利用交換機轉(zhuǎn)發(fā)過濾 提高網(wǎng)絡(luò)安全性能
當數(shù)據(jù)幀到達交換機接口時，交換機就將數(shù)據(jù)幀的目的地址與轉(zhuǎn)發(fā)/過濾MAC數(shù)據(jù)庫中的地址進行比較，如果目的硬件地址是已知的且已經(jīng)在交換機的MAC數(shù)據(jù)庫中，幀就只會被發(fā)送到正確的外出接口。交換機將不會把幀送往除了目的地接口之外的任何其他接口，這就保留了在其它網(wǎng)段上的帶寬。這種技術(shù)就是交換機的轉(zhuǎn)發(fā)過濾技術(shù)。
這種技術(shù)對于提高網(wǎng)絡(luò)性能與網(wǎng)絡(luò)安全很有作用。筆者將通過兩個例子來談?wù)勥@種技術(shù)對于交換式網(wǎng)絡(luò)的重要意義。
案例一：利用二層交換機來隔離沖突域
如現(xiàn)在有一臺交換機連著四臺主機，分別為A、B、C、D。假設(shè)現(xiàn)在主機A要發(fā)一個數(shù)據(jù)包給主機D。當交換機收到主機A發(fā)過來的數(shù)據(jù)幀之后，該如何處理呢?
1、若交換機中沒有主機A或者主機D的MAC地址信息
如果這個網(wǎng)絡(luò)是剛剛組建，又或則出于某種原因，網(wǎng)絡(luò)管理員把交換機重置后，則交換機的轉(zhuǎn)發(fā)/過濾表會被清除。此時，由于主機A的MAC地址不在轉(zhuǎn)發(fā)/過濾表中，所以，交換機會將主機A的MAC地址和端口添加到自己的MAC數(shù)據(jù)庫中，然后再把幀轉(zhuǎn)發(fā)到主機D中。但是，如果主機D的MAC地址不在交換機的MAC數(shù)據(jù)庫中，則交換機會將幀轉(zhuǎn)發(fā)到除了主機A連接的接口之外的其他所有接口中。也就是說，在交換機不知道目的主機MAC地址的時候，則交換機上的除了本臺設(shè)備之外的其他任何設(shè)備，如主機B、C、D都將收到主機A發(fā)出的數(shù)據(jù)包。很明顯，此時交換機的一些帶寬就會被浪費掉。在這種情形下，轉(zhuǎn)發(fā)過濾技術(shù)并不能夠帶來多大的益處。
2、若交換機知道目的主機的MAC地址
假設(shè)交換機通過ARP等機制，在自己的MAC地址庫中已經(jīng)知道了所連接設(shè)備的MAC地址，如主機A、B、C、D的MAC地址。要了解這些信息不難。只要這個網(wǎng)絡(luò)存在一定時間，則通過地址學習功能，交換機可以記錄相關(guān)設(shè)備的MAC地址信息。
在交換機已經(jīng)了解了其相鄰設(shè)備的MAC地址后，當交換機接收到主機A發(fā)過來的數(shù)據(jù)幀之后，會如何處理呢?交換機首先會讀取數(shù)據(jù)幀中的目的MAC地址。然后在自己的MAC地址庫中進行查找。發(fā)現(xiàn)有匹配的MAC地址后，就從MAC地址庫中查詢中對應的交換機出口。然后再把數(shù)據(jù)幀從這個出口轉(zhuǎn)發(fā)出去。從這個轉(zhuǎn)發(fā)的過程中，我們可以看到數(shù)據(jù)幀是一進一出。而不像集線器一樣，是一進多出;或者像上面提到的不知道目的MAC地址那樣，也是一進多出。在這種情形下，交換機直接把數(shù)據(jù)幀準確無誤的轉(zhuǎn)發(fā)到對應的接口上。很明顯，此時就不會對其他網(wǎng)段的帶寬帶來不利的影響。
通過這種轉(zhuǎn)發(fā)過濾技術(shù)，就可以在最大限度內(nèi)避免沖突域的產(chǎn)生，從而在很大程度上提高網(wǎng)絡(luò)性能。
在利用二層交換機來隔離沖突域時，要注意一個問題。當交換機不知道目的MAC地址的話，則交換機并不能夠起到隔離沖突域的作用。因為此時，交換機仍然會把數(shù)據(jù)幀轉(zhuǎn)發(fā)到所有的交換機接口中。故當網(wǎng)絡(luò)管理員利用交換機組建比較大型的網(wǎng)絡(luò)時，不要頻繁的重復啟動交換機等網(wǎng)絡(luò)設(shè)備。因為重新啟動后，其MAC地址庫中的內(nèi)容可能會丟失。如此的話，交換機就又要重零開始學習MAC地址以及MAC地址與端口的對應表。
案例二：保護交換機端口的安全
在交換機管理中，還有一個難點就是如何防止非授權(quán)用戶的主機介入到交換機的端口上? 也就是說，在一個角落中放置了一臺交換機，其中可能還有一些空閑的端口。此時，如何來保障這些端口的安全性呢?是否所有人或者網(wǎng)絡(luò)設(shè)備都可以隨意的連接到這些空閑的端口呢?答案當然是否定的。接下去，筆者就談?wù)勅绾蝸肀Ｗo交換機端口的安全。這跟交換機的轉(zhuǎn)發(fā)過濾決定也是息息相關(guān)的。
在思科的二層交換機中，提供了一些端口安全的保護機制。我們進入到某個交換機的接口之后，利用Switchport port-security命令，加上?通配符，就可以查看相關(guān)的端口安全選項。其實，要實現(xiàn)端口安全，也是基于轉(zhuǎn)發(fā)過濾技術(shù)實現(xiàn)的。其基本原理就是通過對交換機的MAC地址庫進行管理，來實現(xiàn)交換機端口的安全性。
若不設(shè)置交換機端口安全(這是思科交換機的默認設(shè)置)，交換機采用的是動態(tài)的MAC地址映射技術(shù)。即交換機可以自動學習連接到其接口的網(wǎng)絡(luò)設(shè)備的MAC地址，從而完成數(shù)據(jù)幀的轉(zhuǎn)發(fā)。而基于端口的安全策略的實現(xiàn)，就是對這個自動MAC地址學習的能力進行干預。如下面幾種方式，就是筆者常用的一些解決方法。
一是把交換機某個接口允許的源MAC地址進行設(shè)置。在思科交換機中，可以利用Switchport port-security MAC地址 MAC地址命令，把某個交換機接口允許接入的網(wǎng)絡(luò)設(shè)備的MAC地址手工的添加進去。通過這個命令，可以將單個的MAC地址分配到交換機的每個端口中。若新接入的網(wǎng)絡(luò)設(shè)備，其MAC地址不在這個列表中，則就無法通過這個端口進行通信。也就是說，只要采用了這個命令，交換機就會關(guān)閉地址學習功能。當然，這種配置的話，當連接在某個接口上的網(wǎng)絡(luò)設(shè)備比較多，工作量就會變得比較大。為此，除非有特殊的需要，否則的話，筆者基本不采用這種方式。
二是可以通過設(shè)置，讓交換機一個接口只允許接入一臺網(wǎng)絡(luò)設(shè)備。默認情況下，交換機的一個端口可以接入無數(shù)的設(shè)備，在不考慮網(wǎng)絡(luò)性能與IP地址限制的前提下。但是，在一些特殊的應用下，我們往往只允許交換機的某個端口只允許接入一臺網(wǎng)絡(luò)設(shè)備。如有時候，在部門級別的網(wǎng)絡(luò)應用上，如網(wǎng)絡(luò)打印機等等。出于性能與安全的考慮，網(wǎng)絡(luò)管理員要確保這個服務(wù)器所在的接口只連接一臺網(wǎng)絡(luò)設(shè)備。因為若有多個設(shè)備連接到同一個接口中，則它們屬于同一個沖突域。一方面這會影響這個服務(wù)器的性能;另一方面，其他用戶也可以通過網(wǎng)絡(luò)偵聽技術(shù)竊取服務(wù)器的相關(guān)信息，從而降低服務(wù)器的安全性能。為此，網(wǎng)絡(luò)管理員就有必要確保交換機某個接口上只能夠連接有一臺網(wǎng)絡(luò)設(shè)備。這即可以利用上面的靜態(tài)配置MAC地址實現(xiàn);也可以通過如下的命令實現(xiàn)。
Switchport port-security maximun 1
Switchport port-security violation shutdown
這兩條命令的意思就是某個交換機的接口最多只能夠連接一臺網(wǎng)絡(luò)設(shè)備。當超過這個最大數(shù)量時，這個端口就會被關(guān)閉。如果發(fā)生了端口被關(guān)閉的狀況，即時用戶把新增加的網(wǎng)絡(luò)設(shè)備移除，這個端口仍然不會被自動啟用。網(wǎng)絡(luò)管理員要通過no shutdown來重新啟動端口。
三是可以通過Sticky來實現(xiàn)交換機端口的安全性。這跟靜態(tài)配置MAC地址就有異曲同工之妙。只是其不用用戶手工的配置MAC地址。當網(wǎng)絡(luò)管理員組建好網(wǎng)絡(luò)之后，交換機首先會自動學習相關(guān)的MAC地址。等到網(wǎng)絡(luò)運行穩(wěn)定之后，網(wǎng)絡(luò)管理員在進行特定的接口并利用Sticky參數(shù)。此時交換機對應接口的MAC地址庫動態(tài)學習功能就會被關(guān)閉。若用戶增加其他網(wǎng)絡(luò)設(shè)備，這個接口將不會接受其新的MAC地址。通過這種方式，就可以省去手工配置MAC地址的麻煩。設(shè)置后，只要在交換機不間斷運行的過程中，這個MAC地址限制將會一直有效，除非網(wǎng)絡(luò)管理員認為的改變他。
思科交換機就是通過這種方式來提高其端口的安全性。同時也可以通過這種方式，提高特定接口的工作效率。
不過基于轉(zhuǎn)發(fā)過濾的二層交換機，還有一個先天性的缺陷。如當主機A因為某種原因，如病毒等等，發(fā)送廣播數(shù)據(jù)包的時候，那么非常不幸的，這個數(shù)據(jù)包將會在交換機的各個接口進行轉(zhuǎn)發(fā)，從而占用了一些不必要的帶寬支出?？梢?，交換機雖然可以有效隔離沖突域，但是對于廣播域則無能為力。
隨著交換機設(shè)備越來越便宜，筆者越來越喜歡在企業(yè)網(wǎng)絡(luò)中采用交換機設(shè)備來提高網(wǎng)絡(luò)的性能與實現(xiàn)部分安全性。轉(zhuǎn)發(fā)過濾技術(shù)確實可以在很大程度上幫助網(wǎng)絡(luò)管理員實現(xiàn)網(wǎng)絡(luò)性能與安全方面的需求。若企業(yè)真在采用思科的交換機設(shè)備，那么就不要浪費，把其潛力盡量發(fā)揮出來吧。
【編輯推薦】
