正文內容

數據中心解決方案安全技術白皮書(編輯修改稿)

2026-06-26 18:33 本頁面

　

【文章內容簡介】同VLAN中的服務器之間完全沒有互訪要求時，可以設置各自連接的端口為隔離端口，如圖。這樣可以更好的保證相同安全區域內的服務器之間的安全：216。即使非法用戶利用后門控制了其中一臺服務器，但也無法利用該服務器作為跳板攻擊該安全區域內的其他服務器。216。可以有效的隔離蠕蟲病毒的傳播，減小受感染服務器可能造成的危害。比如：如果Web服務器遭到了CodeRed紅色代碼的破壞，即使其它Web服務器也在這個網段中，也不會被感染。圖8 交換機Isolated Vlan 技術 STP Root/BPDU Guard基于Root/BPDU Guard方式的二層連接保護保證STP/RSTP穩定,防止攻擊,保障可靠的二層連接。如圖。圖9 交換機Root Guard/BPDU Guard 技術 BPDU Guard對于接入層設備，接入端口一般直接與用戶終端（如PC機）或文件服務器相連，此時接入端口被設置為邊緣端口以實現這些端口的快速遷移；當這些端口接受到配置消息（BPDU報文）時系統會自動將這些端口設置為非邊緣端口，重新計算生成樹，引起網絡拓撲的震蕩。這些端口正常情況下應該不會收到生成樹協議的配置消息的。如果有人偽造配置消息惡意攻擊交換機，就會引起網絡震蕩。BPDU保護功能可以防止這種網絡攻擊。交換機上啟動了BPDU保護功能以后，如果邊緣端口收到了配置消息，系統就將這些端口shutdown，同時通知網管。被shutdown的端口只能由網絡管理人員恢復。推薦用戶在配置了邊緣端口的交換機上配置BPDU保護功能。 ROOT Guard由于維護人員的錯誤配置或網絡中的惡意攻擊，網絡中的合法根交換機有可能會收到優先級更高的配置消息，這樣當前根交換機會失去根交換機的地位，引起網絡拓撲結構的錯誤變動。這種不合法的變動，會導致原來應該通過高速鏈路的流量被牽引到低速鏈路上，導致網絡擁塞。Root保護功能可以防止這種情況的發生。對于設置了Root保護功能的端口，端口角色只能保持為指定端口。一旦這種端口上收到了優先級高的配置消息，即其將被選擇為非指定端口時，這些端口的狀態將被設置為偵聽狀態，不再轉發報文（相當于將此端口相連的鏈路斷開）。當在足夠長的時間內沒有收到更優的配置消息時，端口會恢復原來的正常狀態。 LOOP PROTECTION交換機的根端口和其他阻塞端口的狀態依靠不斷接收上游交換機發送的BPDU來維持的。但是由于鏈路擁塞或者單向鏈路故障，這些端口會收不到上游交換機的BPDU。此時交換機會重新選擇根端口，根端口會轉變為指定端口，而阻塞端口會遷移到轉發狀態，從而交換網絡中會產生環路。環路保護功能會抑制這種環路的產生。在啟動了環路保護功能后，根端口的角色如果發生變化就會設置它為Discarding狀態，阻塞端口會一直保持在Discarding狀態，不轉發報文，從而不會在網絡中形成環路。 TC PROTECTION根據IEEE ，交換機監測到拓撲變化或者接收到TC報文后會清空MAC表。如果受到TC攻擊(連續不斷收到TC報文)交換機就會一直進行MAC刪除操作，影響正常的轉發業務。使能TC PROTECTION功能后，將減少刪除MAC的次數，保證業務的正常運行。端口安全端口安全（Port Security）的主要功能就是通過定義各種安全模式，讓設備學習到合法的源MAC地址，以達到相應的網絡管理效果。當發現非法報文后，系統將觸發相應特性，并按照預先指定的方式自動進行處理，減少了用戶的維護工作量，極大地提高了系統的安全性和可管理性。端口安全的特性包括：NTK：NTK（Need To Know）特性通過檢測從端口發出的數據幀的目的MAC地址，保證數據幀只能被發送到已經通過認證的設備上，從而防止非法設備竊聽網絡數據。Intrusion Protection：、密碼，發現非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此MAC地址的報文，保證了端口的安全性。Device Tracking：該特性是指當端口有特定的數據包（由非法入侵，用戶不正常上下線等原因引起）傳送時，設備將會發送Trap信息，便于網絡管理員對這些特殊的行為進行監控。表2 端口的安全模式：安全模式類型描述特性說明secure禁止端口學習MAC地址，只有源MAC為端口上已經配置的靜態MAC的報文，才能通過該端口在左側列出的模式下，當設備發現非法報文后，將觸發NTK特性和Intrusion Protection特性userlogin對接入用戶采用基于端口的此模式下NTK特性和Intrusion Protection特性不會被觸發userloginsecure，認證成功后端口開啟，但也只允許認證成功的用戶報文通過；此模式下，端口最多只允許接入一；當端口從正常模式進入此安全模式時，端口下原有的動態MAC地址表項和已認證的MAC地址表項將被自動刪除在左側列出的模式下，當設備發現非法報文后，將觸發Need To Know特性和Intrusion Protection特性userloginwithoui與userloginsecure類似，端口最多，但同時，端口還允許一個oui地址的報文通過；當用戶從端口的正常模式進入此模式時，端口下原有的動態MAC地址表項和已認證的MAC地址表項將被自動刪除macauthentication基于MAC地址對接入用戶進行認證userloginsecureormac表示macauthentication和userloginsecure模式下的認證可以同時進行，如果都認證通過的話，userloginsecure的優先級高于mac

點擊復制文檔內容

公司管理相關推薦

數據中心解決方案安全技術白皮書(編輯修改稿)

ufida服裝行業解決方案白皮書-資料下載頁

mstp設備以太業務解決方案白皮書-資料下載頁

云數據中心解決方案技術方案-資料下載頁

ibm_tivoli系統監控解決方案白皮書-資料下載頁

數據中心信息安全解決方案-資料下載頁

藍凌知識管理整體解決方案白皮書-資料下載頁

eip產品白皮書企業e化解決方案-資料下載頁

emc高等教育行業解決方案白皮書-資料下載頁

數字檔案館解決方案白皮書-資料下載頁

中小企業全業務網絡解決方案技術白皮書-資料下載頁

產業園區網絡解決方案技術白皮書v0-資料下載頁

泰合安全運營中心-tsoc技術白皮書-資料下載頁

統一it運維管理平臺解決方案白皮書-資料下載頁

青牛ptt解決方案白皮書v1-資料下載頁

汽車衡稱重管理系統解決方案白皮書-資料下載頁

數據中心解決方案安全技術白皮書-閱讀頁

數據中心解決方案安全技術白皮書(文件)

數據中心解決方案安全技術白皮書-全文預覽

數據中心解決方案安全技術白皮書-預覽頁

數據中心解決方案安全技術白皮書-免費閱讀