电脑编程技巧与维护 基于ＶＬＡＮ的企业网络安全架构设计 沈煜 （汀苏林海动力机械集团公 ，泰州２２５３００） 摘要：重点探讨基于ＶＩ，ＡＮ的企业网络安全的架构设计，涉及到企业网络三层结构的设计、ＶＬＡＮ的划分、ＶＩ ＡＮ 的访问控制配置。 关键词：ＶＩＡＮ；企业网络；架构设计；网络安全 Ｔｈｅ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｄｅｓｉｇｎ ｏｆ Ｅｎｔｅｒｐｒｉｓｅ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｂａｓｅｄ ｏｎ ＶＬＡＮ ＳＨＥＮ Ｙｕ （Ｌｉｎｈａｉ Ｐｏｗｅｒ Ｍａｃｈｉｎｅｒｙ Ｇｒｏｕｐ Ｃｏｍｐａｎｙ，Ｔａｉｚｈｏｕ ２２５３００） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｈａｓ ｄｉｃｕｓｓｅｄ ｔｈｅ ａｒｃｈｉｔｅｃｔｕｒｅ ｄｅｓｉｇｎ ｏｆ ｅｎｔｅｒｐｒｉｓｅ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｂａｓｅｄ ｏｎ ＶＬＡＮ，ｉｎｖｏｌｖｅｓ：ｔｈｅ ｔｈｒｅｅ—ｌａｙ ｓｔｒｕｃｔｕｒｅ ｄｅｓｉｇｎ ｏｆ ｅｎｔｅｒｐｒｉｓｅ ｎｅｔｗｏｒｋ，ｔｈｅ ｄｉｖｉｓｉｏｎ ｏｆ ｔｈｅ ＶＬＡＮ，ｔｈｅ ＶＩ ＡＮ ｃｏｎｆｉｇｕｒａｔｉｏｎ ｏｆ ａｃｃｅｓｓ ｃｏｎｔｒｏ１． Ｋｅｙ ｗｏｒｄｓ：ＶＬＡＮ；Ｅｎｔｅｒｐｒｉｓｅ ｎｅｔｗｏｒｋ；Ａｒｃｈｉｔｅｃｔｕｒｅ ｄｅｓｉｇｎ；Ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｌ 引言 网络安全是同家发展所 临的一个重要问题。对于这个 信息的，但这并不构成一种“路南”功能，也不应与网络层 路南相混淆。即使交换机检查数据包的 地址以确定虚拟局 域网成员，也不会施行路南计算，不会采用ＲＩＰ或ＯＳＰＦ协 议，而且穿越交换机的数据帧通常根据生成树算法桥接。 问题，还没有从系统的规划Ｌ去考虑 ，从技术卜、产业上、 ｝＝＾来发展它。网络安全问题一般包括网络系统安全和数 据安全。网络系统安全是防止网络系统遭到没有授权的非法 访问、存取或破坏；数据安全丰要是防止重要、敏感数据被 窃取等。将重点探讨基于ＶＩ ＡＮ的企、ｌ 网络安全的架构设计。 ３ 企业网络三层结构的设计 企业网络三层结构的设计如图１所示： ２ 原理 什么是虚拟局域网？南于有众多的供臆商所制定的虚拟 局域网解决方案和实施策略，所以精确地给虚拟局域网下定 义就成为一个有争议的问题。然而，多数人对这种说法表示 同意：ＶＬＡＮ即虚拟局域网，是一种通过将局域网内的设备逻 固 辑地划分成一个个网段，从而实现虚拟１－作组的新兴技术。 ２．１根据端口划分ＶＬＡＮ 许多最初的虚拟局域网实施按照交换机端口分组来定义 虚拟局域网成员。例如，一台交换机的端口１、２、３、７和８ 上的工作站组成了虚拟局域网Ａ，而端口４、５和６上的 作 站组成了虚拟局域网Ｂ。此外，在多数最初的实施当中，虚拟 局域网只能在同一台交换机 得到支持。第：二代实施支持跨 越多台交换机的虚拟局域网。 ２．２根据ＭＡＣ地址划分ＶＩＡＮ 撇丹 图１企业网络三层结构拓扑图 这种划分ＶＬＡＮ的方法是根据每个主机的ＭＡＣ地址来划 分，即对每个ＭＡＣ地址的主机都配置它属于哪个组。基于 ＭＡＣ地址的虚拟局域网具有小同的优点和缺点。由于硬件地 （１）内部网络分级隔离、分级施策 把原有的服务器区分隔为对外公开的服务器区（ＤＭＺ区） 和企业专用的服务器区。将对外开放的服务器如：Ｗｅｂ服务 器、Ｍａｉｌ服务器等移入ＤＭＺ区。重要的仅供企业内部使用的 服务器作为～个服务子网，使用适合的保护措施保护起来。 其他部分分别按用途划分为办公子网、管理子网、生产子网， 做到分级隔离，划分清晰。在各子网之问根据不同的保护级 址层的地址是硬连接到 作站的网络界而卡（ＮＩＣ）上的，所 以基于硬件地址层地址的的虚拟局域网使网络管理者能够把 网络上的１ 作站移动到不同的实际位置，而且可以让这台ｌ 作站自动地保持它原有的虚拟局域网成员资格。 ２３基于第三层的ＶＬＡＮ 基于第三层信息的虚拟局域网存确定虚拟局域网成员时 考虑协议类型（如果多协议得到支持）或网络层地址（例如， ＴＣＰ／ＩＰ网络的子网地址）。虽然这些虚拟局域网是基于第蔓层 １２０ ２０１１寝． １２作者简介：沈煜（１９７５一），男， ［程师，研究方向：计算机 网络及其安全技术。 收稿日期：２０１１－０４—２０ 与雏 ＣＯＭＰＵＴＩＮＧ ＳＥＣＵＲＩＴＹ ＴＥＣＨＮＩＱＵＥＳ 别实施保护策略，做到分级施策。 （２）安全产品联动，实现交叉防守，立体防御 在网络产品的选择和部署时，考虑各产品的功能和特点， 相互结合，充分发挥各自优势。实现安全联动，交叉防守， 立体防御。 （３）设备线路设计冗余，避免单点失败 在原有网络中，内部网络所有的流量都要通过主交换机 汇入，主交换机几乎承载了整个内部网络的数据交换Ｔ 作，极易出现故障，造成整个网络的瘫痪。新的设计中考虑 到这方而的要求，在主交换机处设置了备用交换机，避免单 点失败造成网络的中断。 （４）管理安全、集中方便 设置安全管理区，管理员很容易在管理区内对网络中的 主机和设备进行集中统一的管理。通过安全产品的监控、报 警、审计等功能，了解网络的实时状态，实现对网络的安全 管理。 ４ ＶＬＡＮ设计 ４．１划分 在安全控制方面，采用虚拟局域网ｆＶＬＡＮ）来控制广播 域和网段流量，提高网络性能、安全性和可管理性。比如员 工常常通过网络联机游戏，有时游戏产生的网络流量严重冲 击了骨干网络的整体性能。再比如，有些员工好奇心强，常 常喜欢在网络中充当“黑客“的角色，给网络的其他用户造 成很大威胁。那么，必须采用划分虚拟局域网（ＶＬＡＮ）的方 法，信息点之间的互相访问，从而提高了网络的整体性 能。 更值得一提的是，接人交换机可以采用ＶＬＡＮ实现端口 之间相互隔离，不必占用ＶＬＡＮ资源。在使用ＶＬＡＮ时，各 端口不可以互通，仅可通过扩展模块上联端口或其他上联端 口可访问互联网或社区服务器。若用户希望端口之间通信， 则借助三层交换机或路由器进行路由转发。通过采取这些相 应的安全措施，没有授权的用户在网络中的不能任意上网， 给网络的安全性带来了基本保障。 ４．２访问控制 三层交换机设置了ＶＬＡＮ路由接口后，默认情况下，任 何两个ＶＬＡＮ之间都可以进行通信，实现资源共享。随着网 络规模的升级，信息流量逐渐加大，人员管理变得日益复杂， 给企业网的安全、稳定和高效运行带来新的隐患，如何消除 这些隐患呢？在ＶＬＡＮ间采用访问控制策略，能够加强网络的 整体安全。 在核心层和汇接层交换机的接口上建立访问控制列表来 实现ＶＬＡＮ之间的访问控制，决定哪些用户数据流可以在 ＶＬＡＮ之间进行交换，以及最终到达核心层。访问控制列表 ＡＣＬ由基于一套测试标准的一系列许可和拒绝语句组成。其 处理过程是自上向下的，一旦找到了匹配语句，就不再继续 处理。在访问控制列表末尾设置一条隐含拒绝语句，若在访 问控制列表中没有发现匹配，则最终与隐含拒绝语句相匹配。 ４－３配置命令 计算机安全技术 配置ＶＬＡＮ： Ｓｗｉｔｃｈ＃ｃｏｎｆｉｇｕｒｅ ｔｅｒｍｉｎａｌ Ｓｗｉｔｃｈ ｆｃｏｎｆｉｇ）＃ｖｌａｎ ２０ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ—ｖｌａｎ）＃ｎａｍｅ ｔｅｓｔ２０ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ—ｖｌａｎ）＃ｅｎｄ 将端口分配给一个ＶＩ ＡＮ： Ｓｗｉｔｃｈ＃ｃｏｎｆｉｇｕｒｅ ｔｅｒｍｉｎａｌ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ２／１ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ ｉ０＃ｓｗｉｔｃｈｐｏｒｔ ｍｏｄｅ ａｅｃｅｓｓ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ ｉｆ）＃ｓｗｉｔｃｈｐｏｒｔ ａｃｃｅｓｓ ｖｌａｎ ２ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ ｉｆ）＃ｅｎｄ Ｓｗｉｔｃｈ＃ ｊ层物理端口配置： Ｓｗｉｔｃｈ＃ｃｏｎｆｉｇｕｒｅ ｔｅｒｍｉｎａｌ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ ｒａｎｇｅ ｆａｓｔｅｔｈｅｍｅｔ ５／４—５ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ—ｉ０＃ｎｏ ｓｗｉｔｅｈＰｏｒｔ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ—ｉｆ）＃ｎｏ ｉＰ ａｄｄｒｅｓｓ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ－ｉｆ）＃ｃｈａｎｎｅｌ－ｇｒｏｕｐ １ ｍｏｄｅ ｄｅｓｉｒａｂｌｅ Ｓｗｉｔｃｈ（ｃｏｎｆｉｇ－ｉｆ）＃ｅｎｄ 配置ｊ层口： ４００６＃ｃｏｎｆｉｇｕｒｅ ｔｅｒｍｉｎａｌ ４００６（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ ｇｉｇａｂｉｔ ｅｔｈｅｒｎｅｔ３／２ ４００６（ｃｏｎｆｉｇ－ｉｆ）＃ｎｏ ｓｗｉｔｅｈｐｏｒｔ ４００６（ｃｏｎｆｉｇ－ｉｆ １＃ｉＰ ａｄｄｒｅｓｓ １９２．２０．１３５．２１ ２５５．２５５．２５５．０ ４００６（ｃｏｎｆｉｇ—ｉｆ）＃ｎｏ ｓｈｕｔｄｏｗｎ ４００６（ｃｏｎｆｉｇ－ｉｆ）＃ｅｎｄ ５ 结语 网络安全体系的建设是一个长期的、动态变化的过程， 在新的网络安全技术手段不断出现的同时，新的攻击入侵手 段也会随之出现。任何一个安全体系设计方案都不能完全解 决所有的安全问题。因此，如何将网络安全技术与网络安全 管理无缝地融合在一起，如何能让网络安全实施策略随着不 同的网络环境的改变而自动做出相应的改变，这就是在未来 的网络安全解决方案研究中需要解决的。 参考文献 【１】郑良春，左安娜．ＶＬＡＮ技术在企业网络中的应用【ＪＪ． 煤，２０１０，（０７）． ［２］虞剑波，姜嫒．ＶＬＡＮ在高校实验室交换网络中的使用 ［Ｊ］．科技资讯，２０１０，（１８）． 【３】周慧．ＶＬＡＮ技术和配置实践【Ｊ］．科技资讯，２０１０，（０７）． 【４】潘栩．ＶＬＡＮ在局域网中的作用与配置【Ｊ】．科技创新导 报，２０１０，ｆ２１）． 奠一藿２技０巧１１与．肇１２护 Ｉ量２！ 一
