[转载]交换机网络安全策略全方位解析

  [转载]交换机网络安全策略全方位解析

文章作者：Jerry


交换机在企业网中占有重要的地位，通常是整个网络的核心所在。在这个黑客入侵风起云涌、病毒肆虐的网络时代，作为核心的交换机也理所当然要承担起网络安全的一部分责任。因此，交换机要有专业安全产品的性能，安全已经成为网络建设必须考虑的重中之中。安全交换机由此应运而生，在交换机中集成安全认证、ACL（Access Control List，访问控制列表）、防火墙、入侵检测甚至防毒的功能，网络的安全真的需要“武装到牙齿”。

安全交换机三层含义

交换机最重要的作用就是转发数据，在黑客攻击和病毒侵扰下，交换机要能够继续保持其高效的数据转发速率，不受到攻击的干扰，这就是交换机所需要的最基本的安全功能。同时，交换机作为整个网络的核心，应该能对访问和存取网络信息的用户进行区分和权限控制。更重要的是，交换机还应该配合其他网络安全设备，对非授权访问和网络攻击进行监控和阻止。

安全交换机的新功能

802.1x强安全认证

在传统的局域网环境中，只要有物理的连接端口，未经授权的网络设备就可以接入局域网，或者是未经授权的用户可以通过连接到局域网的设备进入网络。这样给一些企业造成了潜在的安全威胁。另外，在学校以及智能小区的网络中，由于涉及到网络的计费，所以验证用户接入的合法性也显得非常重要。IEEE 802.1x 正是解决这个问题的良药，目前已经被集成到二层智能交换机中，完成对用户的接入安全审核。

802.1x协议是刚刚完成标准化的一个符合IEEE 802协议集的局域网接入控制协议，其全称为基于端口的访问控制协议。它能够在利用IEEE 802局域网优势的基础上提供一种对连接到局域网的用户进行认证和授权的手段，达到了接受合法用户接入，保护网络安全的目的。

802.1x协议与LAN是无缝融合的。802.1x利用了交换LAN架构的物理特性，实现了LAN端口上的设备认证。在认证过程中，LAN端口要么充者，要么扮演请求者。在作为认证者时，LAN端口在需要用户通过该端口接入相应的服务之前，首先进行认证，如若认证失败则不允许接入；在作为请求者时，LAN端口则负责向认证服务器提交接入服务申请。基于端口的MAC锁定只允许信任的MAC地址向网络中发送数据。来自任何“不信任”的设备的数据流会被自动丢弃，从而确保最大限度的安全性。

在802.1x协议中，只有具备了以下三个元素才能够完成基于端口的访问控制的用户认证和授权。

1. 客户端。一般安装在用户的工作站上，当用户有上网需求时，激活客户端程序，输入必要的用户名和口令，客户端程序将会送出连接请求。

2. 认证系统。在以太网系统中指认证交换机，其主要作用是完成用户认证信息的上传、下达工作，并根据认证的结果打开或关闭端口。

3. 认证服务器。通过检验客户端发送来的身份标识（用户名和口令）来判别用户是否有权使用网络系统提供的网络服务，并根据认证结果向交换机发出打开或保持端口关闭的状态。

流量控制

安全交换机的流量控制技术把流经端口的异常流量限制在一定的范围内，避免交换机的带宽被无限制滥用。安全交换机的流量控制功能能够实现对异常流量的控制，避免网络堵塞。

防DDoS

企业网一旦遭到大规模分布式拒绝服务攻击，会影响大量用户的正常网络使用，严重的甚至造成网络瘫痪，成为服务提供商最为头疼的攻击。安全交换机采用专门的技术来防范DDoS攻击，它可以在不影响正常业务的情况下，智能地检测和阻止恶意流量，从而防止网络受到DDoS攻击的威胁。

虚拟局域网VLAN

虚拟局域网是安全交换机必不可少的功能。VLAN可以在二层或者三层交换机上实现有限的广播域，它可以把网络分成一个一个独立的区域，可以控制这些区域是否可以通讯。VLAN可能跨越一个或多个交换机，与它们的物理位置无关，设备之间好像在同一个网络间通信一样。VLAN可在各种形式上形成，如端口、MAC地址、IP地址等。VLAN限制了各个不同VLAN之间的非授权访问，而且可以设置IP/MAC地址绑定功能限制用户的非授权网络访问。

基于访问控制列表的防火墙功能

安全交换机采用了访问控制列表ACL来实现包过滤防火墙的安全功能，增强安全防范能力。访问控制列表以前只在核心路由器才获使用。在安全交换机中，访问控制过滤措施可以基于源/目标交换槽、端口、源/目标VLAN、源/目标IP、TCP/UDP端口、ICMP类型或MAC地址来实现。

ACL不但可以让网络管理者用来制定网络策略，针对个别用户或特定的数据流进行允许或者拒绝的控制，也可以用来加强网络的安全屏蔽，让黑客找不到网络中的特定主机进行探测，从而无法发动攻击。

入侵检测IDS

安全交换机的IDS功能可以根据上报信息和数据流内容进行检测，在发现网络安全事件的时候，进行有针对性的操作，并将这些对安全事件反应的动作发送到交换机上，由交换机来实现精确的端口断开操作。实现这种联动，需要交换机能够支持认证、端口镜像、强制流分类、进程数控制、端口反查等功能

设备冗余也重要

物理上的安全也就是冗余能力是网络安全运行的保证。任何厂商都不能保证其产品不发生故障，而发生故障时能否迅速切换到一个好设备上，是令人关心的问题。后备电源、后备管理模块、冗余端口等冗余设备就能保证即使在设备出现故障的情况下，立刻赋予后备的模块、安全保障网络的运行。

安全交换机的布署

安全交换机的出现，使得网络在交换机这个层次上的安全能力大大增强。安全交换机可以配备在网络的核心，如同思科Catalyst 6500这个模块化的核心交换机那样，把安全功能放在核心来实现。这样做的好处是可以在核心交换机上统一配置安全策略，做到集中控制，而且方便网络管理人员的监控和调整。而且核心交换机都具备强大的能力，安全性能是一项颇费处理能力的工作，核心交换机做起这个事情来能做到物尽其能。

把安全交换机放在网络的接入层或者汇聚层，是另外一个选择。这样配备安全交换机的方式就是核心把权力下放到边缘，在各个边缘就开始实施安全交换机的性能，把入侵和攻击以及可疑流量堵在边缘之外，确保全网的安全。这样就需要在边缘配备安全交换机，很多厂家已经推出了各种边缘或者汇聚层使用的安全交换机。它们就像一个个的堡垒一样，在核心周围建立起一道坚固的安全防线。

安全交换机有时候还不能孤军奋战，如PPPoE认证功能就需要Radius服务器的支持，另外其他的一些交换机能够和入侵检测设备做联动的，就需要其他网络设备或者服务器的支持。

安全交换机的升级

目前市场上出了很多新的安全交换机，它们是一出厂就天生具备了一些安全的功能。那么一些老交换机如何能够得到安全上的保障呢。一般来说，对于模块化的交换机，这个问题很好解决。普遍的解决方式是在老的模块化交换机上插入新的安全模块，如思科Catalyst 6500就带有防火墙模块、入侵检测IDS模块等等安全模块；神州数码的6610交换机配备了PPPoE的认证模块，直接插入老交换机就能让这些“老革命”解决新问题。

如果以前购置的交换机是固定式的交换机，一些有能力的型号就需要通过升级固件firmware的形式来植入新的安全功能。

安全交换机的前景

随着用户对网络环境的需求越来越高，对具备安全功能的交换机的需求也越来越大。很多用户认为，花一定的投资在交换机的安全上，对整个网络健壮性和安全性的提高是值得的。特别是一些行业用户，他们对网络的需求绝非连通即可。如银行、证券以及大型企业，网络病毒爆发一次或者入侵带来的损失，足以超过在安全交换机上的额外投资。安全交换机已经成为交换机市场上的一个新亮点。