mplsvpn環(huán)境下的網(wǎng)絡(luò)管理系統(tǒng)的部署(編輯修改稿)
2025-05-13 06:52 本頁面
【文章內(nèi)容簡介】 VPN的方式。 (4) 保證管理網(wǎng)絡(luò)的安全性盡管設(shè)置management VPN，在VRF中對路由進行了控制，為了網(wǎng)管子網(wǎng)和CE的安全性，仍需在CE上設(shè)置ACL來限制對CE的訪問，設(shè)置對端口號的限制很重要，例如只允許來自網(wǎng)管的SNMP、TFTP。建議如下： 允許從網(wǎng)管到CE址的SNMP、TFTP等，拒絕其他 允許從CE到網(wǎng)管的已經(jīng)建立的TCP （established），拒絕其他以上的ACL應(yīng)用在CE連接PE的端口的輸入列表（input list）。這樣VPN中的其他設(shè)備（未被管理的CE或者主機、服務(wù)器等）不能和網(wǎng)管建立連接。只有從合法地址（CE 上用于網(wǎng)絡(luò)管理的地址）來的對網(wǎng)管的響應(yīng)能進入網(wǎng)管子網(wǎng)。另一個選項是縮小網(wǎng)管子網(wǎng)，例如在MPE上建立32位掩碼的靜態(tài)路由：IP route vrf management MPLS VPN solution Host/32 MCE_addressIP route vrf management CW2000/32 MCE_address為了防止不正確的路由的注入，可以加一條：ip route vrf management 為防止從CE訪問到MCE，還可以在MPE上與MCE連接的端口上設(shè)置輸出ACL：permit packet to {MPLS VPN solution Host, CW2000 Host,CIPM Host etc.}and deny everthing else網(wǎng)管安全總結(jié)：1. MPE上配置以下命令:ip route vrf management MPLS VPN Solution host ip/32 mce_addressip route vrf management cipm host ip/32 mce_addressTo dump unknowns, add this mand:ip route vrf management 2. 在MCE、CE 上也盡可能使用靜態(tài)路由如果必須使用動態(tài)路由，可以用RIP。只進行路由的單向重分發(fā)：從BGP重分發(fā)到RIP，但不要反向分發(fā)。3. MCE上設(shè)置ACL ：output access list: on link with access to the VPNs, make an output access list as follows: permit {MPLS VPN Solution host, CIPM host} to managed_CE_address deny allThe input access list is as follows: permit managed_CE_address to {MPLS VPN Solution host, CIPM host} with tcpestablished deny all4. 為保護 Management CE, 在MPE與MCE相連的management VPN端口上設(shè)置ACL: permit to {MPLS VPN Solution host, CIPM host} deny all5. 如果需要，在MPE與MCE之間Ipv4 鏈路上也可以設(shè)置ACL，這取決于從骨干網(wǎng)上訪問網(wǎng)管子網(wǎng)的需要。附錄：測試MPLS/VPN 環(huán)境下網(wǎng)絡(luò)管理――集中管理P、PE和CE路由器雖然MPLS/VPN將網(wǎng)絡(luò)分成了P Network （服務(wù)提供商網(wǎng)）和 C Network( 客戶網(wǎng)絡(luò)，即各VPN)，對于銀行或證券公司網(wǎng)絡(luò)來說，仍然屬于同一個管理域之下。例如，對于一個省行，其骨干網(wǎng)和各業(yè)務(wù)子系統(tǒng)網(wǎng)絡(luò)都需要從省分行網(wǎng)絡(luò)中心進行統(tǒng)一管理。即從同一網(wǎng)管平臺，能夠?qū)θW(wǎng)（包括P路由器、PE路由器、需集中管理的CE路由器和其他C網(wǎng)設(shè)備）進行管理。本測試即采用同一網(wǎng)管平臺（CiscoWorks for Windows ）
公司管理相關(guān)推薦
鄂ICP備17016276號-1