基于交换机的校园网络安全防御技术

2011-02-21 09:21王春莲
中国教育技术装备 2011年14期
关键词:IP地址校园网交换机

■王春莲

基于交换机的校园网络安全防御技术

■王春莲

引言

随着校园网网络应用和网络业务需求的不断增长,随着网络技术的不断发展,早期的网络结构逐渐暴露出一系列严重问题,使得网络的整体性能、稳定性和安全性都不容乐观,急需优化改造。本文重点研究交换机校园网络安全防御技术。

在校园网络实际环境中,攻击和欺骗行为主要针对链路层和网络层,其来源可概括为两个途径:人为实施;病毒或蠕虫。人为实施通常是指使用一些黑客的工具对网络进行扫描和嗅探,获取管理账户和相关密码,在网络上安插木马,从而进一步窃取机密文件。

基于交换机校园网络安全防御技术

使用Port Security feature防范MAC/CAM攻击

MAC/CAM攻击是指利用工具产生欺骗MAC,快速填满CAM表,攻击者可以利用各种嗅探攻击获取网络信息。CAM表填满后,流量以洪泛方式发送到所有接口,会造成交换机负载过大,网络缓慢和丢包甚至瘫痪。

交换机Port Security feature可以防止MAC和MAC/CAM攻击。通过配置Port Security可以控制:端口上学习通过哪些IP地址或MAC地址;端口上学习的最大MAC地址数。交换机Port Security特性采取两种操作,即Bind(绑定,允许)和Block(阻塞,禁止),这条命令是配置在端口上的,只对进入端口的数据包有效。除了Port Security,采用DAI技术也可以防范MAC地址泛滥攻击。

DHCP Snooping防范技术

DHCP Snooping技术是DHCP安全特性,通过建立和维护DHCP Snooping绑定表过滤不可信任的DHCP信息。DHCP Snooping技术不仅解决了DHCP用户的IP和端口跟踪定位问题,为用户管理提供方便,而且还供给动态ARP检测Dynamic ARP Inspection(DAI)和IP Source Guard使用。

首先定义交换机上的信任端口和不信任端口,对于不信任端口的DHCP报文进行截获和嗅探,DROP掉来自这些端口的非正常DHCP报文,对于已经申请到IP地址的设备在租用期内(网卡不断电的话)不会再次发起DHCP请求。为了解决这个问题,可以定时把DHCP Snooping binding信息上传到指定TFTP服务器。

Dynamic ARP Inspection防范技术

ARP用来实现MAC地址和IP地址的绑定,由于ARP无任何身份真实校验机制,攻击主机通过黑客程序发送ARP欺骗报文告诉请求某个IP地址的主机一个错误的MAC地址,随后使得网络流量流向恶意攻击者的主机,因此攻击主机变成某个局域网段IP会话的中间人,造成窃取甚至篡改正常数据传输的后果。

DAI在交换机上提供IP地址和MAC地址的绑定,并动态建立绑定关系。DAI以DHCP Snooping绑定表为基础,对于没有使用DHCP的服务器个别机器可以采用静态添加ARP access-list实现。DAI配置针对VLAN,对于同一VLAN内的接口可以开启DAI也可以关闭。通过DAI可以控制某个端口的ARP请求报文数量。通过这些技术可以防范“中间人”攻击。

结束语

综上所述,通过配置交换机网络趋于稳定,不仅解决了一些典型攻击和病毒的防范问题,也为传统IP地址管理提供了新的思路。使用DHCP Snooping、DAI、IP Source Guard技术能解决大部分网络上存在的攻击、欺骗行为,因为大多数对局域网危害较大的网络病毒都具有典型的特征:IP/MAC、ARP、DHCP欺骗和快速的发包扫描,大量的组播、广播报文,等等。采用上述技术很大程度上可以自动切断病毒源,及时报警,并准确定位病毒源。■

[1]韩伟.谈高校校园网网络安全及对策[J].电脑知识与技术,2010(12)

[2]李浩.高校校园网网络安全分析及对策研究[J].电脑学习,2009(5):12-14

[3]谢惠琴.校园网安全防范技术研究[J].福建电脑,2009(9):60-61

[4]钟平.构建基于主动防御的动态校园网络安全模型[J].网络安全技术与应用,2008(11):43-45

(作者单位:德州职业技术学院计算机系)

10.3969/j.issn.1671-489X.2011.14.052

猜你喜欢
IP地址校园网交换机
数字化校园网建设及运行的几点思考
铁路远动系统几种组网方式IP地址的申请和设置
试论最大匹配算法在校园网信息提取中的应用
修复损坏的交换机NOS
IP地址切换器(IPCFG)
使用链路聚合进行交换机互联
NAT技术在校园网中的应用
基于SNMP的IP地址管理系统开发与应用
公安网络中IP地址智能管理的研究与思考
VPN在校园网中的集成应用