分析核心交換機在中、小型寬帶運營商網絡安全中的應用

文丨邱 爽

（廣州珠江數碼集團有限公司，廣東廣州 510010）

核心交換機是放在網絡主干部分的交換機，一般在50臺機器以上就需要用到核心交換機，交換機作為企業網絡的樞紐部分，它的性能是保障網絡安全，穩定性和速度的主要設備。核心交換機在網絡建設中具有非常重要的作用，對于中、小型企業來說，可以提高企業內部的網絡容量和速度。

1 核心交換機的功能

核心交換機采用模塊化結構，以適應復雜的網絡環境和網絡應用，超大容量的背板帶寬和線速的轉發速率可以有效地保證數據的無阻塞傳輸。它具有強大的網絡管理功能，可以實現VLAN間的通信、優先級隊列服務和網絡安全控制。同時，核心交換機的硬件冗余和軟件的可伸縮性，也保證網絡的可靠運行[1]。

2 核心交換機的安全控制

安全是交換機的基本功能，在企業內部很多數據屬于保密性文件，所以企業內部的網絡安全更為重要。

2.1 交換機自身的安全

核心交換機實際是一個為轉發數據包優化的計算機，但是只要是計算機就會有被攻擊的可能性，如果一些黑客非法入侵，造成網絡癱瘓，隨時有可能丟失數據。傳統交換機主要用于數據包的快速轉發，注重的是數據傳輸過程中的轉發性能，網絡安全就是目前企業中面臨的問題，對網絡中的重要數據進行保護，防止機密信息被泄露。

對于傳統的交換機來說加強其安全性是尤為重要的，在原有的基礎上加強交換機的安全性，這樣從網絡安全和用戶的角度出發，實現特定的安全策略，在交換機中嵌入安全模板增加交換機的防火墻和身份認證等功能[2]。

2.2 通過交換機實現網絡安全

安全性加強的交換機本身具有抗攻擊性，它有著良好的安全保護功能和智能性，在系統安全方面實現很好的安全機制，通過工程師對交換機內部結構的設定對網絡信息進行加密，防止外來入侵，使用安全機制接入，避免內用網的網絡安全。

2.3 流量控制技術

對流經端口的流量限制在一定的范圍內，控制流量，可以實現端口保護和端口安全。流量控制功能用于交換機與交換機之間，以免發生傳輸數據異常時重要文件的丟失，對超過預定值的流量進行丟棄處理。但它也有著自身的弱點，就是難以區分正常流量和異常流量，只能對數據進行限制，沒有科學性[3]。

2.4 訪問控制

設定一個網絡資源出入的控制表，確保網絡設備不被非法訪問，交換機按照已經制定好的規則對數據包進行處理，由于規則的實現具有順序性，因此規則之間的相對位置的設置就顯得尤為重要。在網絡世界中，外網有防火墻等專業的安全軟件來保護，但在內網中還需要交換機在保護方面發揮作用。

2.5 安全的體系結構

交換機的結構體系決定其轉發性能和擴充能力，除交換機自身要具有全分布式體系結構設計，還應該具有非常出色的安全性能設計，可以應付大規模、多業務、復雜流量的大規模網絡訪問。

3 網絡內控管理系統

3.1 內網管理存在的問題

（1）由于現在的電腦終端的用戶較多的使用的是XP或以上的系統，系統安全漏洞非常多，而電腦的運用著大都缺乏電腦的相關知識，不能對補丁采取安裝的安全，影響計算機的內網安全。（2）有些內網沒有加密，導致很多臨時訪問者訪問內網資源，造成內網信息的遺失。（3）內部工作人員擅自將內部的設計圖紙和信息通過各種方式傳送到外網，造成重要資料的丟失。（4）終端用戶由于感染病毒造成計算機癱瘓或數據丟失。（5）計算機用戶的劇增，而維護人員相對較少，管理和維護的壓力不斷增大。（6）內部用戶不規范的使用行為，私自修改IP地址，隨意用移動儲存設備拷貝文件，擅自接入外網，應用程序的隨意裝卸，造成計算機終端的不安全運行[4]。

3.2 內網安全管理

要使得整個網絡安全，就需要構建起一套統一的、可擴展的內部安全系統，內部安全系統是網絡安全的基礎，是實現管理電子化、自動化，可以在企業內部實現安全管理工作。

（1）智能安全網管。智能安全網管為內網的網絡管理和維護提供強大的支持平臺，是系統管理員理想的安全故障管理平臺。（2）內網審計。通過對網絡流量的實時審計，控制用戶設定的安全控制策略，對受控對象的活動進行審計，采用基于主機和網絡相結合的手段實現網絡的控制管理。網絡管理人員為計算機終端的使用者提供檢查當前系統運行狀態的有效手段。（3）內網監控。安全管理核心平臺負責管理配置中心的監控規則，根據需要設置規則，并向控制臺發出報警信息，對網絡訪問量進行控制，驗證網絡訪問者的身份。

4 核心交換機的選購原則

4.1 模塊化結構

模塊化交換機也稱背板式交換機或機箱式交換機，價格較貴，但擁有更為強大的靈活性和可擴充性，用戶可選擇性較強，適應面廣。模塊化交換機大都有很強的容錯能力，支持交換模塊冗余備份，具備可熱插拔雙電源，電力供應充足。因此，作為網絡中樞的核心交換機，必須采用模塊。

4.2 三層交換機

第三層交換機具有路由功能，將IP地址信息用于網絡路徑選擇，并實現不同網段間數據的線速交換。當網絡規模足夠大，不得不劃分VLAN以減小廣播所造成的影響時，只有借助第三層交換機才能實現VLAN間的線速路由。另外，借助第三層交換機還可以設置訪問列表，限制VLAN間的訪問，保障敏感部門的安全。因此，作為核心交換機，必須選用第三層交換機。

4.3 企業需求

雖然高性能的中心交換機比比皆是，但并不意味著必須購買最好的設備，而應當購買自己所需要的設備。應該選擇那些能夠滿足網絡應用需要的，除此之外，太高的性能和太大的擴展能力都將可惜地被閑置。除滿足現有需求外，還應當在技術、性能和擴展性等方面適當超前，以適應未來的發展。通常情況下，中心交換機的擴展能力和性能應當略大于未來幾年內網絡應用和擴展的要求。

4.4 可靠性

對于中心交換機而言，對穩定的要求高過對性能的要求。原因很簡單，如果網絡性能一般，但可提供安全、穩定的服務，那么網絡運行就是正常的，用戶也會覺得是值得信賴的。盡管網絡帶寬很高、性能非常強勁、服務訪問特別舒服，但是經常發生故障，導致服務器無法訪問、Internet無法共享，那么無論是誰都會對此失去信心。當在網絡上運行重要的應用時，網絡癱瘓還將導致正常業務的中斷和重要數據的丟失。

4.5 最佳性價比

現在中心交換機產品中，美國產品以其性能強勁、運行穩定、功能豐富而著稱，只是價格過于昂貴。我國國產產品雖然在一些參數上略遜一籌，但是擁有絕對的價格優勢，具有中文管理界面，方便日常管理。所以如果局域網組建時偏重于性能，建議選擇高性能的產品，若注重價格，則建議選擇以華為為代表的國產產品。

4.6 安全性

注重交換機的網絡安全性，保護企業內部資料信息，在網絡世界中，外網有防火墻等專業的安全軟件來保護，但在內網中還需要交換機在保護方面發揮作用。

5 結語

在網絡時代的今天網絡系統安全就顯得尤為重要，必須對交換機進行必要的安全配置，應用系統安全，在應用系統安全上，注重企業內部的管理，要使得整個網絡安全，就需要構建起一套統一的、可擴展的內部安全系統，內部安全系統是網絡安全的基礎，是實現管理電子化、自動化，可以在企業內部實現安全管理工作。

[1] 桑建青，企業網絡安全問題與對策淺析．青海民族學院學報，社會科學版，2008（4：）154-156．

[2] 陳錦花，網絡安全策略研究．商場現代化，2008（30）：120-121．

[3] Merike Kaeo．網絡安全性設計．北京：人民郵電出版社，2000.

[4] 黃世權．影響網絡安全的因素及其解決方案．甘肅科技，2004(12).