基于非对称VLAN的端口隔离技术研究与应用.pdfVIP

第 S1期 华东师范大学学报 (自然科学版) No．S1 2015年3月 JournalofEastChinaNormalUniversity(NaturalScience) M ar．2O15 文章编号 ：1000—5641(2015)S1—0232—08 基于非对称 VLAN的端 口隔离技术研究与应用 林初建， 张四海，王海英，冯 雷，赵 君 (南开大学信息化建设与管理办公室，天津 300071) 摘要 ：高校校园网络存在着复杂的安全问题 ，局域 网中广播报文引起 的报文欺骗 、流量劫持和 广播风暴等安全威胁频繁发生．通过 VLAN技术对交换机端 口进行隔离，可以避免广播报文引 起 的网络安全问题．在研究 VLAN技术原理的基础上 ，给出了基于非对称 VLAN模 型 的交换 机端 口隔离部署方案． 关键词 ：VLAN； 非对称 ； 混杂模式 ； 端 口隔离 中图分类号 ：TP393．1 文献标识码 ：A DOI：10．3969／j．issn．1000—5641．2015．z1．037 Researchandapplicationofportisolationbasedon asymmetricVLAN LINChu—jian， ZHANGSi—hai， WANG Hai—ying， FENGLei， ZHAOJun (OfficeofInformatizationConstructionandManagement，NankaiUniversity，Tianjin 300071，China) Abstract： Therearecomplexsecurityissueshappenedfrequently incampusnetworkcausedby broadcastpacketsofLAN(LocalAreaNetwork)，suchaspacketspoofing，hijackingandbroad— caststorm andSOon．Itispossibletoavoidsuchnetworksecurityissuescausedbybroadcast packetsbyportisolationbasedonVLAN technology．ResearchtheprinciplesofVLAN andgive deploymentof theswitchportisolationbasedonthemodelofasymmetricVLAN． Keywords： VLAN ； asymmetric； hybridmode； portisolation 0 引 言 高校校园网作为信息化的基础设施 ，是高校教学科研 的重要支撑平 台之一．高校校园 网复杂的结构、庞大的规模和密集活跃 的用户群体，使之面临多重安全隐患．从局域网接入 角度出发 ，存在如下几种较有代表性的安全威胁． 0．1 以太 网环境 中的ARP攻击 在局域网中，网络攻击者利用 ARP协议 固有的漏洞，通过发送伪造的ARP广播报文， 伪装出 目标主机的MAC地址 ，从而达到劫持用户流量或泛洪攻击的 目的．[1 0．2 IPOE和PPPOE面临的安全 隐患 校园网基础架构趋于扁平化 ，宽带远程接入服务器 BRAS逐渐部署到网络核心，用户 收稿 日期 ：2014—10 第一作者 ：林初建，男，硕士 ，实验师，研究方 向为计算机 网路 ．Email：linchujian@nankai．edu．cn． 第 S1期 林初建，等 ：基于非对称VLAN的端I=I隔离技术研究与应用 233 接入也相应的由静态分配 IP地址方式向IPOE或 PPPOE演变．IPOE基于 DHCP分配地 址的方式和 PPPOE连接建立的过程 ，仍无法规避 同一广播域中私设 DHCP或 PPPoE服 务器造成 的网关欺骗和流量劫持问题． 0．3 接入端环路造成的广播风暴 高校校园网用户较为活跃，其使用网络的行为难以全面管控 ，错误连接局域网设备造成 环路的情况时有发生．环路带来的广播风暴会导致同一