NOVOTS KMS 词汇表 Glossary    联系我们 Contact Us
查询 Search  
   
按类别浏览 Browse by Category
NOVOTS KMS .: 病毒安全 .: 如何增强VLAN的安全性

如何增强VLAN的安全性

  千兆以太网技术作为当前的主流局域网技术,已经得到广泛应用。千兆以太网对QoS的保证来源于两个方面:一是标准和协议的制定,如IEEE802.1Q/P、RSVP等;二是第三层交换技术的应用。在QoS的实现策略方面,千兆以太网与ATM一样,也分为4种,即业务分类、排队机制、带宽管理和拥塞控制。

  在LAN交换技术中,虚拟局域网(VLAN/L3交换)是一种迅速发展的技术。VLAN/L3交换技术的引入给网络设计、管理和维护带来某些根本性的改变,使得计算机设备的互联和管理不再受地理环境和位置的制约;使网络结构变得灵活、方便、随心所欲。随着VLAN / L3技术的广泛应用,技术人员提出了新的要求: 是否可以基于LAN环境提供某些服务质量(QoS)特性,以实现对VLAN用户流量控制方面的管理呢?

  针对不同网络设备生产厂家的不同产品,具体可以实现的QoS特性会有较大区别。以3Com公司的企业级千兆交换机Switch4007为例,简单讨论基于该型千兆交换机的QoS特性来增强VLAN安全性的实现方法。

  制定VLAN之间的访问控制策略

  一个典型的校园网环境,一般可以根据不同的业务部门来划分VLAN.我们把所有的外来人员、流动用户或是学生,划到一个独立的VLAN9.出于保护内部网络安全的考虑,我们要限制VLAN9用户对校园网内部其他VLAN的访问,同时允许 VLAN9用户向外的合法访问。基于此,我们制定了如下过滤规则:

  ● 允许VLAN9用户访问DHCP服务器;

  ● 允许VLAN9用户访问FireWall服务器;

  ● 允许VLAN9用户访问校园网内部的一些应用服务器,如VOD视频点播服务器;

  ● 不允许VLAN9用户访问其他VLAN用户;

  ● 允许VLAN9用户访问Internet.

  访问控制策略在3Com 4007上的实现

  (1)创建classfier

  Classfier用于实现源网络/源端口到目的网络/目的端口的流量定义。在本文中,不允许9网段访问其他网段,只能上网,定义规则如表1所示。

  具体实现步骤可以参考有关技术手册。

  基本思路是实现VLAN9→VLAN1、VLAN1→VLAN9、VLAN9→ VLAN2、VLAN2→VLAN9的流量定义,如果网络中存在其他VLAN,可以用相同方法实现。完成了对所有VLAN的流量定义后,就定义完了Classfier 9-to-otherlan,序号为99.

  在创建classfier的过程中,序号非常重要,它决定了控制策略执行的顺序。其他Classfier的定义方法可以参见9-to-otherlan的定义步骤。

  (2)创建Control实现对Classfier的控制

  创建Control来控制各个Classfier,包括允许、拒绝、速率等级等,最重要的是允许/拒绝操作。Control的序列号有顺序要求,先执行低级别的Control.其定义规则如表2所示。

  具体实现步骤可以参考有关技术手册。

  基本思路是首先完成对Control 15到 Internet及Control 14到otherlan的定义,其他Control的定义方法可以参考上述步骤完成。

  在3Com 4007上完成了设计的过滤规则后,还需要在实际的网络环境中做必要的测试,以保证所做的设置是成功的、有效的。


这篇文章对你多有用?

相关文章

article 如何增强收发电子邮件安全
如何增强收发电子邮件安全!所谓安全收发电子邮件有...

(No rating)  10-2-2014    Views: 774   
article 如何增强员工的归属感
无论是对于制造型企业,还是经销型企业,只有凝聚...

(No rating)  4-14-2014    Views: 767   
article 虚拟局域网:VLAN
虚拟局域网:VLAN ...

(No rating)  12-25-2018    Views: 369   

用户评语

添加评语
当前还没有评语.


.: .: .: .: .:
[ 登陆 ]
北京护航科技有限公司 2006

Novots Technologies Limited