端口隔离技术在校园网实用性应用探究.docVIP

端口隔离技术在校园网实用性应用探究摘要：该文介绍了端口技术的概况，详细描述了该技术在校园网中应用的主要作用与弊端，并简单介绍了端口隔离技术的配置方法。 关键词：端口隔离；VLAN；病毒 中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)21-5074-02 The Application Research of Port Isolation Technology in the Campus Network Practical SU Ning （City College of Dongguan University of Technology，Dongguan 523106, China） Abstract: This paper introduces the port technology overview, a detailed description of the technology application in the campus network main effects and disadvantages, and introduces the configuration method of port isolation technology. Key words: port isolate; VLAN; virus 近年来随着各高校的不断扩招，在校学生人数也随着不断增长。校园网为了将教育资源更多地共享给学生，不断扩建网络规模和增加信息点。一所普通的高校动辄就拥有上万级别的信息点，网络的稳定可靠性也越来越难以实现。如东莞理工学院城市学院，目前在校学生已有一万余，每个学生在宿舍区几乎都拥有一个独立的百兆网络接口接入校园网。这些在校学生使用网络有点非常明显的特点：数量集中，联网时段集中。这给网络设备造成非常大的压力，而目前PC机的硬盘存储容量已经达到T级别，个人桌面网络连接速度则仍停留在百兆级别，相差甚远。学生在校园网中传输大容量的资源，如高清视频、大型游戏等等，往往会造成网络设备的高负荷运行，容易出现网络设备的硬件资源不足，死机等故障。近年来各厂家针对这种问题研发各种新型网络技术来解决上述问题，目前在各高校使用最为广泛的就是端口隔离技术。笔者所在单位东莞理工学院城市学院也在2008年网络改造时采用了该技术，现就几年来的使用情况和经验进行实用性探讨。 1端口隔离技术简介 有过大型局域网管理经验的人都知道，为了实现报文之间的二层广播隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。VLAN标记中的用于区分不同VLAN的ID字段只有12位，也就是说在同一个局域网中最多只能支持不超过4096个VLAN。对于如上所述的大型校园网，如果为了控制学生在二层之间的广播数据量而单纯使用有限VLAN进行隔离，显然是不明智的。而采用交换设备上的端口隔离特性，我们可以实现在同一虚拟子网内的二层广播数据隔离。网管人员只需将需要将需要隔离的端口加入到隔离组中，就可以实现同一隔离组内端口之间的二层数据隔离。可以说端口隔离技术为校园网提供了更为安全和灵活的组网方案。 2端口隔离技术的作用 2.1端口隔离技术用于防御二层广播型病毒 ARP广播型病毒通过采用假冒网关MAC地址的形式向同一子网内的所以终端机器进行网关欺骗，受欺骗的局域网内所有机器会将数据的传输方向指向中毒机器，从而造成信息被他人窃取或者网络瘫痪。这种病毒如若只传染一部终端，对于网络管理员来说是很容易找出并加以处理的。但是近年来随着ARP病毒的不断变种，其在局域网内伪装性也变得越来越强，最常见的就是其病毒主体感染同一子网内所有机器，令这些感染病毒的机器也同时欺骗网关，那么网管人员就很难确定真正病毒宿主所在，往往都是通过对每台终端进行隔离的排除法来处理，工作量巨大。当采用端口隔离技术后，由于同一子网内的所有机器相互之间不能传播二层广播型数据，所以同一子网来即使有机器感染ARP病毒，也不会向周围同一子网来的机器进行扩散，一定程序上控制了病毒的蔓延。 2.2端口隔离技术用于防止非法DHCP服务器 由于现在小型家用路由的泛滥使用，导致一些不懂网络技术的学生，将家用路由器错接驳到校园中，将其充当交换机使用的形象频频发生。这些错接进大型局域网的路由器在局域网内非法分发IP地址，设置错误的网关，导致网络阻塞在其小型路由器上。解决这些问题往往需要校园网络管理员到现场进行路由器搜查，也给网络管理员带来了大量工作量。目前各高校会DHCP Snoop ing技术来解决该问题，但仅局限于三层汇聚的设备支持该技术，二层设备由于成本原因往往不能支持该技术。若在二层采用端口隔离技术，由于同一子网中的终端二层端口的隔