現(xiàn)在的企業(yè)網(wǎng)絡(luò)中，到達(dá)桌面的網(wǎng)速越來越快。這雖然給用戶帶來了很好的應(yīng)用體驗(yàn)，但是也帶來了很大的安全隱患。如果來自用戶的流量(無論是有意的還是無意的)存在著惡意，那么就有可能使得企業(yè)的網(wǎng)絡(luò)發(fā)生擁塞或者DOS網(wǎng)絡(luò)中斷等等故障。為此網(wǎng)絡(luò)管理員在快速以太網(wǎng)時(shí)代，更加應(yīng)該重視桌面訪問的安全。 簡單地一條安全原則就是只允許授權(quán)的用戶或者合法的用戶可以訪問企業(yè)的網(wǎng)絡(luò)，而拒絕其他任何未經(jīng)授權(quán)的訪問。在不少的網(wǎng)絡(luò)設(shè)備中，都可以通過MAC地址來管控流量，從而保證企業(yè)網(wǎng)絡(luò)的安全。
一、通過控制交換機(jī)學(xué)習(xí)MAC地址的數(shù)量來管控流量
在思科的交換機(jī)中，有一個(gè)很重要的安全特性，即可以基于主機(jī)MAC地址而允許流量。通過這種方式，可以在很大程度上提高交換機(jī)等網(wǎng)絡(luò)設(shè)備的端口安全。什么叫做基于主機(jī)MAC地址允許流量功能呢?簡單的說，就是允許單個(gè)端口能夠允許多少個(gè)特定樹木的MAC地址。也就是說，在端口的MAC地址表中，允許記錄多少個(gè)主機(jī)MAC地址。如果超過的話，那么交換機(jī)就會(huì)拒絕轉(zhuǎn)換。通過這種機(jī)制就可以有效的保障端口的安全。
如企業(yè)現(xiàn)在有會(huì)議室、員工辦公室等場所。如果按照普通部署的話，每個(gè)交換機(jī)的接口都可以學(xué)習(xí)到很多的MAC地址。如果在以前，各個(gè)客戶段的網(wǎng)絡(luò)速度不怎么快，那么也沒什么問題。但是如果大多數(shù)桌面都實(shí)現(xiàn)了快速以太網(wǎng)或者吉比特以太網(wǎng)連接的話，情況就不同了。就算不是員工故意，客戶端仍然可能在用戶不知情的情況下，被黑客當(dāng)作肉雞來使用。此時(shí)就可能會(huì)給企業(yè)網(wǎng)絡(luò)帶來很大的安全隱患。此時(shí)筆者建議網(wǎng)絡(luò)管理員，可以通過“基于主機(jī)MAC地址允許流量的功能來提高端口的安全性。如可以將普通用戶端口銜知道1個(gè)學(xué)到的MAC地址，而將會(huì)議室端口限制到20個(gè)MAC地址(可以根據(jù)參與會(huì)議的人員數(shù)量來進(jìn)行適當(dāng)?shù)恼{(diào)整)。這么設(shè)置根本的目的只有一個(gè)，就是只允許授權(quán)訪問的用戶采用能夠使用企業(yè)的網(wǎng)絡(luò)，拒絕任何未經(jīng)過授權(quán)的用戶。
二、啟用規(guī)則以及違反規(guī)則的處理
要在思科交換機(jī)上啟用“基于主機(jī)MAC地址允許流量的功能，相對來說比較簡單。如通過命令set port security就可以實(shí)現(xiàn)。這個(gè)命令可以用來配置每個(gè)端口所允許的 大MAC地址數(shù)。具體的配置相對來說比較簡單，筆者不做過多的闡述。筆者要重點(diǎn)講解的內(nèi)容是如果后續(xù)用戶的流量違背了這個(gè)規(guī)則，交換機(jī)該如何來處理這些流量。筆者再次強(qiáng)調(diào)一遍，這個(gè)非常的重要。這對企業(yè)安全網(wǎng)絡(luò)的組建、對后續(xù)故障的解決，都有很重要的價(jià)值。
首先我們來看看，在什么情況下流量會(huì)違背這兩個(gè)安全原則?通常情況下，存在兩種原因。一是未經(jīng)許可的訪問，也就是說安全端口接收到的數(shù)據(jù)幀是未經(jīng)管理員授權(quán)的;二是當(dāng)交換機(jī)端口已經(jīng)學(xué)習(xí)到所允許的 大數(shù)目的MAC地址之后，交換機(jī)系統(tǒng)又受到了新的數(shù)據(jù)幀。無論以上任何一種原因，其 終都是觸犯了端口的安全規(guī)則。 后都會(huì)受到一定的“懲罰。交換機(jī)會(huì)自動(dòng)檢測。當(dāng)檢測到任何違規(guī)的數(shù)據(jù)幀時(shí)，都會(huì)及時(shí)采取措施以確保企業(yè)網(wǎng)絡(luò)的安全。
其次我們來分析一下交換機(jī)會(huì)采取的行為。在任何時(shí)刻，交換機(jī)檢測到以上的違規(guī)行為，都可能會(huì)采取以下的任何一種措施。一是關(guān)閉，即將這個(gè)端口永久的或者在某個(gè)周期內(nèi)設(shè)置為ERR-DISABLE狀態(tài)，關(guān)閉其數(shù)據(jù)通信的能力。二是限制，即這個(gè)端口仍然將正常的工作，只是將來自未經(jīng)授權(quán)的主機(jī)的數(shù)據(jù)流量丟棄。三是保護(hù)，即當(dāng)交換機(jī)端口已經(jīng)超過所允許學(xué)習(xí)MAC地址數(shù)量的時(shí)候，交換機(jī)仍然將正常轉(zhuǎn)發(fā)數(shù)據(jù)，而只是將來自新主機(jī)的數(shù)據(jù)幀丟棄。網(wǎng)絡(luò)管理員選擇任何的處理措施。但是選擇哪個(gè)方式好呢?這也沒有統(tǒng)一的答案。通常情況下，需要根據(jù)交換機(jī)所處的位置來進(jìn)行選擇。如這個(gè)交換機(jī)所處的位置比較關(guān)鍵，如實(shí)一個(gè)關(guān)鍵的服務(wù)器群組交換機(jī)，則 好使用限制選賢，使得服務(wù)器操作不受到任何違反規(guī)則的影響。相反，如果交換機(jī)處在交換層，既是所謂的接入層交換機(jī)的話，則 好通過關(guān)閉的處理方式，不過需要結(jié)合計(jì)時(shí)器來使用。如此的話，如果用戶終端發(fā)生意味的非授權(quán)移動(dòng)的時(shí)候，交換機(jī)會(huì)自動(dòng)進(jìn)行調(diào)整，而不需要穩(wěn)拿滾落管理員重新建立連接來進(jìn)行手工干預(yù)。如果在那些僅僅基于IOS軟件的交換機(jī)上，則建議使用保護(hù)這種處理策略。
總之，當(dāng)用戶的數(shù)據(jù)幀違背了既定的規(guī)則之后，還采取什么處理措施呢?這往往沒有統(tǒng)一的答案。這主要要根據(jù)網(wǎng)絡(luò)管理員的經(jīng)驗(yàn)來判斷。如果選擇的好的話，可以起到事半功倍的效果。相反，如果選擇的不合適的話，有可能使搬起石頭砸自己的腳。一般來說，網(wǎng)絡(luò)管理員需要從交換機(jī)位置、網(wǎng)絡(luò)環(huán)境、企業(yè)對于安全的需要來進(jìn)行抉擇。
三、啟用這個(gè)功能的注意事項(xiàng)
如果需要在基于思科設(shè)備的交換網(wǎng)絡(luò)中，啟用“基于主機(jī)MAC地址允許流量安全措施時(shí)，需要注意如下內(nèi)容。
首先需要注意，思科交換機(jī)的型號(hào)不同，接口所允許的 大MAC地址數(shù)量也有所不同。如對于常見的6500系列的交換機(jī)，其就支持多達(dá)1025個(gè)MAC地址(其中1個(gè)默認(rèn)的MAC地址和1024個(gè)常規(guī)的MAC地址)。由于交換機(jī)型號(hào)不同，其所支持的MAC地址數(shù)量由比較大的差異。為此在選購交換機(jī)的時(shí)候，如果需要這個(gè)功能，那么就需要考慮這個(gè)參數(shù)。
其實(shí)需要注意的是，交換機(jī)端口所支持的MAC數(shù)量不同，其MAC地址分配的方式也有很大的不同。如對于6500系列交換機(jī)來說，一般情況下有兩種常見的分配方式。一種方式是為其中一個(gè)端口分配1025個(gè)MAC地址，然后給其他的端口分配一個(gè)MAC地址。另一種方式是為某個(gè)端口分配201個(gè)MAC地址，而為第二個(gè)端口分配701個(gè)MAC地址，為第三個(gè)端口分配125個(gè)MAC地址，剩余端口都分配一個(gè)MAC地址。至于采取那種分配方式更加合理，這里沒有統(tǒng)一的標(biāo)準(zhǔn)答案。通常情況下，都需要網(wǎng)絡(luò)管理員根據(jù)企業(yè)網(wǎng)絡(luò)應(yīng)用于企業(yè)對于安全的需求來確定。
四、啟用“基于主機(jī)MAC地址允許流量功能的 佳步驟
如何才能夠更加有效的使用這個(gè)功能呢?根據(jù)筆者的管理經(jīng)驗(yàn)，認(rèn)為需要如下五個(gè)步驟。
一是評估需要啟用端口安全的端口。在實(shí)際工作中，并不是需要為所有的端口都啟用基于主機(jī)MAC地址允許流量功能。如對于一些經(jīng)常用來做維護(hù)工作的端口，則往往不需要啟用這個(gè)功能。為此在確定需要啟用類似端口安全機(jī)制之前，需要網(wǎng)絡(luò)管理員先進(jìn)行評估。以確定需要以用端口安全技術(shù)的端口。
二是為需要啟用端口安全的端口配置動(dòng)態(tài)學(xué)習(xí)主機(jī)MAC地址。在必要的時(shí)候還可以配置動(dòng)態(tài)學(xué)習(xí)MAC地址所持續(xù)的時(shí)間。通常情況下，可以通過set port security age名來來實(shí)現(xiàn)。
三是制定違背安全的行為。即根據(jù)企業(yè)的實(shí)際情況，如交換機(jī)的位置、對于安全的需求等因素，來考慮到底是采取“禁止措施，還是采取“保護(hù)或者“限制措施。默認(rèn)的設(shè)置是“永久性關(guān)閉。這是一個(gè)比較極端的選項(xiàng)。通常情況下，筆者都建議對其進(jìn)行更改。
四是一個(gè)可選項(xiàng)，不過是筆者推薦的一個(gè)可選項(xiàng)。即如果網(wǎng)絡(luò)管理員選擇“關(guān)閉措施時(shí)，那么 好能夠同時(shí)啟用計(jì)時(shí)器功能。也就是說，設(shè)置這個(gè)端口關(guān)閉多長時(shí)間。因?yàn)橛袝r(shí)候可能用戶是無意冒犯這個(gè)規(guī)則的。所以這個(gè)端口不能夠永遠(yuǎn)關(guān)閉下去。只要能夠保證不會(huì)影響到網(wǎng)絡(luò)的正常使用的前提下，那么仍然可以開放。
五是追蹤。當(dāng)出現(xiàn)任何一個(gè)違背行為時(shí)，交換機(jī)都會(huì)在系統(tǒng)日志中留下蹤跡。網(wǎng)絡(luò)管理員還必須經(jīng)常的查看日志。如果發(fā)現(xiàn)有異常情況時(shí)，如有臺(tái)主機(jī)經(jīng)常違背某個(gè)原則時(shí)，那么就需要追查這臺(tái)主機(jī)的原因。到底是用戶惡意為止還是成為了別人的肉雞。
標(biāo)簽： 網(wǎng)管
掃碼加我微信
