計(jì)算機(jī)端口隔絕技術(shù)新用途VIP

計(jì)算機(jī)端口隔絕技術(shù)新用途

摘要

端口隔離技術(shù)在ISP寬帶接入中已發(fā)揮重要作用，而在園區(qū)網(wǎng)中應(yīng)用還不多，由于網(wǎng)絡(luò)中病毒增多、危害加大，端口隔離技術(shù)越來越受到技術(shù)人員的重視。本文詳細(xì)介紹了端口隔離技術(shù)的概況，端口隔離技術(shù)在不同廠商、不同層次交換機(jī)上不同的實(shí)現(xiàn)，具體分析和舉例端口隔離技術(shù)在園區(qū)網(wǎng)中的規(guī)劃、實(shí)施和應(yīng)用。

關(guān)鍵詞

端口隔離；交換機(jī)

1

引言

在小區(qū)寬帶接入環(huán)境中，個(gè)別計(jì)算機(jī)中毒發(fā)包、廣播對其它接入計(jì)算機(jī)都有影響，也會占用帶寬，所以ISP在其接入交換機(jī)上早就實(shí)施了端口隔離技術(shù)，隔離技術(shù)對網(wǎng)絡(luò)靜化、安全和病毒隔離都有相當(dāng)良好的作用，應(yīng)用普遍。而在園區(qū)網(wǎng)中由于端口隔離實(shí)現(xiàn)在端口之間二、三層隔離，會對一些應(yīng)用帶來不便，所以應(yīng)用并不是很多。但是隨著網(wǎng)絡(luò)中病毒增多、危害加大，新的難以對付、傳播速度又快病毒出現(xiàn)的情況下，端口隔離技術(shù)在園區(qū)網(wǎng)中應(yīng)用會越來越多，下面我們從端口隔離的原理、在H3C、D-LINK、港灣和CISCO不同廠商交換機(jī)上的實(shí)現(xiàn)和舉例說明在園區(qū)網(wǎng)中的應(yīng)用。

2

端口隔離技術(shù)綜述

端口隔離技術(shù)是一種實(shí)現(xiàn)在客戶端的端口間的足夠的隔離度以保證一個(gè)客戶端不會收到另外一個(gè)客戶端的流量的技術(shù)。通過端口隔離技術(shù)，用戶可以將需要進(jìn)行控制的端口加入到一個(gè)隔離組中，實(shí)現(xiàn)隔離組中的端口之間二層、三層數(shù)據(jù)的隔離，既增強(qiáng)了網(wǎng)絡(luò)的安全性，也為用戶提供了靈活的組網(wǎng)方案。使用隔離技術(shù)后隔離端口之間就不會產(chǎn)生單播、廣播和組播，病毒就不會在隔離計(jì)算機(jī)之間傳播，尤其對頭痛的ARP病毒效果明顯。

3

端口隔離技術(shù)的實(shí)現(xiàn)

端口隔離技術(shù)在H3C交換機(jī)上的實(shí)現(xiàn)

system-view進(jìn)入系統(tǒng)視圖

interfaceinterface-typeinterface-number進(jìn)入以太網(wǎng)端口視圖

portisolate將以太網(wǎng)端口加入到隔離組中

端口隔離技術(shù)在H3C交換機(jī)上實(shí)現(xiàn)很強(qiáng)，使用也方便，上述的三條命令就可以實(shí)現(xiàn)相應(yīng)端口之間隔離。

端口隔離技術(shù)在D-LINK交換機(jī)上的實(shí)現(xiàn)

configtraffic_segmentation[]forward_list[null|]

其中表示指定哪個(gè)端口作為隔離端口，參數(shù)null表示沒有上連端口，參數(shù)表示上連端口。

端口隔離技術(shù)在港灣交換機(jī)上的實(shí)現(xiàn)

configvcnup[notagout|tagout]baseVID

其中表示指定哪個(gè)端口作為上行通信端口，可以指定一個(gè)或兩個(gè)上行端口；參數(shù)notagout表示上連端口以untag方式屬于vcn所創(chuàng)建的所有vlan，參數(shù)tagout表示上連端口以tag方式屬于baseVID后面所跟的vlanID。

端口隔離技術(shù)在CISCO交換機(jī)上的實(shí)現(xiàn)

configterminal進(jìn)入系統(tǒng)視圖

interfaceinterface-typeinterface-number進(jìn)入以太網(wǎng)端口視圖

switchportprotected將以太網(wǎng)端口加入到隔離組中

CISCO的端口隔離技術(shù)實(shí)際是端口保護(hù)，起了switchportprotected的端口將不會受單播、廣播和組播的影響。

4

端口隔離技術(shù)的應(yīng)用

端口隔離技術(shù)在企業(yè)網(wǎng)中的應(yīng)用

是典型的小企業(yè)的網(wǎng)絡(luò)結(jié)構(gòu)，外連通過防火墻連接Inernet，內(nèi)部通過交換機(jī)連接服務(wù)器、PC機(jī)，圖中采用H3C交換機(jī)，由于病毒等原因公司決定在PC之間采用端口隔離技術(shù)，而訪問服務(wù)器和Inernet要照常。在H3C交換機(jī)上連接PC的端口采用端口隔離，配置如下：

system-view進(jìn)入系統(tǒng)視圖

interfaceEthernet1/0/1PC-A連接的端口

portisolate

interfaceEthernet1/0/2PC-B連接的端口

portisolate

interfaceEthernet1/0/3PC-C連接的端口

portisolate

交換機(jī)上服務(wù)器和防火墻連接的端口不變。

端口隔離技術(shù)在校園網(wǎng)中的應(yīng)用

典型的校園網(wǎng)機(jī)房的網(wǎng)絡(luò)結(jié)構(gòu)，上連核心交換機(jī)，二層交換機(jī)PC機(jī)和教師機(jī)，圖中采用D-LINK交換機(jī)，機(jī)房內(nèi)PC不用相互訪問，只需同教師機(jī)和通過核心交換機(jī)訪問校內(nèi)外資源，配置如下：

configtraffic_segmentation1，24forward_list1-24

configtraffic_segmentation2-23forward_list1，24

D-LINK交換機(jī)上1號端口連接教師機(jī)，24號端口連接核心交換機(jī)，2號端口到23號端口連接PC機(jī)。

5

結(jié)束語

端口隔離技術(shù)也有缺點(diǎn)，一是計(jì)算