如何处理局域网广播风暴 生成树协议介绍

规范性文档规范性文档 湖北省建行二级分行湖北省建行二级分行 局域网络安全设计规范局域网络安全设计规范 Version 1 0 中国建设银行中国建设银行 湖北省分行湖北省分行 2013 年年 3 月月 编号 密级 中国建设银行 湖北省分行信息技术部第 1 页 共 14 页 文档修订记录文档修订记录 序号序号修订内容简述修订内容简述修订日期修订日期目前版本号目前版本号作者作者 1文档建立2013 2 11 0 2013 6 11 1 中国建设银行 湖北省分行信息技术部第 2 页 共 14 页 目目 录录 1 网络结构设计 3 1 1 两层结构 3 1 2 单层结构 3 1 3 二层连接模式扩展 4 1 4 总行 IP 规划总表以 为例 5 1 5 楼层设备管理地址 7 1 5 1 楼层汇聚设备管理 IP 规划 7 2 安全 7 2 1 安全设计指导原则 7 2 2 安全措施 7 2 3 设备自身安全加固 7 2 4 客户端安全措施 8 3 实施指导 8 3 1 网卡工作模式 8 3 2 二层交换网络实施指导 9 3 2 1 设定生成树 STP 的主根 次根 9 3 2 2 生成树优化 9 BPDU GUARD BPDU 保护 9 3 3 VLAN 及 TRUNK设置 11 3 4 网关备份协议 12 4 附录 12 4 1 生成树协议 12 4 2 生成树协议 STP 类型选择 13 4 3 CISCO生成树协议增强特性指南 13 4 4 H3C 生成树协议特性 15 4 5 锐捷生成树协议特性 16 中国建设银行 湖北省分行信息技术部第 3 页 共 14 页 1 网络结构设计网络结构设计 客户端区通常包括一个或多个建筑 每个建筑定义为一个节点 主节点与服务器区 在同一建筑内 其它建筑为分支节点 这样对于数据的传输和安全给最大保障 1 1 两层结构两层结构 两层结构为终端用户通过两层交换设备接入网络 其结构如下图所示 汇聚设备 楼层接入设备 图表 1 节点两层结构 两层网络结构分为汇聚设备和楼层接入设备 楼层接入设备通常部署在各个楼层 用于各楼层的终端用户直接接入 楼层接入设备通过光纤双绞线连接至汇聚设备 汇聚 设备作为这个节点客户端网络的统一出口 1 2 单层结构单层结构 单层结构为终端用户通过单层交换设备接入网络 其结构如下图所示 中国建设银行 湖北省分行信息技术部第 4 页 共 14 页 图表 2 节点单层结构 终端用户通过综合布线 直接从信息接入点接入两台汇聚交换机 这两台交换机也 作为本节点客户端网络的唯一出口 1 3 二层连接模式扩展二层连接模式扩展 扩展方式扩展方式 二层连接 Trunk VLAN AVLAN BVLAN CVLAN D 网网关关 横向扩展 A C 纵向扩展 Trunk 堆叠扩展 B 二层连接模式扩展 A 接入层交换机使用二层方式连接至汇聚交换机 两台汇聚交换机之间通过两个 千兆光纤互联采用 EtherChannel 技术捆绑成逻辑的通道 两交换机互联接口运行于 Trunk 模式 封装 802 1Q 协议 允许客户端已划分的所有 VLAN 未划分的 VLAN 不 在允许的范围内 B 两台汇聚交换机分别作为生成树的主根和次根 各接入交换机根据楼层及用户 所在部门 按需划分 VLAN 接入交换机使用 Trunk 连接至两台汇聚交换机 在 Trunk 中国建设银行 湖北省分行信息技术部第 5 页 共 14 页 链路上仅允许该交换机划分过的 VLAN C VLAN 内的网关由上路由器的子接口承担 汇聚路由器启用 HSRP 或 VRRP 以提供网关的冗余性 采用该模式进行组网 方便用户进行搬迁 无需更改 IP 地址 管理员只需修改信 息点对应的 VLAN 即可 但由于通过二层方式接入至汇聚交换机 二层广播域较大 需要注意防范广播风暴的冲击和二层环路风险 避免不同客户端间的相互影响 1 4 总行总行 IP 规划总表以 为例 规划总表以 为例 52 144 0 1 52 144 3 254 自主 分配 被管理设备 52 144 4 1 52 144 7 254 总行 统一 网管主机 52 144 8 1 52 144 15 254 总行 统一 网管客户端 52 144 16 1 52 144 19 254 自主 分配 系统和业务 管理主机 52 144 20 1 52 144 23 254 总行 统一 备用 52 144 24 1 52 144 29 254 总行 统一 52 144 0 1 52 144 31 254 Loopback52 144 30 1 52 144 31 254 总行 统一 52 144 32 1 52 144 43 254 总行 统一 52 144 32 1 52 144 63 254 业务一类 52 144 44 1 52 144 63 254 自主 分配 52 144 64 1 52 144 87 254 总行 统一 黄冈黄冈 144 52 144 64 1 52 144 95 254 业务二类 52 144 88 1 52 144 95 254 自主 中国建设银行 湖北省分行信息技术部第 6 页 共 14 页 分配 52 144 96 1 52 144 127 254 基础设施类 52 144 96 1 52 144 127 254 总行 统一 52 144 128 1 52 144 151 254 总行 统一 52 144 128 1 52 144 159 254 视频语音 52 144 152 1 52 144 159 254 自主 分配 OA 服务器 52 144 160 1 52 144 171 254 总行 统一 OA 客户端 52 144 172 1 52 144 189 254 自主 分配 52 144 160 1 52 144 191 254 一级行 OA 服 务器 52 144 190 1 52 144 191 254 总行 统一 52 144 192 1 52 144 207 254 DMZ 前置 区 52 144 208 1 52 144 215 254 预留 备用 52 144 192 1 52 144 223 254 外联网络系 统 52 144 216 1 52 144 223 254 互联 网 52 144 224 1 52 144 228 254 总行 统一局域网互联 地址 52 144 229 1 52 144 239 254 自主 分配 52 144 240 1 52 144 244 254 总行 统一 52 144 224 1 52 144 254 254 广域网互联 地址 52 144 245 1 52 144 254 254 自主 分配 中国建设银行 湖北省分行信息技术部第 7 页 共 14 页 1 5 楼层设备管理地址楼层设备管理地址 1 5 1 楼层汇聚设备管理楼层汇聚设备管理 IP 规划规划 以荆门 5 楼和 9 楼交换机管理 ip 为例 地址用途地址用途设备名例 设备名例 JMIP 地址地址 地址段地址段 HB JM LC5 SW1 52 64 0 125 最后一位 IP 100 加楼层 乘 5 管理地址 Vlan interface100 HB JM LC9 SW1 52 64 0 145 最后一位 IP 100 加楼层 乘 5 图表 3 汇聚设备 IP 地址规划 2 安全安全 2 1 安全设计指导安全设计指导原则原则 客户端区网络安全策略的总体目标是保护网络不受攻击 控制异常行为影响网 络高效数据转发 保护在二级分行行大楼 或同城其他机关大楼 内的业务 1 类客户端网络资源 可用 保障服务品质 实现业务 1 类客户端与 OA 类客户端的安全隔离 为客户端桌面安全准入控制提供网络环境 2 2 安全安全措施措施 防止地址欺骗防止地址欺骗 在各网段所在的网关设备 核心路由器 子接口上配置 ACL 与防病毒 ACL 合并 仅允许分行客户端所在地址范围内的地址接入网络 业务业务 1 类 类 OA 类 网管客户端相互隔离类 网管客户端相互隔离 要求不同类别的客户端之间实现二层及三层的隔离 禁止相互访问 ARP 病毒防护病毒防护 通过 ARP 检查保证接入交换机只传递 合法的 的 ARP 请求和应答信息 而 将 虚假的 ARP 条目在网络端口上丢弃 避免网络遭受 ARP 病毒的破 坏 控制广播风暴控制广播风暴 在接入交换机各个端口进行广播风暴控制 控制在 1 以下 中国建设银行 湖北省分行信息技术部第 8 页 共 14 页 2 3 设备自身安全加固设备自身安全加固 启用安全认证启用安全认证 设置登陆权限 启用用户名和密码认证 配置 8 位以上 包含数字 大小 写字母和符号的密码 定期三个月内修改一次密码 并禁止明文显示密码 对对 VTY Telnet 进行严格控制进行严格控制 对 VTY Telnet 使用 ACL 进行限制 仅管理员指定的客户端能进行 Telnet 并配置超时时间 推荐为 5 分钟 关闭设备上不必要的服务关闭设备上不必要的服务 关闭网络设备不必要的服务 如 HTTP Server DHCP 服务 VTP CDP DNS 查找 WEB 可适当开起 关闭接口上不必要的服务关闭接口上不必要的服务 关闭 ARP 代理 ICMP 不可达服务 关闭客户端区汇聚交换机 接入交换机不使用的端口关闭客户端区汇聚交换机 接入交换机不使用的端口 关闭客户端区汇聚交换机 接入交换机不使用的端口 按需使用端口资源 SNMP Community 串必须配置串必须配置 ACL 仅允许网管服务器 网管客户端访问网络设备的 SNMP 读写操作 2 4 客户端安全措施客户端安全措施 接入客户端区网络的客户端必须按照总行安全管理处下发的有关防病毒系统 桌面 办公安全管理系统等相关规定 及时安装防病毒软件以及桌面办公安全管理软件 LANDESK 并做到及时升级 3 实施指导实施指导 3 1 网卡工作模式网卡工作模式 目前局域网端口工作模式主要包括 10BaseT 100BaseTX 和 1000BaseT 1000Base SX 等 这些技术工作在不同的速率和双工模式下 在不同的 技术互连中可能存在互操作的问题 并引发潜在的网络故障 为此需要对交换机端口采 用的工作模式进行规范 各种端口模式比较如下表 自动协商强制指定 中国建设银行 湖北省分行信息技术部第 9 页 共 14 页 优点线缆单通时可以通过协商关闭两端的端 口 各种网络设备及 NIC 默认为自动协商 不需要手动指定 可以降低维护成本 通过更主动的方式使互连端口初始能够工作 在最佳方式 不依赖自动协商技术及平行检测技术 不依赖与产品是否具备自动协商技术 缺点依赖于自动协商及平行检测技术的互操 作性 依赖于产品对自动协商技术的支持 协商结果可能不是互连最佳的工作模式 线缆单通时无法通过协商关闭发送端的端口 需要手动修改网络设备及 NIC 的默认配置 维护成本高 趋势随着标准的改进及各厂家技术的成熟 业界倾向于使用这种方式 例外情况NIC 或网络设备不支持自动协商 NIC 或网络设备协商不能很好的兼容 NIC 驱动缺陷 虽然设置了 auto 但仍 然使用某一指定工作方式 NIC 驱动缺陷 虽然设置了某一指定工作方 式 但网卡仍然使用 auto 和对端协商 图表 4 各种端口模式比较 端口工作模式设置端口工作模式设置配置原则配置原则 互连设备两端的配置方式必须相同 即两端都设置为 auto 或指定为相同的 speed duplex 工作方式 建议 1000M 光口及电口互连使用 auto 模式 3 2 二层交换网络实施指导二层交换网络实施指导 3 2 1 设定生成树设定生成树 STP 的主根 次根的主根 次根 通过 STP 协议进行竞选 STP 根 排障时难以及时找出 STP 根的位置 因此 应人为指定核心交换机作为局域网的 STP 根网桥 次根网桥 对二层根不在核心交 换机上的 Vlan 重新调整其根设定 将根统一设置到核心交换机上 对于使用多生成树协议的交换机网络 生成树根位置的配置的原则如下 汇聚交换机 HB TT SW 1 设置为所有 VLAN 的生成树的主根 汇聚交换机 HB TT SW 2 设置为所有 VLAN 的生成树的次根 3 2 2 生成树优化生成树优化 Spanning Tree 的计算由四步组成 Blocking Listening Learning Forwarding 通常一个端口从 Blocking 到 Forwarding 的时间大致为 30 50 秒 1 将交换机和客户端连接的端口配置为边缘接口 中国建设银行 湖北省分行信息技术部第 10 页 共 14 页 2 边缘端口不直接或间接与任何交换机连接 则可以不用经过中间状态而直接进 入转发状态 为防止边缘接口接收 BPDU 信息 需要在边缘接口配置 BPDUGuard BPDU Guard BPDU 保护 BPDU 保护仅用在 PortFast 模式 它被网络设计者用来加强 STP 域边界 通常来对接入终端的边缘端口进入配置 从而保持交换网络的拓扑不受影响 在启用 STP PortFast 端口之后的设备被禁止影响 STP 拓扑 通过配置 BPDU 保 护后 端口如果收到 BPDU 将会把端口状态调整到 Err Disable 如下是一个出错信息 2000 May 12 15 13 32 SPANTREE 2 RX PORTFAST Received BPDU on PortFast enable port Disabling 2 1 2000 May 12 15 13 32 PAGP 5 PORTFROMSTP Port 2 1 left bridge port 2 1 如图所示 A 的优先级为 10 为该 vlan 的根桥 B 的优先级为 20 为备份根桥 B 和 A 之间的链路为 Gbit s 链路 正确的 BPDU 流向 如下图 如果 D 为一台基于 Linux 的软件网桥 可以发送 BPDU 报文 并将自身 BID 的优先级设置为 0 此时 D 将成 中国建设银行 湖北省分行信息技术部第 11 页 共 14 页 为根桥 故 BPDU 流向变为右图 A B 间的 Gbit s 链路被阻塞 通过 C 走 100Mbit s 链路 此时会超负载出现丢 包的情况 BPDU 保护的目的就是基于这种情况 防止接入设备对整个网络拓扑的影响 配置方式 在全局模式 Switch config spanning tree portfast bpduguard default 接口模式 Switch config if spanning tree bpduguard enable 注意在全局模式配置了 portfast 默认打开 BPDU 保护 需要在相应的接口上打开 portfast 才能启用 关于生成树高级特性的介绍 请对于不链接设备的交换机端口 链接 PC 或终端的 设置为边缘端口 命令例 stp enable 开启 STP 功能 stp root primary 设置为主根 stp root secondary 设置为次根 stp edged port enable 在端口模式下设置本端口为边缘端口 对于容易产生广播风暴的交换机可设置风暴抑制 broadcast suppression 3 3 VLAN 及及 Trunk 设置设置 交换机网内部二层交换机之间配置 Vlan Trunk 实现 Vlan 的互通 Vlan Trunk 采用 IEEE 802 1Q Trunk 协议格式 对于思科交换机之间以及思科交换机与其它品牌交换机 之间互连时需关闭 DTP 协议 交换机间 Trunk 互联接口需明确配置为 Trunk 模式 并 封装 802 1Q 交换机之间可通过 Vlan 管理协议维护交换机中的 Vlan 动态注册信息 并传播该信 息到其它的交换机中 Vlan 管理协议便于在较大规模的网络中管理 Vlan 配置 对于较小规模的网络建议 由每台交换机独立管理 Vlan 信息 连接客户端 PC 的接入端口 需明确配置为访问模式 关闭 Trunk VLAN 定义定义 中国建设银行 湖北省分行信息技术部第 12 页 共 14 页 VLANVLAN IDID 名称名称说明说明 10 LAN A R1 互联 R2 20 LAN B R1 互联 R2 35 GuoJiKa 国际卡 172 189 OA 办公网段 130 SuoWei OA 网在用 100 Network Manage 网管 102 CIC NMS USER CIC NMS USER 110GuanLi 企业管理 120YeWu ZH1 综合业务 1 128Video 视频 140YeWu HB1 综合业务 2 150Internet 互联网 151 NetManage ZH 网管 159 IPCC IPCC 198 PeiXun 培训 LookBack x Network Manage 网络管理口 3 4 网关备份协议网关备份协议 标准交换机网采用 VRRP 协议实现网关的冗余备份 内部服务器通过 VRRP 虚拟 IP 地址与外部网络实现 IP 层通信 VRRP 通过优先级和接口 IP 地址选举主虚拟网关 主虚拟网关提供实际的路由转发服务 当虚拟网关故障时 备份虚拟网关取代主虚拟网 关状态保持局域网正常通信 为了提高数据转发效率 VRRP 部署时应将 Vlan 二层生成树根和三层 MASTER 地址设置在同一台交换机 思科交换机采用私有的 HSRP 技术实现网关的冗余备份 H3C 交换机 VRRP 建 议设置为 virtual mac 模式 中国建设银行 湖北省分行信息技术部第 13 页 共 14 页 4 附录附录 4 1 生成树协议生成树协议 STP 的作用是通过阻断冗余链路 使一个有回路的桥接网络修剪成一个无回路的 树形拓扑结构 交换机网通过 Spanning Tree 算法建立节点间的生成树 防止交换机网的冗余连 接产生二层环路 Spanning Tree 协议通过交换 BPDU 桥协议数据单元 自动学习生 成树路径 STP 环路问题是最常见的局域网故障 并且环路发生将影响整个局域网的工作 危害较大 通过配置必要的预防措施可以有效的消除 STP 形成环路的可能 并且也有 利于 STP 环路的排障 4 2 生成树协议 生成树协议 STP 类型选择 类型选择 STP 有多种标准 常用的类型有 CST RSTP 和 MSTP 以及我行使用较多的 思科私有 PVST PVST 协议 1 Common Spanning Tree CST 协议 公共生成树 协议 公共生成树 整个网络里的一棵 大 的树结构 每个域在 CST 中只是一个节点 是整个网 络的宏观拓扑 CST 协议配置 管理简单 消耗交换机 CPU 小 但 Spanning Tree 的收敛时间较长 2 RSTP IEEE 802 1w 快速生成树协议 快速生成树协议 RSTP IEEE 802 1w 又称为 快速生成树协议 是在 IEEE 802 1d 协议 STP 基础上发展而来的 所有 Vlan 共享一个生成树 这种协议在网络结构发生变 化时 能更快的收敛网络 3 MSTP IEEE 802 1s 多生成树协议 多生成树协议 MSTP 是 IEEE 802 1s 中提出的一种 STP 和 VLAN 结合使用的新协议 它既继承 了 RSTP 端口快速迁移的优点 又解决了 RSTP 中不同 vlan 必须运行在同一棵生成树 上的问题但配置较复杂 4 PVST 和和 PVST 协议 协议 CISCO Per Vlan Spanning Tree PVST 协议和 Per Vlan Spanning Tree Plus PVST 是思科发展的 STP 协议 使用 PVST 协议 每个 Vlan 各自按照各自 独立的 STP 信息维持生成树 交换机网 STP 协议配置需遵循以下原则 1 对于采用标准协议的交换机网络或异种品牌混合使用的交换机网络使用 MSTP 中国建设银行 湖北省分行信息技术部第 14 页 共 14 页 协议 2 对于思科交换机组成的网络使用 Rapid PVST 协议 3 对于两个采用三层 VLAN 互连的交换机网 如果两侧交换机运行的 STP 协议 不同 应采用关闭 STP 协议的方式避免连接问题 4 3 Cisco 生成树协议增强特性指南生成树协议增强特性指南 Cisco 交换机间互联采用交换机间互联采用 Rapid PVST 模式 模式 将将 XX SW 1 指定为所有指定为所有 VLAN 的根交换机 的根交换机 XX SW 2 指定为所有指定为所有 VLAN 的次的次 根交换机 根交换机 启用 Portfast BPDU Guard RootGuard LoopGuard 等生成树增强功能 用于 进一步保护生成树 下图展示了如何使用这些增强特性 图表 5 Cisco 生成树协议特性指南 PortFast 在汇聚交换机和扩展交换机连接主机的接口上启用 在汇聚交换机和扩展交换机连接主机的接口上启用 BPDU Guard 在汇聚交换机和扩展交换机全局启用 在汇聚交换机和扩展交换机全局启用 RootGuard 特性在汇聚交换机连接扩展交换机的接口上启用 特性在汇聚交换机连接扩展交换机的接口上启用 LoopGuard 使用在根接口或阻塞接口上 使用在根接口或阻塞接口上 UDLD 特性在汇聚交换机和扩展交换机上全局启用 特性在汇聚交换机和扩展交换机上全局启用 Portfast 特性使得连接主机的接口可以跳过侦听和学习状态 直接由阻塞状态转为 转发状态 中国建设银行 湖北省分行信息技术部第 15 页 共 14 页 BPDU Guard 特性启用在接口模式时 在该接口接收到 BPDU 报文时将该接口设 置为 errdisable 状态 接口不可用 一般需要手工恢复 当全局启用时 仅对 Portfast 接口生效 RootGuard 特性用于防止指定接口变为根接口或者阻塞接口 当该接口接收到更 优的 BPDU 报文 则被置于 Root Inconsistent 不可用 若停止接收更优的 BPDU 报 文 接口便自动恢复为转发状态 LoopGuard 特性用于根接口和阻塞接口 用于保证它们不断的接收 BPDU 报文 如果停止接收 则将接口置于 Loop Inconsistent 状态 不可用 当再次接收到 BPDU 报文后 接口自动收敛 LoopGuard 和 RootGuard 是相互矛盾的 不能同时使用在同 一接口 UDLD 即单向链路检测 用于防止链路发生单向通信终端而导致 STP 环路 4 4 H3C 生成树协议特性生成树协议特性 H3C 交换机间互联采用交换机间互联采用 802 1S MSTP 仅配置一个生成树实例 并将 仅配置一个生成树实例 并将 XX SW 1 指定为所有指定为所有 VLAN 的根交换机 的根交换机 XX SW 2 指定为所有指定为所有 VLAN 的次根交换机 的次根交换机 图表 6 H3C 生成树特性指南 在连接主机的端口配置边缘端口 启用在连接主机的端口配置边缘端口 启用 BPDU 保护 保护 环路保护特性在接入交换机连接汇聚交换机的端口上启用 环路保护特性在接入交换机连接汇聚交换机的端口上启用 根保护特性在汇聚交换机连接接入交换机的端口上启用 根保护特性在汇聚交换机连接接入交换机的端口上启用 在汇聚交换机和接入交换机全局启用在汇聚交换机和接入交换机全局启用 TC 保护 维持超时因子缺省配置 保护 维持超时因子缺省配置 配置边缘端口配置边缘端口 中国建设银行 湖北省分行信息技术部第 16 页 共 14 页 将交换机连接客户端或者服务器 包括其他不会发出 BPDU 报文的网络终端或者网 络设备 的端口 配置成为边缘端口 同时开启交换机的 BPDU 保护功能 或者直接关 闭该端口的生成树协议 配置环路保护配置环路保护 为了避免端口由于各种错误而发生了端口角色改变 导致网络中产生环路 在交换 机上参与生成树协议计算的端口上可以增加环路保护功能 配置根保护配置根保护 如果网络规划中已经指定 H3C 设备为根桥 则 H3C 设备网络和其他厂商设备网络 H3C 设备的下游网络 边界上 在 H3C 设备上和其他厂商设备互连的端口上 可以 配置 Root 保护功能 当收到来自其他厂商设备网络的优先级更高的 BPDU 报文时 H3C 设备会丢弃该报文 并将端口临时阻塞 防止网络拓扑振荡 配置配置 TC 保护保护 为了避免交换机由于收到频繁的 TC TCN 报文 而按照协议规定对 MAC 地址表 项及 ARP 地址表项进行频繁删除操作 继而出现设备 CPU 占用率增高 业务中断的 故障 可以在交换机上增加 TC 报文保护功能的配置 TC 保护配置保持缺省值 4 5 锐捷生成树协议特性锐捷生成树协议特性 锐捷交换机间互联采用锐捷交换机间互联采用 MSTP 将将 XX CLT SW 1 指定为所有指定为所有 V