详解关于二层交换机中的各种技术

我们平常所见的虚拟局域网是人们非常熟悉的一个二层交换机功能，而其中局域网和企业内部网络当中的安全性更是成为焦点。许多的解决方案被人们提出来解决网络的安全问题。

作为网络中应用最为广泛的交换机，如何能开发其安全特性以有效的保护对网络的访问，一些组织和厂商也纷纷提出自己的安全策略。例如现在通过多层交换机特性来提高网络的安全和对带宽的控制已经相当的普遍。随着一些安全特性如访问控制列表(ACL)和802.1x标准已经成为许多厂商产品的标准，一些使用者开始了把它们作为网络设施安全的一个单独增加的层次。

二层的以太网在大多数的商业和其他的组织中是局域网访问的最重要的网络，所以二层交换机的厂商不断的增强交换机的智能性。这种智能交换机可以以IP地址查找数据包，这些数据包存在于网络的三层或者四层当中。许多的二层交换机能够处理基于从二层到四层的数据包流，这样大大提高了交换机的服务质量和网络安全策略。BMCPowerTrix系列交换机产品当中就包含了这些增强的安全特性。

在网络设备厂商看来，加强安全性的交换机是对普通交换机的升级和完善，除了具备一般的功能外，这种交换机还具备普通交换机所不具有的安全策略功能。这种交换机从网络安全和用户业务应用出发，能够实现特定的安全策略，限制非法访问，进行事后分析，有效保障用户网络业务的正常开展。实现安全性的一种作法就是在现有交换机中嵌入各种安全模块。现在，越来越多的用户都表示希望二层交换机中增加防火墙、VPN、数据加密、身份认证等功能。下面就介绍几种BMC的二层交换机的安全策略。

一、802.1x标准

作为一种局域网的安全特性802.1x可能仍然有许多的用户不是非常了解。并且网络的设计者和管理者通常不是非常广泛的应用这种授权标准。原因非常简单802.1x依赖于WindowsXP客户端，唯一的支持这种技术的Windows桌面操作系统。

IEEE802.1x协议是一个把网络设备授权给客户的标准。它替代了局域网的目录，例如微软的活动目录等。一些安全专家表示，这是一个更加有效的保护局域网安全的措施，因为一些不能登陆目录服务器的客户通常都能够发现并使用网络资源，如打印机，没有安全共享的存储器和对因特网的访问。

二、流量控制技术

把流经端口的异常流量限制在一定的范围内。许多二层交换机具有基于端口的流量控制功能，能够实现风暴控制、端口保护和端口安全。流量控制功能用于交换机与交换机之间在发生拥塞时通知对方暂时停止发送数据包，以避免报文丢失。广播风暴抑制可以限制广播流量的大小，对超过设定值的广播流量进行丢弃处理。

三、访问控制列表(ACL)技术

ACL通过对网络资源进行访问输入和输出控制，确保网络设备不被非法访问或被用作攻击跳板。ACL是一张规则表，二层交换机按照顺序执行这些规则，并且处理每一个进入端口的数据包。每条规则根据数据包的属性(如源地址、目的地址和协议)要么允许、要么拒绝数据包通过。由于规则是按照一定顺序处理的，因此每条规则的相对位置对于确定允许和不允许什么样的数据包通过网络至关重要。

四、ARP攻击防护技术

ARP欺骗攻击、ARPFlood攻击是利用ARP地址解析过程中的信任机制来进行伪装和欺骗攻击等，造成网络中部分主机或者全部主机的无法访问网络。ARP攻击防护技术就是从各种攻击手段的原理出发，在二层交换机上提供多种防欺骗、防扫描的技术，例如BMC二层交换机采用的ARPGuard、Anti-arpscan、FreeARP发送、AM访问管理等技术实现来很好的解决多种ARP攻击防护。

五、虚拟局域网(VLAN)技术