數(shù)據(jù)中心解決方案安全技術(shù)白皮書(shū)(編輯修改稿)
2025-06-26 18:33 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 同VLAN中的服務(wù)器之間完全沒(méi)有互訪要求時(shí)，可以設(shè)置各自連接的端口為隔離端口，如圖。這樣可以更好的保證相同安全區(qū)域內(nèi)的服務(wù)器之間的安全：216。 即使非法用戶利用后門控制了其中一臺(tái)服務(wù)器，但也無(wú)法利用該服務(wù)器作為跳板攻擊該安全區(qū)域內(nèi)的其他服務(wù)器。216。 可以有效的隔離蠕蟲(chóng)病毒的傳播，減小受感染服務(wù)器可能造成的危害。比如：如果Web服務(wù)器遭到了CodeRed紅色代碼的破壞，即使其它Web服務(wù)器也在這個(gè)網(wǎng)段中，也不會(huì)被感染。圖8 交換機(jī)Isolated Vlan 技術(shù) STP Root/BPDU Guard基于Root/BPDU Guard方式的二層連接保護(hù)保證STP/RSTP穩(wěn)定,防止攻擊,保障可靠的二層連接。如圖。圖9 交換機(jī)Root Guard/BPDU Guard 技術(shù) BPDU Guard對(duì)于接入層設(shè)備，接入端口一般直接與用戶終端（如PC機(jī)）或文件服務(wù)器相連，此時(shí)接入端口被設(shè)置為邊緣端口以實(shí)現(xiàn)這些端口的快速遷移；當(dāng)這些端口接受到配置消息（BPDU報(bào)文）時(shí)系統(tǒng)會(huì)自動(dòng)將這些端口設(shè)置為非邊緣端口，重新計(jì)算生成樹(shù)，引起網(wǎng)絡(luò)拓?fù)涞恼鹗?。這些端口正常情況下應(yīng)該不會(huì)收到生成樹(shù)協(xié)議的配置消息的。如果有人偽造配置消息惡意攻擊交換機(jī)，就會(huì)引起網(wǎng)絡(luò)震蕩。BPDU保護(hù)功能可以防止這種網(wǎng)絡(luò)攻擊。交換機(jī)上啟動(dòng)了BPDU保護(hù)功能以后，如果邊緣端口收到了配置消息，系統(tǒng)就將這些端口shutdown，同時(shí)通知網(wǎng)管。被shutdown的端口只能由網(wǎng)絡(luò)管理人員恢復(fù)。推薦用戶在配置了邊緣端口的交換機(jī)上配置BPDU保護(hù)功能。 ROOT Guard由于維護(hù)人員的錯(cuò)誤配置或網(wǎng)絡(luò)中的惡意攻擊，網(wǎng)絡(luò)中的合法根交換機(jī)有可能會(huì)收到優(yōu)先級(jí)更高的配置消息，這樣當(dāng)前根交換機(jī)會(huì)失去根交換機(jī)的地位，引起網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的錯(cuò)誤變動(dòng)。這種不合法的變動(dòng)，會(huì)導(dǎo)致原來(lái)應(yīng)該通過(guò)高速鏈路的流量被牽引到低速鏈路上，導(dǎo)致網(wǎng)絡(luò)擁塞。Root保護(hù)功能可以防止這種情況的發(fā)生。對(duì)于設(shè)置了Root保護(hù)功能的端口，端口角色只能保持為指定端口。一旦這種端口上收到了優(yōu)先級(jí)高的配置消息，即其將被選擇為非指定端口時(shí)，這些端口的狀態(tài)將被設(shè)置為偵聽(tīng)狀態(tài)，不再轉(zhuǎn)發(fā)報(bào)文（相當(dāng)于將此端口相連的鏈路斷開(kāi)）。當(dāng)在足夠長(zhǎng)的時(shí)間內(nèi)沒(méi)有收到更優(yōu)的配置消息時(shí)，端口會(huì)恢復(fù)原來(lái)的正常狀態(tài)。 LOOP PROTECTION交換機(jī)的根端口和其他阻塞端口的狀態(tài)依靠不斷接收上游交換機(jī)發(fā)送的BPDU來(lái)維持的。但是由于鏈路擁塞或者單向鏈路故障，這些端口會(huì)收不到上游交換機(jī)的BPDU。此時(shí)交換機(jī)會(huì)重新選擇根端口，根端口會(huì)轉(zhuǎn)變?yōu)橹付ǘ丝冢枞丝跁?huì)遷移到轉(zhuǎn)發(fā)狀態(tài)，從而交換網(wǎng)絡(luò)中會(huì)產(chǎn)生環(huán)路。環(huán)路保護(hù)功能會(huì)抑制這種環(huán)路的產(chǎn)生。在啟動(dòng)了環(huán)路保護(hù)功能后，根端口的角色如果發(fā)生變化就會(huì)設(shè)置它為Discarding狀態(tài)，阻塞端口會(huì)一直保持在Discarding狀態(tài)，不轉(zhuǎn)發(fā)報(bào)文，從而不會(huì)在網(wǎng)絡(luò)中形成環(huán)路。 TC PROTECTION根據(jù)IEEE ，交換機(jī)監(jiān)測(cè)到拓?fù)渥兓蛘呓邮盏絋C報(bào)文后會(huì)清空MAC表。如果受到TC攻擊(連續(xù)不斷收到TC報(bào)文)交換機(jī)就會(huì)一直進(jìn)行MAC刪除操作，影響正常的轉(zhuǎn)發(fā)業(yè)務(wù)。使能TC PROTECTION功能后，將減少刪除MAC的次數(shù)，保證業(yè)務(wù)的正常運(yùn)行。 端口安全端口安全（Port Security）的主要功能就是通過(guò)定義各種安全模式，讓設(shè)備學(xué)習(xí)到合法的源MAC地址，以達(dá)到相應(yīng)的網(wǎng)絡(luò)管理效果。當(dāng)發(fā)現(xiàn)非法報(bào)文后，系統(tǒng)將觸發(fā)相應(yīng)特性，并按照預(yù)先指定的方式自動(dòng)進(jìn)行處理，減少了用戶的維護(hù)工作量，極大地提高了系統(tǒng)的安全性和可管理性。端口安全的特性包括：NTK：NTK（Need To Know）特性通過(guò)檢測(cè)從端口發(fā)出的數(shù)據(jù)幀的目的MAC地址，保證數(shù)據(jù)幀只能被發(fā)送到已經(jīng)通過(guò)認(rèn)證的設(shè)備上，從而防止非法設(shè)備竊聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)。Intrusion Protection：、密碼，發(fā)現(xiàn)非法報(bào)文或非法事件，并采取相應(yīng)的動(dòng)作，包括暫時(shí)斷開(kāi)端口連接、永久斷開(kāi)端口連接或是過(guò)濾此MAC地址的報(bào)文，保證了端口的安全性。Device Tracking：該特性是指當(dāng)端口有特定的數(shù)據(jù)包（由非法入侵，用戶不正常上下線等原因引起）傳送時(shí)，設(shè)備將會(huì)發(fā)送Trap信息，便于網(wǎng)絡(luò)管理員對(duì)這些特殊的行為進(jìn)行監(jiān)控。表2 端口的安全模式：安全模式類型描述特性說(shuō)明secure禁止端口學(xué)習(xí)MAC地址，只有源MAC為端口上已經(jīng)配置的靜態(tài)MAC的報(bào)文，才能通過(guò)該端口在左側(cè)列出的模式下，當(dāng)設(shè)備發(fā)現(xiàn)非法報(bào)文后，將觸發(fā)NTK特性和Intrusion Protection特性u(píng)serlogin對(duì)接入用戶采用基于端口的此模式下NTK特性和Intrusion Protection特性不會(huì)被觸發(fā)userloginsecure，認(rèn)證成功后端口開(kāi)啟，但也只允許認(rèn)證成功的用戶報(bào)文通過(guò)；此模式下，端口最多只允許接入一；當(dāng)端口從正常模式進(jìn)入此安全模式時(shí)，端口下原有的動(dòng)態(tài)MAC地址表項(xiàng)和已認(rèn)證的MAC地址表項(xiàng)將被自動(dòng)刪除在左側(cè)列出的模式下，當(dāng)設(shè)備發(fā)現(xiàn)非法報(bào)文后，將觸發(fā)Need To Know特性和Intrusion Protection特性u(píng)serloginwithoui與userloginsecure類似，端口最多，但同時(shí)，端口還允許一個(gè)oui地址的報(bào)文通過(guò)；當(dāng)用戶從端口的正常模式進(jìn)入此模式時(shí)，端口下原有的動(dòng)態(tài)MAC地址表項(xiàng)和已認(rèn)證的MAC地址表項(xiàng)將被自動(dòng)刪除macauthentication基于MAC地址對(duì)接入用戶進(jìn)行認(rèn)證userloginsecureormac表示macauthentication和userloginsecure模式下的認(rèn)證可以同時(shí)進(jìn)行，如果都認(rèn)證通過(guò)的話，userloginsecure的優(yōu)先級(jí)高于mac
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1