利用VLAN与ACL技术提高电子政务网互联安全.docVIP

利用VLAN与ACL技术提高电子政务网互联安全 　　摘?要 本文通过对网络规划管理方面安全性的VLAN技术以及通过控制数据流量降低受攻击风险所采用的ACL技术分别进行介绍，并结合实际情况，将两种技术在某政府电子政务系统中的应用，从而实现了提高电子政务网互联的安全效果。 　　关键词 VLAN；ACL；电子政务网安全 　　中图分类号 TP393 文献标识码 A 文章编号 1673-9671-(2012)052-0138-01 　　电子政务网络多为复杂的办公网络系统，通常因部门或者业务功能的不同划分了非常多的群组，若在网络管理上混乱，则其安全性将受到极大的考验。除此，电子政务网络中涉及的办公或业务需求，常常要求在信息点间通信和内外网络通信，这也就给内网使用带来了可能受到病毒攻击的隐患。出于以上两种安全性的考虑，在网络管理上采用了VLAN技术来提高管理动态网络能力和安全功能；而在针对内网安全性，在过滤网络流量方面采用了ACL技术。两种技术在加强电子政务网互联安全方面起到了相当大的作用。 　　1 VLAN的介绍以及运用 　　1.1 VLAN技术简介及分析 　　VLAN（Virtual Local Area Network）的中文名为“虚拟局域网”，是把同一物理局域网内根据不同类别逻辑地划分成不同的广播域，从而实现虚拟工作组的数据交换技术。只有VLAN协议的第三层以上交换机才具有此功能。VLAN的出现，有助于有效的控制流量，简化网络管理，减少设备的投资，以此提高网络安全性。它在以太网帧的基础上增加了VLAN头，用VLAN ID将用户群组划分为更细小的工作组，不同工作组之间的用户互访被限制，每个工作组就构成一个虚拟局域网。虚拟局域网形成虚拟工作组，能够动态的管理网络，限制广播范围。且VLAN技术的使用提高了网络整体的安全性，使网路管理简单，直观。从技术角度讲，VLAN的划分可依据不同原则，目前的VLAN技术主要有以下三种划分方法：基于端口的VLAN划分、基于MAC地址的VLAN划分和基于网络层协议的VLAN划分。相对于基于MAC地址和基于网络层协议的VLAN划分，基于端口的VLAN技术定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。这种划分方式相对安全，且对于网络管理员来说容易配置和维护，适合于电子政务网络的使用。 　　1.2 VLAN技术在电子政务网上的运用 　　以最常使用的基于端口的VLAN技术为例子，该划分是把一个或多个交换机上的几个端口划分一个逻辑组，只需网络管理员对网络设备的交换端口进行重新分配而不用考虑该端口所连接的设备。分配到同一个VLAN的各个网段上的所有节点都在同一个广播域中，可以直接通信。不同的VLAN间的端口不能直接相互通信，因此每个VLAN都有自己独产的生成树。此划分解决了电子政务网络中存在的按职能功能不同可以相互隔离独立的问题。若不同的VLAN节点间的通信则需要通过路由器或支持三层路由协议的交换机进行。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。这就完全解决了电子政务网中复杂的网络结构出现位于不同物理位置和连接到不同交换机中的用户如何使之处于同一VLAN的难题。如某电子政务网中有数百台计算机，为了提高网络传输速率，可以将所有用户划分为n个VLAN。虽然各单位各部门各科室在不同的楼层，连接到不同的交换机，但仍然能够根据其连接的端口将其划分到同一VLAN。 　　2 ACL技术介绍以及作用 　　2.1 ACL简介及执行过程 　　ACL即Access Control List，中文名为访问控制列表。ACL适用于IP、IPX等所有的被路由协议，是用来控制端口进出的数据包，交换机和路由器接口的指令列表。这张表中包含了条件、匹配关系和查询语句，表只是一个框架结构，其目的是为控制某种访问。目前，ACL的分类主要有标准ACL和扩展ACL。 　　按照列表中条件语句的执行顺序，来判断一个端口应该执行哪条ACL。一个数据包的报头如果出现跟表中某个条件判断语句相匹配，那么后面的语句就被省略掉，不再进行检查。一般交给ACL中的接下一个条件判断语句进行比较的情况，只有在数据包跟第一个判断条件不匹配时才会出现。如果跟第一个判断条件匹配，则所有数据都会马上发送到目的接口。如果在全部ACL判断语句均检测完毕后，依旧没有可匹配的语句出口，则该数据包将视为被拒绝而被丢弃。 　　2.2 ACL在电子政务网络中的作用 　　1）ACL具有可以限制网络流量、提高网络性能。 　　2）ACL提供对通信流量的控制手段。 　　3）ACL是提供网络安全访问的基本手段。如ACL允许主机A访问人力资源网络，而拒绝主机B访问。 　　4）ACL可以在路由器端口处决定哪种类型的通信流