局域网访问隔离.docx_第1页
局域网访问隔离.docx_第2页
局域网访问隔离.docx_第3页
局域网访问隔离.docx_第4页
免费预览已结束，剩余1页可下载查看

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

技术点详解局域网访问隔离局域网为什么需要访问隔离1. 在如上图中，企业网络可以为根据使用者获得的授权不同，把LAN划分为不同的虚拟区域（我们称为VLAN），以方便进行VLAN之间的访问控制，每个VLAN内部的PC互访是自由的，不受限的。2. 我们为不同的VLAN划分不通的网段，比如无线PC所属的VLAN1的网段为/24，网关是；相应的，普通员工PC的网段是/24，网关，以此类推，这么设置的目的是方便网关人员记忆，降低维护难度。3. 在专栏第三期访问互联网和LAN通信中，我们知道PC在访问不同网段的PC时必须要网关（指如的网关地址）帮忙转发，访问相同网段则不需要网关，比如VLAN 8内的普通员工PC互相访问，流量是不需要经过网关转发的（即内部互访可以不用设置网关地址）；VLAN 9的主管PC访问VLAN 10的服务器则需要各自的网关和的帮忙。4. 从这种网段的划分，我们就可以在商领网关上做灵活的访问控制，限制不同VLAN间的互访，或者更高级的单向访问控制，如只有VLAN8和VLAN9可以访问VLAN10，而VLAN10却不能主动访问VLAN9、VLAN8等。局域网访问隔离技术实现访问在数据流中的表现形式是双向的数据传输，比如A要访问B，除了AB的数据能够正确到达B外，还要求BA的数据能够正确到达A，只要限制任意一方流量，该访问就会被限制住。根据用户接入方式和授权不同划分成不同的VLAN后，对于最基本的无线PC和有线PC的相互隔离就可以使用简单的包过滤防火墙访问控制规则，可以如下添加配置：接下来我们还需要实现单向访问控制，如只有VALN8和VLAN9可以任意访问VLAN10，而VALN10不能主动发起访问，可以使用包过滤防火墙+应用状态检测ASPF（Application Status Packet Filtering）来实现。应用状态检测的是IP访问的方向，如下图所示：图中VLAN9内主机访问的TCP 80端口（HTTP应用），该访问在网关转发时会触发建立一个称为的流（Flow），同时ASPF模块会根据触发流建立镜像流，镜像流就是匹配访问 HTTP应用的返回数据，因此当返回流量能够匹配镜像流而被正常转发：如果VLAN10主动发起访问VLAN9的远程桌面（TCP 3389端口），因为没有镜像流的存在，该访问被网关拒绝由于网关上VLAN10和VLAN9都可以配置防火墙和ASPF，那么在那边配置比较合适呢？我们根据要求单向访问控制的是VLAN10不能向VLAN9、VLAN8发起访问，可见在VLAN10中配置可以减少配置量，可以如下配置我们来分析一下VLAN10接口的配置和逻辑关系：1. 首先2301是出方向允许vlan8和vlan9，其余访问拒绝，也就是说只有vlan8和vlan9能够访问vlan102. 其次2302是入方向拒绝所有，即禁止vlan10发起任何访问3. 在出方向应用ASPF策略1检测TCP和UDP，联合2301就是检测VLAN8和VLAN9
人人文库> 全部分类> 生活休闲 > 科普知识

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论