网络安全监控设备与交换机之间的通信方法_基于交换技术的局域网安全增强策略分析

摘要: 随着信息技术的发展，信息资源的机密性和完整性越来越受到人们的关注. 传统防火墙用于防止来自内部网络上的外部计算机的恶意攻击. . 总而言之，作为整个网络所在的交换机，它自然要承担网络安全的责任. 本文介绍了基于交换技术的LAN网络安全策略的增强.

关键字: 开关技术；局域网;网络安全性

中文分类号: TP393文档标识号: A货号: 1009-3044（2012）18-4344-02

在这个黑客时代，互联网上肆虐的病毒不断蔓延，尤其是近年来，黑客已使用dsniff，Cain或Windows和Linux系统下的其他友好工具轻松将任何流量转移到他的个人计算机，从而破坏了流量Internet的机密性和完整性，再加上LAN内部的信任危机，用于防止外部计算机对内部网络进行恶意攻击的传统防火墙不再能够确保网络的安全性. 基于上述情况，作为整个网络所在的交换机，自然要承担网络安全的责任. 如何使用与交换机相关的协议和功能来增强LAN网络安全已成为人们在构建LAN时要考虑的问题.

1开关的作用

交换机的最重要作用是转发数据. 在黑客攻击和病毒入侵下，交换机必须能够保持其有效的数据转发速率，而不受攻击的干扰. 它是交换机要求的最基本的安全功能. 同时，交换机作为整个网络的核心，应该能够区分和控制访问和访问网络信息的用户. 更重要的是，该交换机还应该与其他网络安全设备配合使用，以监视并防止未经授权的访问和网络攻击.

2交换技术增强了LAN网络安全策略

2.1划分虚拟局域网VLAN

2.1.1 VLAN概念

虚拟局域网（VLAN）是一组逻辑设备和用户. 这些设备和用户不受物理位置的限制. 可以根据职能，部门和应用程序等因素来组织它们. 似乎它们在同一网段中，因此命名为虚拟局域网. VLAN是一项相对较新的技术. 它适用于OSI参考模型的第2层和第3层. VLAN是广播域. VLAN之间的通信是通过第3层路由器完成的. 与传统的局域网技术相比，VLAN技术更加灵活.

2.1.2 VLAN划分方法

VLAN的划分可以基于不同的原理，主要有三种划分方法:

基于端口的分区: 此方法使用交换机的端口对VLAN成员进行分区. 设置的端口在同一广播域中. 通过交换机端口划分网络成员，配置过程非常简单明了. 从当前的角度来看，这种按端口划分VLAN的方法仍然是最常用的方法.

基于MAC地址的划分: 这种划分VLAN的方法基于每个主机的MAC地址，即，每个MAC地址的主机都配置为它属于哪个组. 这种划分VLAN的方法的最大优点是，当用户的物理位置移动时，即从一台交换机移动到另一台交换机时，无需重新配置VLAN.

基于网络层划分: 这种划分VLAN的方法基于每个主机的网络层地址或协议类型. 尽管这种划分方法是基于网络地址（例如IP地址）的，但它不是路由，因此与网络层路由无关.

2.1.3 VLAN的作用

为了解决以太网的广播问题和安全性，提出了

VLAN. 它基于以太网帧添加VLAN标头，将用户分为具有VLAN ID的较小工作组，并限制工作组用户在第2层互相访问，并且每个工作组都是一个虚拟局域网. 虚拟局域网的优势在于它可以限制广播范围，并可以组成一个虚拟工作组来动态管理网络. 即使两台计算机具有相同的网段，但它们没有相同的VLAN号局域网交换机安全，VLAN中的广播和单播流量也不会转发到其他VLAN，并且它们各自的广播流也不会互相转发. 它有助于控制流量，减少设备投资，简化网络管理并提高网络安全性. VLAN隔离广播风暴，也隔离不同VLAN之间的通信，因此不同VLAN之间的通信需要路由才能完成.

2.2 802.1x增强的安全认证

在传统的LAN环境中，只要有物理连接端口，未经授权的网络设备就可以访问LAN，或者未经授权的用户可以通过连接到LAN的设备进入网络. 这会在局域网中造成潜在的安全威胁. IEEE 802.1x是解决此问题的良药. 它已集成到第二层智能交换机中，以完成用户访问安全审核.

802.1x协议和LAN无缝集成. 802.1x利用交换式LAN体系结构的物​​理特性在LAN端口上实现设备身份验证. 在身份验证过程中，LAN端口可充当身份验证者或请求者. 在充当身份验证者时，LAN端口首先执行身份验证，然后要求用户通过端口访问相应的服务. 如果验证失败，则不允许访问；当作为请求者时，LAN端口负责提交对身份验证服务器服务应用程序的访问. 基于端口的MAC锁定仅允许受信任的MAC地址将数据发送到网络. 来自任何“不受信任”设备的数据流将被自动丢弃以确保最大的安全性. 802.1X允许动态配置访问端口，并在端口级别实施通用的安全策略. 802.1X请求者（供应商）代表需要从网络系统获得服务的用户或设备. 它需要通过网络访问设备从身份验证服务器请求身份验证. 802.1X还可以提供多个级别的用户访问控制，这使其成为网络安全的第一要素. 由于802.1X具有逻辑网络的覆盖范围和网络安全性的提高，因此有助于降低总体风险，增加价值并降低业务运营成本. 一家依赖访问控制的公司安全策略必须包括802.1X.

2.3使用NetFlow应用程序增强网络安全性

一旦局域网受到的分布式拒绝服务攻击，将影响大量用户的正常网络使用，甚至导致网络瘫痪，给企业带来一定的损失. . 如何检测网络中的异常和可疑行为，例如正在传播的蠕虫或DoS攻击. 交换机始终散布在网络中，因此您可以轻松地使用它们来检测拒绝服务攻击，甚至是蠕虫，也是一种好方法. NetFlow用于Cisco路由器和某些高端交换机，并且NetFlow数据通过Cisco NetFlow Collector（NFC）收集，以分析异常流量的类型，流向，后果，数据包类型，地址和端口.

Netflow系统包括三个主要部分: 检测器，收集器和报告系统. 该检测器用于监视网络数据. 收集器用于从检测器收集数据. 报告系统用于根据收集器收集的数据生成易于阅读的报告. Netflow通常与流量监控和管理软件结合使用. 通过监控流量大小的变化，可以帮助我们发现异常流量，特别是大流量异常流量的方向，从而进一步找到异常流量的源地址和目的地址，及时处理异常问题.

2.4访问控制列表

访问控制是网络安全预防和保护的主要策略. 其主要任务是确保不非法使用和访问网络资源. 它是确保网络安全的最重要的核心策略之一. 访问控制涉及广泛的技术，包括网络访问控制，网络访问控制，目录级别控制和属性控制. ACL用于实现包过滤防火墙的安全功能，增强安全防范能力. 可以根据源/目标交换机的插槽，端口，源/目标VLAN，源/目标IP，TCP / UDP端口，ICMP类型或MAC地址来执行访问控制过滤措施.

ACL不仅可以被网络管理员用来制定允许或拒绝控制单个用户或特定数据流的网络策略，而且还可以用来增强网络的安全防护，从而使黑客无法找到特定网络主机正在探测并且无法发起攻击.

2.5交换机端口安全性

最常用的端口安全性是基于MAC地址来控制和管理网络流量，即MAC地址绑定到交换机端口. 绑定MAC地址和端口后，如果发现主机的MAC地址与交换机指定的MAC地址不同，则交换机对应的端口将处于Down状态. 为端口分配MAC地址时局域网交换机安全，端口模式必须处于访问或中继状态. 您还可以通过MAC地址限制端口流量. 此配置允许中继端口最多传递100个MAC地址. 当它超过100时，来自新主机的数据帧将丢失. MAC地址绑定在一定程度上可以确保Intranet的安全性.

3结论

由于交换机在现代信息社会中的卓越性能，因此它们在网络中起着重要的作用. 不同类型的开关具有不同的功能. 如何使用与交换机相关的协议，特征和功能以提高LAN网络安全性应基于每个单元的具体情况. 本文根据作者的经验讨论通过交换机增强LAN网络安全性. 当然，LAN的安全性不仅取决于交换机，还取决于其他网络设备和软件的配合.

参考:

[1]孟莉. 关键词: 局域网，交换技术，安全策略网络安全技术与应用，2011（6）.

[2]威恩，培根. LAN交换机安全性[M]. 孙玉强，孙健，翻译. 北京: 人民邮电出版社，2011年.

[3]巴正喜. 基于交换技术和防病毒系统的局域网安全策略[J]. 福建计算机，2011（6）: 90-91.

[4]吴江，陈婉，杨明等. 关键词: 局域网，黑客，攻防策略计算机知识与技术，2011（6）.

[5]袁亚平，詹永平，范丽丽. 基于VLAN的局域网安全管理[J]. 计算机知识与技术，2008（3）.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-265081-1.html