基于Vlan技术的企业内部网络的安全策略浅析.docx

?

?

基于Vlan技术的企业内部网络的安全策略浅析

?

?

张珏

摘要：企业内部网络的可靠与否对企业的日常运营有着很大的影响。为了保证企业内网的安全、稳定地运行，需要采用人防+技防相结合的总体策略。该文主要阐述了由Vlan、三层交换技术、ACL控制列表以及端口绑定等几种中小型局域网中常见的技术所构成的安全策略，分析了每一种技术的原理及作用，有针对性地逐步解决了企业内网中容易出现的安全问题。

关键词：Vlan；三层交换；ACL；端口绑定

：TP393：A

：1009-3044（2019）10-0009-03

開放科学（资源服务）标识码（OSID）：

1引言

随着网络的应用越来越广泛，企业的日常运营对内部网络的依赖性也越来越高，网络的安全性与稳定性也日益受到企业的重视。一个没有安全措施防护的企业内部网络，很容易产生病毒蔓延、广播风暴等严重的网络问题，对网络安全造成了严重的威胁，极大地影响了网络的日常使用，甚至会使企业的机密信息外泄。一般来说，企业内网的安全威胁具体体现在以下几个方面：滥用网络资源，降低了员工日常工作效率；内部非法外联，给外部入侵打开了方便之门；重要信息外泄，给企业造成了无可挽回的损失；网络经常瘫痪，影响网络的正常使用；病毒、木马横行肆虐，一旦发作，整个网络再无安全可言，即使花费巨大的代价也不能完全消除这种隐患。

要使企业内部网络一直能处于安全、可靠、保密的环境下运行，需要哪些具体的措施呢？这是网络管理中经常思考的问题。经调查分析，要保证网络安全可靠，对网络管理的要求可简单地概括为以下几点：

?能迅速控制网络内病毒的扩散与蔓延，将影响限制在尽可能小的范围。

?能及时控制广播风暴的形成，防止网络堵塞甚至瘫痪。

?能禁止外来人员自带设备随意接入企业内网，杜绝病毒等安全隐患。

?能有效地控制对关键部门的访问，防止重要数据信息外泄。

要达到以上网络管理目的，需采用人防+技防相结合的方法。也就是说除了制定严格的网络使用规范和惩处制度外，还需要在企业内网中应用由相应的技术所构成安全策略：

（1）使用Vlan划分相互隔离的子网，缩小广播域的范围，防止广播风暴在全网的形成。

（2）使用三层交换技术有控制实现Vlan间的数据交换，禁止随意的访问。

（3）使用防火墙+ACL实现数据包的过滤，控制对关键部门、关键数据的访问。

（4）使用端口安全及访问管理技术实现将交换机端口与下联主机的MAC地址及IP地址的绑定，可以有效地控制随意地接入。

2Vlan及三层交换技术

2.1二层交换的技术缺陷

OSI七层标准网络模型从下至上共分七层，二层交换技术就是基于数据链路层的相关协议来完成数据交换操作的。MAC地址是二层交换技术中数据帧转发的依据，所谓MAC地址就是硬件的物理地址，因此二层交换实际上靠硬件来实现数据交换的。与基于软件的数据交换相比，二层交换的最大优点是速度快，但其也存在着较大的缺点，即其广播域太大容易引起广播风暴，从而可能导致整个网络阻塞而瘫痪；同时二层交换只能把交换范围局限于同一个网络，无法实现不同IP子网间的数据交换，对网络的安全控制能力也较弱。

早期大部分的企业内部信息网络都是在采用二层交换技术为架构的局域网基础之上建立起来的，所采用的组网设备主要包括Hub、网桥或二层交换机等，网络中的所有节点可以没有任何限制的直接通信。当网络规模较小时，网络的性能也许还能满足企业业务处理的需求，但一旦网络的规模随着企业本身的需求而扩大到一定规模时，网络的整体性能也随之会明显下降，特别是大量无效广播包的存在始终是二层交换网络中无法回避的问题。

2.2Vlan的概念及作用

VLAN（VirtualLocalAreaNetwork）是虚拟局域网的英文简称，是一种实现虚拟工作组的网络技术，它是通过将局域网内的设备从逻辑的角度划分在不同的网络分段内、不依靠设备的物理位置实现隔离或分组。不同VLAN内的数据在没有三层路由的支持下是不能直接通信的，一定程度上实现了虚网之间的隔离。这不仅有效地防止来自外部的非法入侵，提高了网络安全性，同时也缩小了广播域，将广播风暴控制在一个VLAN内，大大地改善了网络性能，最终使网络的管理也趋于简单和直接。

由于VLAN可以跨不同的交换机实现，某个网络用户根据自己的业务需求、不受物理位置的限制而自由地移动。只要不改变所属的VLAN，就意味着原来的应用环境没有变化，该用户也不需要做出相应的变化来适应环境，因此VLAN也可以增强网络应用的灵活性。

2.3三层交换技术

OSI网络模型的第三层即网络层，也称IP层，因此三层交换技术，也称IP交换技术。三层交换技术的最大优势是基于二层交换技术基础上借助路由技术实现网络分组的高速转发，因此三层交换技术可以简单地概括为“二层交换技术+路由”。三层交换技术的