交换机的安全技术浅析.pdfVIP

——一． 鋈茎堂望焦兰垒笙茎叁； 交换机的安全技术浅析 。 傅莉 南京普天通信股份有限公司有线系统部 各种技术对于网络安全所起的作用；另外，针对目前大面积的蠕虫病毒等恶性病毒提出了将交换机的安全与IDS关联起来的 理念，在网络交换机层面上更好的防范病毒入侵。 关键词l网络安全交换机入侵 一、简介 机、路由器等组网设备的安全性的要求也越来越高，我们知道，对于病毒的入侵或非法用户的入侵，可在 PC机或服务器上可以安装软件防火墙，甚至硬件防火墙，但这些防火墙只对PC机、服务器起到一定的病毒 ／非法入侵阻隔作用，而对于病毒扩散或非法入侵的介质——网络而言，则没有太大的用处，而且网络设备 在病毒的攻击下极有可能瘫痪，使得用户无法访问网络资源。为了在病毒扩散的路径，即网络设备(包括以 太网交换机、路由交换机等)上遏制病毒，有必要在这些设备中集成相应的安全技术。地址绑定技术可以防 止非授权用户的非法访问网络；VLAN技术可以将网络用户在二层(即链路层)隔离开来，保护重要的网络 资源；流量控制可以限制用户访问网络的流量，对于广播风暴以及黑客大量的攻击(如DoS攻击)有一定 全级别要求较高的企业用户或政府、军队等；用户认证技术通过与RADIUS服务器的交互工作，可对用户 的用户名、密码进行校验，从而对合法用户进行授权；至于ACL，则是一种较灵活的过滤机制，可以分析 IP包头，甚至TCP的端口号，以及应用层的协议，采用流的机制，由网络管理员设置需要过滤的数据流。 另外，由于传统的IDS系统具有一定的局限性，文中提出了IDS与交换机联动的概念，能够更好的阻隔各 种入侵。 二、地址绑定 关系的用户访问网络，这是一种被普遍采用的、简单的安全技术，可以防止非授权用户盗用MAC地址或IP 地址。只需要在交换机的端口上锁定合法的地址表，该交换机端口就会自动检查流入的数据的源MAC地址 以及源lP地址，～旦发现与地址表中条目不同，就丢弃数据包，这样，非法用户就无法访问网络。但这种 技术无法检测代理，如果合法用户安装了代理，那么非法用户就可以通该代理访问网络。不过，在这种情况 下，交换机会发现本地端口流量较大，可向网管中心报警，提醒网络管理员及时检查该交换机相应端口的用 户，尽可能杜绝非法接入。对于代理检测，如果采用用户认证方式，则可以得到较好的解决。 纛、VLAN(虚拟局域网) 在交换机上对用户进行VLAN划分，规定用户只能够访问本VLAN中的资源，如图1所示： 128 与VLAN2中的PC机通信，一般用来存放共享数据。值得注意的是，中间的计算机在收发数据包时必须有 IEEE802．1Q中规定的VLAN标记，否则无法进行正常通信。 上面介绍的是完全基于二层的VLAN安全技术，实际上，运营商在部署网络时要求用户在二层隔离， 既解决了安全问题，又节省了IP地址。 四、流量控制 最初的流量控制并不是对病毒入侵或非法访问而提出的，丽只是应用在以太网链路上半双工以及全双工 暂停帧，尽量保证数据的可靠传输。在实际的应用中，我们需要对广播风暴进行抑制，比如，交换机收到大 于端口带宽的10％的广播包，则启动广播包抑制功能，一方面抑制送往CPU的广播包，防止CPU塞死，另 一方面，只向其他端口转发少量的广播包，防止网络瘫痪。广播风暴的抑制只可以在一定程度上保护交换机 的安全，实际网络中会大量存在复杂的职数据包，同样可能使得交换机宕机，如果启用流量控制功能，即 限制交换机每端口的数据带宽，丢弃超过带宽的数据，则更大程度上保证了交换机安全性。 五、VPN(虚拟专用网) 丽将远程的分支办公室、商业k伙伴、移动办公人员等连接起来。由于VPN不是一个私有网络，人们完全町 以截获、收集并分析其中的数据，因此，VPN的安全性能就显得尤为重要。VPN采用隧道技术实现在公众 toPoint 网上传输私有数据，目前，较流行的用于构建VPN的隧道协议有3种：PPTP(Point Protoc01)、 Tunneling 2 L2TP(LayerTun