Security in de access layer: hoe veilig is de Aruba CX 6000 switch?

De Aruba CX 6000 van HPE Aruba Networking is bedoeld als managed Layer 2-switch voor mkb-netwerken, kantoren, winkels en edge-locaties. De vraag is niet alleen of hij genoeg poorten, PoE-opties of beheerfuncties biedt, maar ook of hij veilig genoeg is voor zo’n rol.

In veel organisaties is de access switch het eerste vaste netwerkpunt waar apparaten verbinding maken. Dat kunnen beheerde laptops zijn, maar ook gastapparaten, camera’s, sensoren, printers of tijdelijk aangesloten apparatuur. Zonder aanvullende maatregelen krijgt een apparaat dat op een actieve poort wordt ingeprikt vaak direct toegang tot een VLAN of subnet.

Dat past niet meer goed bij moderne netwerkbeveiliging. Netwerken worden minder overzichtelijk, het aantal IoT-apparaten groeit en kantoren hebben vaker flexplekken of gedeelde ruimtes. Een ongebruikte wandcontactdoos of patchpoort is dan niet alleen een gemak, maar ook een risico. De access layer is daarom een logische plek om te bepalen wie of wat toegang krijgt, tot welk netwerksegment en onder welke voorwaarden.

802.1X speelt daarin een centrale rol. Die standaard regelt port-based network access control: een apparaat moet zich eerst authenticeren voordat normaal netwerkverkeer wordt doorgelaten. In de praktijk werkt dat meestal samen met een RADIUS-server, bijvoorbeeld gekoppeld aan een directory of identity-platform. De switch is daarbij de poortwachter: hij beslist niet zelfstandig wie betrouwbaar is, maar handhaaft het toegangsbeleid dat elders wordt vastgesteld.

De CX 6000 heeft voldoende beveiligingsfuncties voor een gangbare access-layerrol. Belangrijk is wel dat die functies niet vanzelf een veilig netwerk opleveren. Ze moeten bewust worden geactiveerd en passend worden toegepast.

802.1X-authenticatie maakt het mogelijk om apparaten of gebruikers pas netwerktoegang te geven na succesvolle authenticatie. Dat is vooral nuttig voor werkplekken, vaste kantoorpoorten en omgevingen waar onbekende apparaten niet zomaar op het LAN mogen komen.

RADIUS en TACACS+ zorgen voor centrale authenticatie. RADIUS wordt vaak gebruikt voor netwerktoegang door clients, terwijl TACACS+ vooral nuttig is voor beheeraccounts en autorisatie van beheerders.

ACL’s, oftewel access control lists, kunnen verkeer toestaan of blokkeren op basis van onder meer IP-adressen, protocollen en poorten. Daarmee kun je bijvoorbeeld beperken welke systemen een beheerinterface, printer-VLAN of camerasubnet mogen bereiken.

DHCP Snooping helpt tegen ongewenste DHCP-servers. De switch kan DHCP-antwoorden alleen toestaan vanaf vertrouwde poorten, zodat een verkeerd aangesloten router of kwaadwillend apparaat niet zomaar adressen en gateways uitdeelt.

Dynamic ARP Protection controleert ARP-verkeer en helpt aanvallen of fouten beperken waarbij apparaten zich voordoen als een ander systeem in hetzelfde netwerksegment. Dat is vooral relevant in gedeelde VLAN’s.

Secure management via SSH en HTTPS voorkomt dat beheer via onversleutelde protocollen verloopt. Voor een switch die op meerdere locaties wordt beheerd, is dat een basisvoorwaarde.

Firmware- en patchbeheer blijft nodig omdat AOS-CX, net als elk netwerkbesturingssysteem, onderhoud krijgt. Updates kunnen bugs oplossen, compatibiliteit verbeteren en beveiligingsproblemen dichten.

De belangrijkste beveiligingswinst zit niet in het datasheet, maar in de configuratie. Een access switch met goede functies kan alsnog onveilig zijn als alle poorten openstaan, beheer vanaf elk VLAN mogelijk is en updates worden vergeten.

Begin bij de fysieke poorten. Zet ongebruikte poorten administratief uit en documenteer waarom een poort actief is. Dat voorkomt dat een vergeten patchpunt in een vergaderruimte of magazijn ongemerkt toegang biedt tot het netwerk. Bij actieve poorten moet duidelijk zijn of ze bedoeld zijn voor clients, access points, uplinks, printers of infrastructuurapparatuur.

Gebruik 802.1X waar dat praktisch kan. Voor beheerde laptops en vaste werkplekken is dat meestal goed te realiseren. Voor apparaten die 802.1X niet ondersteunen, zoals sommige printers, camera’s of IoT-systemen, kun je een fallback toepassen, bijvoorbeeld MAC-authenticatie of een apart beperkt VLAN. Dat is minder sterk dan certificaatgebaseerde authenticatie, maar vaak beter dan een open poort.

Scheid beheer van gebruikersverkeer. De CX 6000 heeft geen aparte managementpoort zoals sommige hogere modellen, waardoor beheer via de normale netwerkinterfaces loopt. Juist daarom is een apart beheer-VLAN belangrijk. Sta toegang tot SSH, HTTPS en SNMP alleen toe vanaf beheerwerkstations, jump hosts of monitoringservers.

Gebruik ACL’s voor managementinterfaces. Alleen het bestaan van een beheer-VLAN is niet genoeg als te veel systemen dat VLAN kunnen bereiken. Beperk beheer tot bekende IP-ranges en voorkom dat client-VLAN’s rechtstreeks bij de switchconfiguratie kunnen.

Schakel DHCP Snooping en ARP-bescherming bewust in. Daarbij moet je goed vastleggen welke poorten trusted zijn. Uplinks richting router, firewall of DHCP-server horen doorgaans trusted te zijn; clientpoorten juist niet. Een fout daarin kan óf beveiliging verzwakken óf legitiem netwerkverkeer verstoren.

Documenteer trusted en untrusted poorten. Dat klinkt administratief, maar is in de praktijk belangrijk. Bij wijzigingen, storingen of vervanging van apparatuur wil je niet hoeven raden waarom een uplink anders is ingesteld dan een werkplekpoort.

Werk AOS-CX regelmatig bij. Plan updates niet alleen bij problemen, maar neem ze op in regulier beheer. Test waar mogelijk eerst op één switch of locatie en houd rekening met onderhoudsvensters. Voor edge-locaties zonder lokale IT’er is het extra belangrijk dat rollback- en herstelprocedures vooraf duidelijk zijn.

Een veilige access switch is geen vervanging voor segmentatie. De CX 6000 kan helpen om apparaten in het juiste VLAN te plaatsen en verkeer met ACL’s te beperken, maar het netwerkontwerp blijft bepalend. Camera’s, printers, gastapparaten en werkplekken horen niet zonder noodzaak in hetzelfde segment te zitten.

Vooral IoT-apparaten verdienen aandacht. Ze krijgen vaak weinig updates, gebruiken soms oude protocollen en worden zelden actief beheerd. Een access switch kan zulke apparaten scheiden van gewone werkplekken en alleen verkeer toestaan naar de servers of diensten die ze echt nodig hebben. Dat beperkt de schade als zo’n apparaat kwetsbaar blijkt te zijn.

In kleinere omgevingen wordt segmentatie soms overgeslagen omdat het netwerk eenvoudig moet blijven. Juist daar kan een switch als de CX 6000 nuttig zijn: hij biedt genoeg functies om basissegmentatie en toegangscontrole toe te passen zonder meteen naar complexere oplossingen te grijpen. Voor organisaties die HPE Networking-oplossingen vergelijken, biedt het HPE Networking-overzicht van HP Energy aanvullende context.

De CX 6000 is geen firewall. Hij inspecteert geen applicatieverkeer zoals een next-generation firewall dat doet, voert geen IDS/IPS-analyse uit en vervangt geen endpointbeveiliging. Ook is hij op zichzelf geen volledige NAC-oplossing. Voor identiteit, posture checks, gasttoegang en uitgebreide beleidsregels heb je aanvullende systemen nodig, zoals een RADIUS- of NAC-platform.

Ook moet je realistisch zijn over Layer 2-beveiliging. Functies als DHCP Snooping, Dynamic ARP Protection en port security beperken veelvoorkomende fouten en eenvoudige aanvallen, maar ze lossen geen slecht netwerkontwerp op. Als alle systemen in één groot VLAN staan, blijft laterale beweging relatief eenvoudig zodra een apparaat binnen is.

Verder vraagt sterke toegangscontrole om beheerdiscipline. 802.1X kan gebruikers buitensluiten als certificaten verlopen, RADIUS niet beschikbaar is of fallbackregels verkeerd staan. Daarom is gefaseerde invoering verstandig: begin met monitoring of beperkte groepen, documenteer uitzonderingen en zorg voor een noodprocedure.

De Aruba CX 6000 kan een veilige access-layer-switch zijn voor mkb, kantoren en edge-locaties. De benodigde functies zijn aanwezig: 802.1X, centrale authenticatie, ACL’s, DHCP Snooping, Dynamic ARP Protection en veilig beheer via versleutelde protocollen. Daarmee kan de switch helpen om toegang aan de rand van het netwerk te controleren en eenvoudige misconfiguraties of aanvallen te beperken.

De voorwaarde is wel dat beheerders de switch niet als plug-and-play-beveiliging zien. Ongebruikte poorten moeten dicht, managementtoegang moet worden afgeschermd, poorten moeten correct als trusted of untrusted worden ingericht en AOS-CX moet up-to-date blijven.

Daarmee is de HPE Aruba CX 6000 geen complete security-oplossing, maar wel een bruikbare verdedigingslaag. De hardware vormt de basis; de daadwerkelijke beveiliging komt uit consequente configuratie, segmentatie en onderhoud.