交换机安全防范技术实用版

  1. 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。

YF-ED-J4061

可按资料类型定义编号

交换机安全防范技术实用

In Order To Ensure The Effective And Safe Operation Of The Department Work Or Production, Relevant Personnel Shall Follow The Procedures In Handling Business Or Operating Equipment.

(示范文稿)

二零XX年XX月XX日

交换机安全防范技术实用版

提示:该解决方案文档适合使用于从目的、要求、方式、方法、进度等都部署具体、周密,并有很强可操作性的计划,在进行中紧扣进度,实现最大程度完成与接近最初目标。下载后可以对文件进行定制修改,请根据实际需要调整使用。

在网络实际环境中,随着计算机性能的不

断提升,针对网络中的交换机、路由器或其它

计算机等设备的攻击趋势越来越严重,影响越

来越剧烈。交换机作为局域网信息交换的主要

设备,特别是核心、汇聚交换机承载着极高的

数据流量,在突发异常数据或攻击时,极易造

成负载过重或宕机现象。为了尽可能抑制攻击

带来的影响,减轻交换机的负载,使局域网稳

定运行,交换机厂商在交换机上应用了一些安

全防范技术,网络管理人员应该根据不同的设

备型号,有效地启用和配置这些技术,净化局

域网环境。本文以华为3COM公司的Quidway系列交换机为例,分两期为您介绍常用的安全防范技术和配置方法。以下您将学到广播风暴控制技术、MAC地址控制技术、DHCP控制技术及ACL技术。

广播风暴控制技术

网卡或其它网络接口损坏、环路、人为干扰破坏、黑客工具、病毒传播,都可能引起广播风暴,交换机会把大量的广播帧转发到每个端口上,这会极大地消耗链路带宽和硬件资源。可以通过设置以太网端口或VLAN的广播风暴抑制比,从而有效地抑制广播风暴,避免网络拥塞。

1.广播风暴抑制比

可以使用以下命令限制端口上允许通过的

广播流量的大小,当广播流量超过用户设置的值后,系统将对广播流量作丢弃处理,使广播所占的流量比例降低到合理的范围,以端口最大广播流量的线速度百分比作为参数,百分比越小,表示允许通过的广播流量越小。当百分比为100时,表示不对该端口进行广播风暴抑制。缺省情况下,允许通过的广播流量为100%,即不对广播流量进行抑制。在以太网端口视图下进行下列配置:

broadcast-suppression ratio

2.为VLAN指定广播风暴抑制比

同样,可以使用下面的命令设置VLAN允许通过的广播流量的大小。缺省情况下,系统所有VLAN不做广播风暴抑制,即max-ratio值为100%。

MAC地址控制技术

以太网交换机可以利用MAC地址学习功能获取与某端口相连的网段上各网络设备的MAC 地址。对于发往这些MAC地址的报文,以太网交换机可以直接使用硬件转发。如果MAC地址表过于庞大,可能导致以太网交换机的转发性能的下降。MAC攻击利用工具产生欺骗的MAC地址,快速填满交换机的MAC表,MAC表被填满后,交换机会以广播方式处理通过交换机的报文,流量以洪泛方式发送到所有接口,这时攻击者可以利用各种嗅探工具获取网络信息。TRUNK接口上的流量也会发给所有接口和邻接交换机,会造成交换机负载过大,网络缓慢和丢包,甚至瘫痪。可以通过设置端口上最大可以

通过的MAC地址数量、MAC地址老化时间,来抑制MAC攻击。

1.设置最多可学习到的MAC地址数

通过设置以太网端口最多学习到的MAC地址数,用户可以控制以太网交换机维护的MAC 地址表的表项数量。如果用户设置的值为count,则该端口学习到的MAC地址条数达到count 时,该端口将不再对MAC地址进行学习。缺省情况下,交换机对于端口最多可以学习到的MAC地址数目没有限制。

在以太网端口视图下进行下列配置:

mac-address max-mac-count count

2.设置系统MAC地址老化时间

设置合适的老化时间可以有效实现MAC地址老化的功能。用户设置的老化时间过长或者

过短,都可能导致以太网交换机广播大量找不到目的MAC地址的数据报文,影响交换机的运行性能。如果用户设置的老化时间过长,以太网交换机可能会保存许多过时的MAC地址表项,从而耗尽MAC地址表资源,导致交换机无法根据网络的变化更新MAC地址表。如果用户设置的老化时间太短,以太网交换机可能会删除有效的MAC地址表项。一般情况下,推荐使用老化时间age的缺省值300秒。

在系统视图下进行下列配置: mac-address timer { aging age | no-aging }

使用参数no-aging时表示不对MAC地址表项进行老化。

3.设置MAC地址表的老化时间

这里的锁定端口就是指设置了最大学习MAC 地址数的以太网端口。在以太网端口上使用命令mac-address max-mac-count设置端口能够学习的最大地址数以后,学习到的MAC地址表项将和相应的端口绑定起来。如果某个MAC地址对应的主机长时间不上网或已移走,它仍然占用端口上的一个MAC地址表项,从而造成MAC 地址在这5个MAC地址以外的主机将不能上网。此时可以通过设置锁定端口对应的MAC地址表的老化时间,使长时间不上网的主机对应的MAC地址表项老化,从而使其他主机可以上网。缺省情况下,锁定端口对应的MAC地址表的老化时间为1小时。

在系统视图下进行下列配置:

lock-port mac-aging { age-time | no-

age }

DHCP控制技术

DHCP Server可以自动为用户设置IP地址、掩码、网关、DNS、WINS等网络参数,解决客户机位置变化(如便携机或无线网络)和客户机数量超过可分配的IP地址的情况,简化用户设置,提高管理效率。但在DHCP管理使用上,存在着DHCP Server冒充、DHCP Server的Dos攻击、用户随意指定IP地址造成网络地址冲突等问题。

1.三层交换机的DHCP Relay技术

早期的DHCP协议只适用于DHCP Client和Server处于同一个子网内的情况,不可以跨网段工作。因此,为实现动态主机配置,需要为每一个子网设置一个DHCP Server,这显然是不

相关文档
最新文档