云南龙网

  1. 首页 > 云知道 > >

1 巩固有私有VLAN和VLAN访问控制列表的网络( 四 )

云知道


使用的组件
本文不限于特定软件和硬件版本 。
背景信息
识别和强制执行一个适当信任模式似乎是一项非常基 本任务，但在几年支持的安全实施之后，我们的经验表明安全事件 经常与恶劣的安全设计有关 。通常这些设计差是不强制执行 一个适当信任模式的一个直接后果，有时因为什么是公正必要的没 有了解，其他次正因为充分地没有了解也没有误用介入的技术 。
本文具体解释如何二个功能可用在我 们的Catalyst交换机，专用VLAN (PVLANs)并且VLAN 访问控制表 (VACLs)，在两可帮助保证适当信任模型企业并且服务提供商环境 。
强制执行适 当信任模式的重要性
不强制执行适当信任模型的一个立即后果是整体安全实施变得较不 对免疫有恶意的活动 。非敏感区域(DMZs)普通是被实施没有 强制执行正确的制度因而实现一个潜在入侵者的活动 。此部 分分析DMZs经常如何是被实施和设计差的后果 。我们以后将 解释如何缓和，或者在最佳的案件避免，这些后果 。
通常，DMZ服务器只应该处理流入请 求从互联网和最终首次与一些后端服务器的连接位于里面或其他DMZ 分段，例如数据库服务器 。同时，DMZ服务器不应该彼此谈 或首次与外界的任何连接 。这在一个简单信任型号清楚地定 义了必要的数据流; 然而，我们经常看型号不足够被强制执 行的这种 。
设计员通常倾向于使用 一个共用段实现DMZs为所有服务器没有对数据流的任何控制他们之 间 。例如，所有服务器位于普通的VLAN 。因为什么都 在同样VLAN之内不控制数据流，假如其中一个服务器被攻陷然后在 同一个分段可以使用同一个服务器来源攻击对任何服务器和主机 。这清楚地实现展开端口重定向或应用层攻击的一个潜在入侵 者的活动 。
一般，只用于防火墙和信 息包过滤器控制流入的连接，但是什么都通常没有完成从DMZ限制被 发起的连接 。一些时间前有答应入侵者通过发送HTTP流开始X 终端仿真程序会话的cgi-bi脚本的一个着名的弱点; 这是应 该由防火墙答应的数据流 。假如入侵者足够幸运，他或她可 能使用另一种款待得到根提示，典型地缓冲溢出攻击 。这类 问题可以通过强制执行一个适当信任模式避免的大多时代 。首先，服务器不应该彼此谈，并且不应该于这些服务器其次发起连 接与外界 。
同样备注适用于许多其他 方案，去从所有正常不信任的分段至小型服务器站在应用程序服务 提供商 。
PVLANs和VACLs在Catalyst 交换机可帮助保证一个适当信任模式 。PVLANs将通过限制主 机的之间数据流帮助在一个共用段，而VACLs将通过提供对产生或被 注定的所有数据流的进一步控制贡献给一个特定段 。这些功 能在以下部分讨论 。
专用VLAN
PVLANs是可用的在运行CatcOs 5.4或以上，在 Catalyst 4000的Catalyst 6000，2980G、2980G-A、运行 CatcOs 6.2或以上的2948G和4912G 。
从我们的透视图，PVLANs是准许分离数据流在把广播分段的变成第 二层的一个工具(L2)一个非广播multi-access-like分段 。交易在所有端口来自到交换机一个混乱端口(即是能转发主要和辅助 VLAN)能出去属于同样主VLAN的端口 。交易(它可以是查出，属性或者走向交换机自端口被映射对辅助VLAN 的双向属性VLAN)可 以转发到属于同一属性VLAN 的一个混乱端口或端口 。多个 端口映射对同样隔离VLAN不能交换任何数据流 。
以下镜象显示概念 。
图1：专用VLAN
主VLAN在蓝色 表示; 辅助VLAN在红色和黄色表示 。Host-1连接到属 于辅助VLAN红色交换机的端口 。Host-2连接到属于辅助 VLAN 黄色交换机的端口 。
当主机传 输时，数据流运载辅助VLAN 。例如，当时Host-2传输，其数 据流在VLAN 黄色去 。当那些主机接受时，数据流来自VLAN 蓝色，是主VLAN 。

推荐阅读


上一篇：指甲油弄衣服上怎么洗掉小窍门

下一篇：愤世嫉俗的诗句