电脑技术学习

如何增强VLAN的安全性

dn001

千兆以太网技术作为当前的主流局域网技术,已经得到广泛应用。千兆以太网对QoS的保证来源于两个方面:一是标准和协议的制定,如IEEE802.1Q/P、RSVP等;二是第三层交换技术的应用。在QoS的实现策略方面,千兆以太网与ATM一样,也分为4种,即业务分类、排队机制、带宽治理和拥塞控制。

在LAN交换技术中,虚拟局域网(VLAN/L3交换)是一种迅速发展的技术。VLAN/L3交换技术的引入给网络设计、治理和维护带来某些根本性的改变,使得计算机设备的互联和治理不再受地理环境和位置的制约;使网络结构变得灵活、方便、随心所欲。随着VLAN / L3技术的广泛应用,技术人员提出了新的要求: 是否可以基于LAN环境提供某些服务质量(QoS)特性,以实现对VLAN用户流量控制方面的治理呢?

如何增强VLAN的安全性(图一)

针对不同网络设备生产厂家的不同产品,具体可以实现的QoS特性会有较大区别。以3Com公司的企业级千兆交换机Switch4007为例,简单讨论基于该型千兆交换机的QoS特性来增强VLAN安全性的实现方法。

制定VLAN之间的访问控制策略

一个典型的校园网环境,一般可以根据不同的业务部门来划分VLAN。我们把所有的外来人员、流动用户或是学生,划到一个独立的VLAN9。出于保护内部网络安全的考虑,我们要限制VLAN9用户对校园网内部其他VLAN的访问,同时答应VLAN9用户向外的合法访问。基于此,我们制定了如下过滤规则:

● 答应VLAN9用户访问DHCP服务器;

● 答应VLAN9用户访问FireWall服务器;

● 答应VLAN9用户访问校园网内部的一些应用服务器,如VOD视频点播服务器;

● 不答应VLAN9用户访问其他VLAN用户;

● 答应VLAN9用户访问Internet。

访问控制策略在3Com 4007上的实现

(1)创建classfier

Classfier用于实现源网络/源端口到目的网络/目的端口的流量定义。在本文中,不答应9网段访问其他网段,只能上网,定义规则如表1所示。

具体实现步骤可以参考有关技术手册。

基本思路是实现VLAN9→VLAN1、VLAN1→VLAN9、VLAN9→ VLAN2、VLAN2→VLAN9的流量定义,假如网络中存在其他VLAN,可以用相同方法实现。 完成了对所有VLAN的流量定义后,就定义完了Classfier 9-to-otherlan,序号为99。 如何增强VLAN的安全性(图二)

在创建classfier的过程中,序号非常重要,它决定了控制策略执行的顺序。其他Classfier的定义方法可以参见9-to-otherlan的定义步骤。

(2)创建Control实现对Classfier的控制

创建Control来控制各个Classfier,包括答应、拒绝、速率等级等,最重要的是答应/拒绝操作。Control的序列号有顺序要求,先执行低级别的Control。其定义规则如表2所示。

具体实现步骤可以参考有关技术手册。

基本思路是首先完成对Control 15到 Internet及Control 14到otherlan的定义,其他Control的定义方法可以参考上述步骤完成。

在3Com 4007上完成了设计的过滤规则后,还需要在实际的网络环境中做必要的测试,以保证所做的设置是成功的、有效的。


标签: