浅谈华为核心交换机的安全配置.pdfVIP

维普资讯 州 院 2008年6月第 22卷 第3期 JournalofChizhouCollege Jun．2008VoL22No．3 浅谈华为核心交换机的安全配置 陈京海 (安徽交通技术学校，安徽池州247000) [摘要】本文主要介绍了在局域网环境 中，华为 Quidway核心交换机 的一些安全技术，以及配置的方法，通过这些安全技术的合理配 置。我们可以提高网络环境 的安全性和稳定性。 [关键字】华为；核心交换机 ；安全 ；配置 [中图分类号】TP20 [文献标识码】A [文章编号】l674—1102(2008)03—0057—04 在网络实际环境中，随着计算机性能的不断提 广播流量为 100％，即不对广播流量进行抑制。在 以 升，针对网络中的交换机、路由器或其它计算机等 太网端 口视图下进行下列配置 ： 设备的攻击趋势越来越严重，影响越来越剧烈[1】。交 broadcast-suppressionratio 换机作为局域网信息交换的主要设备，特别是核 1．2 为VLAN 指定广播风暴抑制比 心、汇聚交换机承载着极高的数据流量，在突发异 同样，可以使用上面的命令设置VLAN允许通 常数据或攻击时，极易造成负载过重或宕机现象。 过的广播流量的大小。缺省情况下，系统所有 为了尽可能抑制攻击带来的影响，减轻交换机的负 VLAN不做广播风暴抑制 ，即max—ratio值为 载，使局域网稳定运行 ，交换机厂商在交换机上应 100％。 用了一些安全防范技术，网络管理人员应该根据不 例：允许VLAN2中通过20％的广播报文流量。 同的设备型号，有效地启用和配置这些技术 ，净化 H3Csystem—-view 局域网环境。 SystemView：retum toUserViewwithCtrl+Z． 本文将以华为3COM公司的Quidway系列核心 H【3C】vlan2 交换机为例，介绍常用的安全防范技术和配置方法。 H【3C-vlan2】broadcast-suppression20 1广播风暴控制技术 2 MAC地址控制技术 网卡或其它网络接 口损坏、环路、人为干扰破 以太网交换机可以利用MAC地址学习功能获 坏、黑客工具、病毒传播 ，都可能引起广播风暴，交 取与某端口相连的网段上各网络设备的MAC地 换机会把大量的广播帧转发到每个端 口上，这会极 址。对于发往这些MAC地址的报文，以太网交换机 大地消耗链路带宽和硬件资源。可以通过设置以太 可以直接使用硬件转发。如果MAC地址表过于庞 网端 口或VLAN的广播风暴抑制比，从而有效地抑 大，可能导致以太网交换机的转发性能的下降。 制广播风暴，避免网络拥塞2【】。 MAC攻击利用工具产生欺骗的MAC地址，快速填 1．1广播风暴抑制比 满交换机的MAC表 ，MAC表被填满后，交换机会 可以使用以下命令限制端 口上允许通过的广 以广播方式处理通过交换机的报文，流量以洪泛方 播流量的大小，当广播流量超过用户设置的值后， 式发送到所有接 口，这时攻击者可以利用各种嗅探 系统将对广播流量作丢弃处理，使广播所 占的流量 工具获取网络信息。TRUNK接 口上的流量也会发 比例降低到合理的范围，以端 口最大广播流量的线 给所有接 口和邻接交换机，会造成交换机负载过 速度百分