网站首页/网络技术列表/内容

用VLAN处理宿舍网络安全问题

网络技术2022-05-26阅读
网络技术是从1990年代中期发展起来的新技术,它把互联网上分散的资源融为有机整体,实现资源的全面共享和有机协作,使人们能够透明地使用资源的整体能力并按需获取信息。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等。 当前的互联网只限于信息共享,网络则被认为是互联网发展的第三阶段。

大学宿舍网络的管理可以评定为“最难管理的网络”之一。有些用户安装ARP防火墙,开启主动防御,且设置了较大的值,这样网络被大量的无用ARP数据包占据。另外一个现象,很多用户没有安装杀毒软件或者没有及时升级,计算机被病毒感染后,向网络发送大量的病毒包。在交换机性能不变的情况下,数据包转发量恒定,ARP包和病毒包多了,有效数据包就少了,所以网络的传输速度就明显慢了下来,且过多的无用数据包还会导致交换机性能的下降。

启示:传统VLAN无法应对大学宿舍

传统的解决方法是给每个客户分配一个VLAN和相关的IP子网,通过使用VLAN,每个客户被从第2层隔离开,可以防止任何恶意的行为和Ethernet的信息探听。然而,这种分配每个客户单一VLAN和IP子网的模型造成了巨大的可扩展方面的局限。这些局限主要有下述几方面:

*VLAN的限制:交换机固有的VLAN数目的限制;

*复杂的STP:对于每个VLAN,每个相关的SpanningTree的拓扑都需要管理;

*IP地址的紧缺:IP子网的划分势必造成一些IP地址的浪费;

*路由的限制:每个子网都需要相应的默认网关的配置,如果使用HSRP,每个子网都需相应的缺省网关的配置

很多厂商的交换机中引入了一种新的VLAN机制,主要作用是将客户端只能与自己的缺省网关通信。这一新的VLAN特性就是专用VLAN(PrivateVLAN,PVLAN)。这种特性是不但适合大学校园,也很适用于IDC。

IDC环境是一个典型的多客户的服务器群结构,每个托管客户从一个公共的数据中心中的一系列服务器上提供Web服务,属于不同客户的服务器之间的安全就显得至关重要。一个专用VLAN不需要多个VLAN和IP子网就提供了这样的安全连接。在这一模型中,所有的服务器都接入专用VLAN,从而实现了所有服务器与缺省网关的连接,而与专用VLAN内的其他服务器没有任何访问。


网络的神奇作用吸引着越来越多的用户加入其中,正因如此,网络的承受能力也面临着越来越严峻的考验―从硬件上、软件上、所用标准上......,各项技术都需要适时应势,对应发展,这正是网络迅速走向进步的催化剂。

标签:VLAN
相关阅读