华为辅导:交换机转发过滤技术提高网络安全性能

当数据帧到达交换机接口时，交换机就将数据帧的目的地址与转发/过滤MAC数据库中的地址进行比较，如果目的硬件地址是已知的且已经在交换机的MAC数据库中，帧就只会被发送到正确的外出接口。交换机将不会把帧送往除了目的地接口之外的任何其他接口，这就保留了在其它网段上的带宽。这种技术就是交换机的转发过滤技术。 　　这种技术对于提高网络性能与网络安全很有作用。笔者将通过两个例子来谈谈这种技术对于交换式网络的重要意义。
案例一：利用二层交换机来隔离冲突域 　　如现在有一台交换机连着四台主机，分别为A、B、C、D。假设现在主机A要发一个数据包给主机D。当交换机收到主机A发过来的数据帧之后，该如何处理呢?
1、 若交换机中没有主机A或者主机D的MAC地址信息 　　如果这个网络是刚刚组建，又或则出于某种原因，网络管理员把交换机重置后，则交换机的转发/过滤表会被清除。此时，由于主机A的MAC地址不在转发/过滤表中，所以，交换机会将主机A的MAC地址和端口添加到自己的MAC数据库中，然后再把帧转发到主机D中。但是，如果主机D的MAC地址不在交换机的MAC数据库中，则交换机会将帧转发到除了主机A连接的接口之外的其他所有接口中。也就是说，在交换机不知道目的主机MAC地址的时候，则交换机上的除了本台设备之外的其他任何设备，如主机B、C、D都将收到主机A发出的数据包。很明显，此时交换机的一些带宽就会被浪费掉。在这种情形下，转发过滤技术并不能够带来多大的益处。
2、 若交换机知道目的主机的MAC地址 　　假设交换机通过ARP等机制，在自己的MAC地址库中已经知道了所连接设备的MAC地址，如主机A、B、C、D的MAC地址。要了解这些信息不难。只要这个网络存在一定时间，则通过地址学习功能，交换机可以记录相关设备的MAC地址信息。
　　通过这种转发过滤技术，就可以在最大限度内避免冲突域的产生，从而在很大程度上提高网络性能。
　　案例二：保护交换机端口的安全
　　在思科的二层交换机中，提供了一些端口安全的保护机制。我们进入到某个交换机的接口之后，利用Switchport port-security命令，加上?通配符，就可以查看相关的端口安全选项。其实，要实现端口安全，也是基于转发过滤技术实现的。其基本原理就是通过对交换机的MAC地址库进行管理，来实现交换机端口的安全性。
　　二是可以通过设置，让交换机一个接口只允许接入一台网络设备。默认情况下，交换机的一个端口可以接入无数的设备，在不考虑网络性能与IP地址限制的前提下。但是，在一些特殊的应用下，我们往往只允许交换机的某个端口只允许接入一台网络设备。如有时候，在部门级别的网络应用上，如网络打印机等等。出于性能与安全的考虑，网络管理员要确保这个服务器所在的接口只连接一台网络设备。因为若有多个设备连接到同一个接口中，则它们属于同一个冲突域。一方面这会影响这个服务器的性能;另一方面，其他用户也可以通过网络侦听技术窃取服务器的相关信息，从而降低服务器的安全性能。为此，网络管理员就有必要确保交换机某个接口上只能够连接有一台网络设备。这即可以利用上面的静态配置MAC地址实现;也可以通过如下的命令实现。
　　Switchport port-security violation shutdown
　　三是可以通过Sticky来实现交换机端口的安全性。这跟静态配置MAC地址就有异曲同工之妙。只是其不用用户手工的配置MAC地址。当网络管理员组建好网络之后，交换机首先会自动学习相关的MAC地址。等到网络运行稳定之后，网络管理员在进行特定的接口并利用Sticky参数。此时交换机对应接口的MAC地址库动态学习功能就会被关闭。若用户增加其他网络设备，这个接口将不会接受其新的MAC地址。通过这种方式，就可以省去手工配置MAC地址的麻烦。设置后，只要在交换机不间断运行的过程中，这个MAC地址限制将会一直有效，除非网络管理员认为的改变他。
　　不过基于转发过滤的二层交换机，还有一个先天性的缺陷。如当主机A因为某种原因，如病毒等等，发送广播数据包的时候，那么非常不幸的，这个数据包将会在交换机的各个接口进行转发，从而占用了一些不必要的带宽支出。可见，交换机虽然可以有效隔离冲突域，但是对于广播域则无能为力。
　　这种技术对于提高网络性能与网络安全很有作用。笔者将通过两个例子来谈谈这种技术对于交换式网络的重要意义。