Эти меры не только защищают сети, но и повышают прозрачность и позволяют заранее нейтрализовать угрозы.

Если вы хотите узнать больше о Gateway или других аспектах платформы Cloudflare SASE, обратитесь к нашему Библиотека эталонных архитектур или наш Документация для разработчиков чтобы начать работу.

• Переход к архитектуре SASE с Cloudflare
• Варианты развёртывания Cloudflare One Appliance · документация Cloudflare Reference Architecture
• DNS-политики - Cloudflare Zero Trust