局域網(wǎng)的組建與應(yīng)用分析(編輯修改稿)
2024-07-22 11:56 本頁面
【文章內(nèi)容簡介】 這兩個節(jié)點的網(wǎng)卡所接收，也同時為處在同一以太網(wǎng)上的任何一個節(jié)點的網(wǎng)卡所截取。因此，黑客只要接入以太網(wǎng)上的任一節(jié)點進行偵聽，就可以捕獲發(fā)生在這個以太網(wǎng)上的所有數(shù)據(jù)包，對其進行解包分析，從而竊取關(guān)鍵信息，這就是以太網(wǎng)所固有的安全隱患。事實上，Internet上許多免費的黑客工具，如SATAN、ISS、NETCAT等等，都把以太網(wǎng)偵聽作為其最基本的手段。當(dāng)前，局域網(wǎng)安全的解決辦法有以下幾種：網(wǎng)絡(luò)分段網(wǎng)絡(luò)分段通常被認 局域網(wǎng)為是控制網(wǎng)絡(luò)廣播風(fēng)暴的一種基本手段，但其實也是保證網(wǎng)絡(luò)安全的一項重要措施。其目的就是將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽，網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。海關(guān)的局域網(wǎng)大多采用以交換機為中心、路由器為邊界的網(wǎng)絡(luò)格局，應(yīng)重點挖掘中心交換機的訪問控制功能和三層交換功能，綜合應(yīng)用物理分段與邏輯分段兩種方法，來實現(xiàn)對局域網(wǎng)的安全控制。例如：在海關(guān)系統(tǒng)中普遍使用的DEC MultiSwitch900的入侵檢測功能，其實就是一種基于MAC地址的訪問控制，也就是上述的基于數(shù)據(jù)鏈路層的物理分段。以交換式集線器代替共享式集線器對局域網(wǎng)的中心交換機進行網(wǎng)絡(luò)分段后，以太網(wǎng)偵聽的危險仍然存在。這是因為網(wǎng)絡(luò)最終用戶的接入往往是通過分支集線器而不是中心交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當(dāng)用戶與主機進行數(shù)據(jù)通信時，兩臺機器之間的數(shù)據(jù)包（稱為單播包Unicast Packet）還是會被同一臺集線器上的其他用戶所偵聽。一種很危險的情況是：用戶TELNET到一臺主機上，由于TELNET程序本身缺乏加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機會。因此，應(yīng)該以交換式集線器代替共享式集線器，使單播包僅在兩個節(jié)點之間傳送，從而防止非法偵聽。當(dāng)然，交換式集線器只能控制單播包而無法控制廣播包（Broadcast Packet）和多播包（Multicast Packet）。所幸的是，廣播包和多播包內(nèi)的關(guān)鍵信息，要遠遠少于單播包。VLAN的劃分為了克服以太網(wǎng)的廣播問題，除了上述方法外，還可以運用VLAN（虛擬局域網(wǎng)）技術(shù)，將以太網(wǎng)通信變?yōu)辄c到點通信，防止大部分基于網(wǎng)絡(luò)偵聽的入侵。VLAN技術(shù)主要有三種：基于交換機端口的VLAN、基于節(jié)點MAC地址的VLAN和基于應(yīng)用協(xié)議的VLAN?；诙丝诘腣LAN雖然稍欠靈活，但卻比較成熟，在實際應(yīng)用中效果顯著，廣受歡迎。基于MAC地址的VLAN為移動計算提供了可能性，但同時也潛藏著遭受MAC欺詐攻擊的隱患。而基于協(xié)議的VLAN，理論上非常理想，但實際應(yīng)用卻尚不成熟。在集中式網(wǎng)絡(luò)環(huán)境下，我們通常將中心的所有主機系統(tǒng)集中到一個VLAN里，在這個VLAN里不允許有任何用戶節(jié)點，從而較好地保護敏感的主機資源。在分布式網(wǎng)絡(luò)環(huán)境下，我們可以按機構(gòu)或部門的設(shè)置來劃分VLAN。各部門內(nèi)部的所有服務(wù)器和用戶節(jié)點都在各自的VLAN內(nèi)，互不侵擾。VLAN內(nèi)部的連接采用交換實現(xiàn)，而VLAN與VLAN之間的連接則采用路由實現(xiàn)。大多數(shù)的交換機（包括海關(guān)內(nèi)部普遍采用的DECMultiSwitch 900）都支持RIP和OSPF這兩種國際標準的路由協(xié)議。如果有特殊需要，必須使用其他路由協(xié)議（如CISCO公司的EIGRP或支持DECnet的IS－IS），也可以用外接的多以太網(wǎng)口路由器來代替交換機，實現(xiàn)VLAN之間的路由功能。當(dāng)然，這種情況下，路由轉(zhuǎn)發(fā)的效率會有所下降。無論是交換式集線器還是VLAN交換機，都是以交換技術(shù)為核心，它們在控制廣播、防止黑客上相當(dāng)有效，但同時也給一些基于廣播原理的入侵監(jiān)控技術(shù)和協(xié)議分析技術(shù)帶來了麻煩。因此，如果局域網(wǎng)內(nèi)存在這樣的入侵監(jiān)控設(shè)備或協(xié)議分析設(shè)備，就必須選用特殊的帶有SPAN（Switch PortAnalyzer）功能的交換機。這種交換機允許系統(tǒng)管理員將全部或某些交換端口的數(shù)據(jù)包映射到指定的端口上，提供給接在這一端口上的入侵監(jiān)控設(shè)備或協(xié)議分析設(shè)備。筆者在廈門海關(guān)外部網(wǎng)設(shè)計中，就選用了Cisco公司的具備SPAN功能的Catalyst系列交換機，既得到了交換技術(shù)的好處，又使原有的Sniffer協(xié)議分析儀“英雄有用武之地”。故障排查網(wǎng)絡(luò)不通這是最常見的問題，解決問題的基本原則是先軟后硬。（1）先從軟件方面去考慮，檢查是否正確安裝了TCP/IP協(xié)議，是否為局域網(wǎng)中的每臺計算機都指定了正確的IP地址。（2）使用Ping命令，看其他的計算機是否能夠Ping通。如果不通，則證明網(wǎng)絡(luò)[2]連接有問題；如果能夠Ping通但是有時候丟失數(shù)據(jù)包，則證明網(wǎng)絡(luò)傳輸有阻塞，或者說是網(wǎng)絡(luò)設(shè)備接觸不大好，需要檢查網(wǎng)絡(luò)設(shè)備。（3）當(dāng)整個網(wǎng)絡(luò)都不通時，可能是交換機或集線器的問題，要看交換機或集線器是否在正常工作。（4）如果只有一臺電腦網(wǎng)絡(luò)不通，即打開這臺電腦的“網(wǎng)絡(luò)鄰居”時只能看到本地計算機，而看不到其他計算機，可能是網(wǎng)卡和交換機的連接有問題，則要首先看一下RJ45水晶頭是不是接觸不良。然后再用測線儀，測試一下線路是否斷裂。最后要檢查一下交換機上的端口是否正常工作。連接故障（1）檢查RJ45接口是否制作好，RJ45是10BASET網(wǎng)絡(luò)標準中的接口形式，已被廣泛使用，其內(nèi)部有8個線槽，線槽含義遵循EIA/TIA568國際標準，在10BASET網(wǎng)絡(luò)中2線為發(fā)送線，6線為接收線。在雙機進行連接的時候，其中的6線需要對調(diào)。否則也會造成網(wǎng)絡(luò)的不通。（2）檢查HUB或者交換機的接頭是否有問題，如果某個接口有問題，可以換一個接口來測試。網(wǎng)卡故障（1）網(wǎng)卡的問題不太明顯，所以在測試的時候最好是先測試網(wǎng)線，再測試網(wǎng)卡，如果有條件的話，可以使用測線儀或者萬用表進行測試。（2）查看網(wǎng)卡是否正確安裝驅(qū)動程序，如果沒有安裝驅(qū)動程序，或者驅(qū)動程序有問題，則需要重新安裝驅(qū)動程序。（3）硬件沖突。需要查看與什么硬件沖突，然后修改對應(yīng)的中斷號和I/O地址來避免沖突，有些網(wǎng)卡還需要
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1