【毕业学位论文】基于VLAN 和三层交换的企业网络安全策略研究-软件工程

分类号 密级 U D C 编号 士学位论文 论文题目： 基于 三层交换的企业网络 安全策略研究 学科、专业： 软 件 工 程 研究生姓名： 仇 剑 锋 导 师 姓 名： 蔡 自 兴 教授 时 间： 2006 年 10 月 of & 中南大学硕士学位论文 摘要 I 摘 要 随着企业信息化水平的提高， 企业信息系统网络规模在不断扩大，随之而来的网络安全、网络流量、网 络通信速度、网络维护工作量等问题明显增加。究其原因， 是由于各企业的信息网络普遍使用二层交换技术的网络架构造成的。二层交换 技术架构网络的主要弱点是：在局域网内不能划分 络物理链路存在安全漏洞，同一个网段内的工作站过多会引起广播风暴，甚 至导致网络瘫痪，不能有效地解决各种网络互连、安全控制等问题 。三层交换技术的出现主要是为了解决规模较大的网络中的广播问题，通过 一个大的交换网络划分为多个较小的广播域，各个 间再采用三层交换技术互通。企业信息网络采用三层交换技 术，可以确保计算机网络更加合理、安全、有效。 对于企业网络安全而言，主要通过采用网络物理链路安全和访问控制两个方面的安全策略来实现企业网络安全， 而采用三层交换技术的网络架构，很大程度上避免了二层交换技术的缺陷， ，能够较好地实现此类安全策略目标。随着网络规模的升级，信息流量逐渐加大，人员管理变得日益复杂，给企业网的 安全、稳定和高效运行带来新的隐患，如何消除这些隐患呢？在 采用访问控制策略，能够加强网络的整体安全。 在核心层和汇接层交换机的接口上建立访问控制列表来实现 间的访问控制，决定哪些用户数据流可以在 间进行交换，以及最终到达核心层。 论文简要介绍了 术在当前企业中的应用状况，实施 必要性及存在的问题，依据 准和 司的 议阐述了 工作机制。论文中讨论了 间的两种通信方式： （ 1） 通过路由器实现 的通信；（ 2）通过三层交换机实现 的通信。 论文对某石化企业网络安全性进行了分析，针对企业网络的实际情况，基于 三层交换技术安全策略，提出了解决方案，并且在企业网络安全项目中进行了具体实施， 解决了企业局域网安全方面的主要问题，达到项目预期目标。 关键词： 网络，三层交换技术，协议，网络安全 中南大学硕士学位论文 of is of as to is in s in of t of up of a we to to a of of it of s of up of It by of at 南大学硕士学位论文 of 1) by 2) by of at by in of it of 目录 摘 要 . . 录 . 一章 引 言 .统交换和路由存在的问题. 交换技术如何转发数据. 路由器转发数据与交换机的不同. 路由器的缺陷. 交换机结合路由器的问题.三层交换技术产生的背景及其解决的问题.二层和第三层交换技术比较 . 传统的第二层交换技术 . 具有路由功能的第三层交换技术 .究的意义 .文的组织安排.二章 作原理 .划分. 根据端口划分 . 根据 址划分 . 基于第三层的 . 根据 播划分 .达虚拟局域网成员信息. 通过发信号作表维护. 帧标记. .帧标记 . 标识方法. 标识 . 标识.拟局域网的标准. 虚拟局域网标准. 特网工作分会.态 理协议 . 通用属性注册协议 . 动态 册协议 . 道协议 .三章 第三层交换实现 间的通信 .由器实现 通信 .南大学硕士学位论文 目录 由器的局限性 . 80/20 规则对传统路由器的影响 . 采用路由器作为局域网核心所产生的问题.层交换的概念. 三层交换原理解析. 三层交换的实现方法.层交换机. 什么是三层交换机 . 三层交换机种类 .层交换 .四章 某石化企业网络安全需求分析 .络安全体系结构.石化企业原有计算机网络的安全评估. 某石化企业原有计算机网络的拓扑结构 . 某石化企业原有计算机网络的基本情况 . 存在的网络安全问题 . 网络安全策略.五章 基于 三层交换的企业网络安全策略实现 .络安全优化项目.络三层结构设计.于 三层交换的网络安全架构. 网络三层架构. 分： . 间的访问控制.络设备关键配置 令实例 .应用情况的总结. 用户访问控制和文件保密方面应用. 防病毒方面应用. 性能分析. 应用效果总结. 结 . 谢 . 考文献 . 攻读学位期间主要的研究成果 .南大学硕士学位论文 引言 1第一章 引 言 信息安全是国家发展所面临的一个重要问题。对于这个问题，我们还没有从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。我们不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到，发展安全产业的政策是信息安全保障系统的一个重要组成部分，应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。 大型企业信息网络采用三层交换技术， 可以确保计算机网络更加合理、 安全、有效。随着企业信息化水平的提高，企业信息系统网络规模在不断扩大，随之而来的网络安全、网络流量、网络通信速度、网络维护工作量等问题明显增加。究其原因，目前，各企业的信息网络普遍使用二层交换技术的网络架构。其主要弱点是：同一个网段内的工作站过多会引起广播风暴，甚至导致网络瘫痪。不能有效地解决各种网络互连、安全控制等问题。而采用三层交换技术的网络架构，很大程度上避免了二层交换技术的缺陷，能改善网络整体性能。1 第三层交换（ 换技术）是相对于传统交换 概念而提出的。传统的交换技术是在 络标准模型中的第二层数据链路层进行操作的，而三层交换技术是在网络模型中的第三层实现了数据包的高速转发。 如果将第二层的交换机与第三层的路由器合二为一， 使路由器根据第二层的地址转发数据包以达到快速通讯，这就形成了第三层交换。三层交换技术的出现，解决了局域网中网段划分之后，网段中子网必须依赖路由器进行管理的局面，解决了传统路由器高费用、低性能所造成的网络瓶颈问题。当然，三层交换技术并不是网络交换机与路由器的简单堆叠，而是二者的有机结合却形成了一个集成的、完整的解决方案。 目前采用最多的第三层服务主要有： 安全（47%） 加密（35%） 8%）2统交换和路由存在的问题 换技术如何转发数据 局域网交换技术是作为对共享式局域网提供有效的网段划分的解决方案而出现的，它可以使每个用户尽可能地分享到最大带宽。交换技术是在 层中南大学硕士学位论文 引言 2网络模型中的第二层，即数据链路层进行操作的，因此交换机对数据包的转发是 建立在 址物理地址基础之上的，对于 络协议来说，它是透明的，即交换机在转发数据包时，不知道也无须知道信源机和信宿机的 址，只须其物理地址即 址。交换机在操作过程当中会不断的收集资料去建立它本身的一个地址表， 这个表相当简单， 主要标明某个 址是在哪个端口上被发现的，所以当交换机收到一个 P 数据封包时，它会检查该数据包的标签部分的目的 址，核对自己的地址表以确认该从哪个端口把数据包发出去这个过程比较简单，而且目前交换机的这一功能由样的硬件实现，速度非常快，一般只需几十微秒，交换机便可决定一个 包该往哪里送。这就是交换机的学习功能，而不是像 样，任何一个发方数据都会出现在 所有端口上，互相发生碰撞，不但影响了数据传输速度，而且容易丢包。 20 世纪 90 年代的网络系统的集成模式中，大量引入局域网交换机，与 比，局域网交换机的引入，使得网络站点间可独享带宽，消除了无谓的碰撞检测和出错重发，提高了传输效率。但是，二层交换机的缺点在于它对广播封包的处理方式，如果交换机收到一个不认识的封包，就是说目的地 址不能在地址表中找到时，交换机会把 包“扩散”出去，即把它从每一个端口中送出去，就好像交换机在收到一个广播封包时一样处理。 当一个交换机收到一个从 P 工作站上发出来的广播封包时，它便会把该封包传到所有其他端口去，哪怕有些端口上连的是 作站。这样一来，非 P 接点的带宽便会受到负面的影响，就算同样是 P 接点，如果它们和发送那个广播封包的工作站不在同一子网，也会收到不相干的网络广播，这是影响网络带宽利用率的不利因素。另外，交换机对异种网络互连以及网络安全性控制不能有效地解决。3由器转发数据与交换机的不同 与交换机相比，路由器是在 层网络模型中的第三层（网络层）操作的。它在网络中，收到任何一个数据包（包括广播包在内） ，都要将该数据包第二层（数据链路层）的信息去掉（称为“拆包” ） ，查看第三层信息（ 址） 。然后，根据路由表确定数据包的路由，再检查安全访问表，如果通过，则再进行第二层信息的封装（称为“打包” ） ，最后将该数据包转发。如果在路由表中查不到对应 址的网络地址，则路由器将向源地址的站点返回一个信息，并把这个数据包丢掉。从以上转发原理可以看出，路由器提供的系列存取控制是企业网络安全控制必不可少的环节。 但是， 由于路由器对任何数据包都要有一个 “拆打”过程，即使是同一源地址向同一目的地址发出的所有数据包，也要重复相同中南大学硕士学位论文 引言 3的过程。这一过程限制了路由器的吞吐量，也是路由器成为网络瓶颈的原因之一4。 由器的缺陷 提高路由器的硬件性能（采用更高速，更大容量的内存）并不足以改善它的性能。因为路由器除了硬件支撑外，其“复杂的处理与强大的功能”主要是通过软件来实现的，这必然使得它成为网络瓶颈。另外，当流经路由器的流量超过其吞吐能力时， 将引起路由器内部的拥塞。 持续拥塞不仅会使转发的数据包被延误，更严重的是使流经路由器的数据包丢失，这些都给网络应用带来极大的麻烦。路由器的复杂性还对网络的维护工作造成了沉重的负担。例如，要对网络上的用户进行增加、移动或改变时，配置路由器是一项十分复杂的工作。5换机结合路由器的问题 将交换机和路由器结合起来（这也是当今大多数企业所采用的网络解决方案） ，从功能上来讲是可行的，但是这一解决方案经过大量的实践检验后，存在明显的不足：从网络用户的角度看，整个网络被分为两种等级的性能：直接经过交换机处理的数据包享受着高速公路快速、稳定的传递性能，但是那些必须经过路由器的数据包只能使用慢速通路，当流量负荷严重时，便会产生令人头痛的延迟。交换机和路由器是网络中不同的设备，须分别购买、设置和管理，其花费必然要多于一个基于集成化的单一完整的解决方案的花费。 三层交换技术产生的背景及其解决的问题 为提高网络的整体性能并考虑到网络管理的需要。 在进行网络设计和规划时，一般要将整个网络划分为几十子网或 而且在评价一个网络的设计优劣时有这样一个著名规则： 80/20 规则。也就是说，对一个规划比较好的网络而言，80%的通信量在本地进行4。只有 20%的通信需跨子网（或 行。如果这样，整个网络的流量和通信模式就是可预知的。对于网络管理员来说无疑是件好事。然而信息社会的发展却打破了这个 80/20 规则。一方面由于网络安全和网络管理的需要。 企业的管理部门一般要将企业级的应用进行集中控制和集中管理（通常放在一台或几台超级服务器上） ，再由分布在不同子网（或 的用户进行数据存取。另一方面，支持 群体系统（如 出现则要求打破以往部门间的限制，从而支持企业范围内的通信和合作。这两方面的原因，使得子网间的通信量大大增加，某种程度上甚至改写了 80/20 规则，变中南大学硕士学位论文 引言 4成了 20/80 规则。边缘用路由器，核心用交换机，交换到桌面的建网原则给本地用户以较高的带宽（这归于交换机线速转发数据包的能力） 。同时，不可避免地增加了子网间的通信量。子网间的通信需要通过路由器才能进行。于是路由器既要承担 间繁重的通信任务，又要处理大量跨子网（或 通信。由于性能和速度方面的限制，路由器成为网络通信的瓶颈。 从应用的角度来看， 猛发展， 对传统的以路由器为核心，结合二层交换机的网络结构提出了严峻的挑战。路由器的高费用、低性能使其成为网络的瓶颈。但由于网络间互连的需求，它又是不可缺少的并处于网络的核心位置，路由器技术的革新刻不容缓。在这种情况下，第三层交换技术被提出了。传统的网络结构对用户所造成的限制，正是三层交换技术要解决的关键问题。目前，市场上最高档路由器的最大处理能力为每秒 25 个包，而最高档交换机的最大处理能力则在每秒 1000 万个包以上，二者相差 40 倍。在交换网络中，尤其是大规模的交换网络，没有路由功能是不可想象的。然而路由器的处理能力又限制了交换网络的速度，这就是三层交换所要解决的问题。6二层和第三层交换技术比较 统的第二层交换技术 二层交换技术发展比较成熟，二层交换机属数据链路层设备，可以识别数据包中的 址信息，根据 址进行转发，并将这些 址与对应的端口记录在自己内部的一个地址表中。具体的工作流程如下： 1) 当交换机从某个端口收到一个数据包，它先读取包头中的源 址，这样就知道源 址的机器是连在交换机哪个端口上的； 2) 再去读取包头中的目的 址，并在地址表中查找相应的端口； 3) 如表中有与这目的 址对应的端口， 把数据包直接复制到这端口上； 4) 如表中找不到相应的端口则把数据包广播到所有端口上，当目的机器对源机器回应时，交换机又可以学习一目的 址与哪个端口对应，在下次传送数据时就不再需要对所有端口进行广播了。 不断循环这个过程，对于全网的 址信息都可以学习到，二层交换机就是这样建立和维护它自己的地址表。 从二层交换机的工作原理可以推知以下三点7 8： 1) 由于交换机对多数端口的数据进行同时交换，这就要求具有很宽的交换总线带宽，如果二层交换机有 N 个端口，每个端口的带宽是 M，交换机总线带宽超过 NM，那么这交换机就可以实现线速交换； 中南大学硕士学位论文 引言 52) 学习端口连接的机器的 址，写入地址表，地址表的大小（一般两种表示方式：一为 为 项数值） ，地址表大小影响交换机的接入容量； 3) 二层交换机一般都含有专门用于处理数据包转发的 片，因此转发速度可以做到非常快。由于各个厂家采用 同，直接影响产品性能。 有路由功能的第三层交换技术 第三层交换技术是 1997 年前后才开始出现的一种交换技术， 最初是为了解决广播域的问题。经过多年发展，第三层交换技术已经成为构建多业务融合网络的主要力量。在大规模局域网中，为了减小广播风暴的危害，必须把大型局域网按功能或地域等因素划分成多个小局域网，这样必然导致不同子网间的大量互访，而单纯使用第二层交换技术，却无法实现子网间的互访。为了从技术上解决这个问题， 网络厂商利用第三层交换技术开发了三层交换机， 也叫做路由交换机，它是传统交换机与路由器的智能结合。简单地说，可以处理网络第三层数据转发的交换技术就是第三层交换技术。 从硬件上看，在第三层交换机中，与路由器有关的第三层路由硬件模块，也插接在高速背板 /总线上。这种方式使得路由模块可以与需要路由的其它模块间，高速交换数据，从而突破了传统的外接路由器接口速率的限制。三层交换机是为 计的，接口类型简单，拥有很强的三层包处理能力， 价格又比相同速率的路由器低得多， 非常适用于大规模局域网络5。 究的意义 第三层交换机在网络集成中投入使用，并体现出以下突出特点： 1) 有机的硬件结合使得数据交换加速。 2) 优化的路由软件使得路由过程效率提高。除了必要的路由决定过程外，大部分数据转发过程由第二层交换处理。 3) 多个子网互连时只是与第三层交换模块的逻辑连接，不像传统的外接路由器那样，需增加端口，保护了用户的投资。 三层交换机的优良性能得到了用户的认可，但是作为一种新技术，三层交换机还存在以下不成熟的地方： 1) 目前第三层交换机主要可交换路由 议，还不能处理其他一些有一定应用领域的专用协议。 2) 三层交换机中的第三层转发功能与现存的传统的路由器中的复杂数据包处理功能是相同的，性能的高低主要取决于实现第三层转发功能的方法，目前中南大学硕士学位论文 引言 6主要还是由软件来实现。所以，三层交换机在第三层转发数据时，其性能没有根本的改善。 随着网络拥塞流量的不断增长，拥塞模式的不断变化，网络主干面临着新的压力，新一级的网络应用更要求局域网支持实时信息传输，三层交换技术将为解决这些问题提供最简单、 最经济的方案。 第三层交换技术到今天已经相当成熟，同时，三层交换机也从来没有停止过发展。第三层交换技术及三层交换设备的发展，必将在更深层次上推动整个社会的信息化变革，并在整个网络中获得越来越重要的地位。 文的组织安排 根据研究过程所涉及的内容和系统实现的步骤，本论文分为以下几个部分： 第一章：介绍研究的大背景，包括二三层交换技术等相关技术以及已经取得的研究成果，研究的意义。 第二章：分析 作原理。 第三章：讨论第三层交换实现 间的通信。 第四章：对某石化企业网络安全需求进行分析。 第五章：采用 三层交换技术对某石化企业网络进行安全策略研究设计和实现。中南大学硕士学位论文 第二章 作原理 7第二章 作原理 划分 什么是虚拟局域网？由于有众多的供应商所制定的虚拟局域网解决方案和实施策略，所以精确地给虚拟局域网下定义就成为一个有争议的问题。然而，多数人对这种说法表示同意： 虚拟局域网，是一种通过将局域网内的设备逻辑地划分成一个个网段从而实现虚拟工作组的新兴技术。 1999 年颁布了用以标准化 现方案的 议标准草案。6据端口划分 多最初的虚拟局域网实施按照交换机端口分组来定义虚拟局域网成员。例如，一台交换机的端口 1、 2、 3、 7 和 8 上的工作站组成了虚拟局域网 A，而端口 4、 5 和 6 上的工作站组成了虚拟局域网 B 。此外，在多数最初的实施当中，虚拟局域网只能在同一台交换机上得到支持。第二代实施支持跨越多台交换机的虚拟局域网。例如， 1 号交换机的端口 1和 2 以及 2 号交换机的端口 4、5、 6 和 7 上的最终工作站组成了虚拟局域网 A；而 1 号交换机的端口 3、 4、 5、6、 7 和 8 加上 2 号交换机的端口 1、 2、 3 和 8 上的最终工作站组成了虚拟局域网 B。端口分组仍然是定义虚拟局域网成员最常用的方法，而且配置也相当直截了当。但是，用端口定义虚拟局域网的主要局限性是：当用户从一个端口移动到另一个端口的时候网络管理员必须重新配置虚拟局域网成员。 据 址划分 种划分 方法是根据每个主机的 址来划分，即对每个 址的主机都配置他属于哪个组。 基于 址的虚拟局域网具有不同的优点和缺点。 由于硬件地址层的地址是硬连接到工作站的网络界面卡 （ 上的， 所以基于硬件地址层地址的的虚拟局域网使网络管理者能够把网络上的工作站移动到不同的实际位置， 而且可以让这台工作站自动地保持它原有的虚拟局域网成员资格。按照这种方式，由硬件地址层地址定义的虚拟局域网可以被视为基于用户的虚拟局域网。基于 址的虚拟局域网解决方案的缺点之一是要求所有的用户必须初始配置在至少一个虚拟局域网中。 在这次初始手工配置之后，用户的自动跟踪才有可能实现，而且取决于特定的供应商解决方案。然而，中南大学硕士学位论文 第二章 作原理 8这种不得不在一开始先用人工配置虚拟局域网的方法， 其缺点在一个非常大的网络中变得非常明显：几千个用户必须逐个地分配到各自特定的虚拟局域网中。某些供应商已经减少了初始手工配置基于硬件地址的虚拟局域网的繁重任务， 它们采用根据网络的当前状态生成虚拟局域网的工具， 也就是说为每一个子网生成一个基于硬件地址的虚拟局域网。 于第三层的 于第三层信息的虚拟局域网在确定虚拟局域网成员时考虑协议类型（如果多协议得到支持）或网络层地址（例如， P 网络的子网地址） 。虽然这些虚拟局域网是基于第三层信息的，但这并不构成一种“路由”功能，也不应与网络层路由相混淆。即使交换机检查数据包的 址以确定虚拟局域网成员，也不会施行路由计算，不会采用 议，而且穿越交换机的数据帧通常根据生成树算法桥接。因此，从采用基于第三层信息虚拟局域网技术的交换机的观点出发，任何给定虚拟局域网范围内的联接仍被视为一种平的桥接拓朴结构。在第三层定义虚拟局域网有几个优点。首先，它根据协议类型实现分区。这也许对投入基于服务或应用的虚拟局域网战略的网络管理人员而言是一个有吸引力的选项。其次，用户可以实际地移动他们的工作站而不必重新配置每台工作站的网络地址。这对 P 用户十分有利。第三，在第三层定义虚拟局域网可以消除为了在交换机之间传达虚拟局域网成员信息对数据帧标记的需求， 减少了经常性的传输开销。与基于 址或基于端口的虚拟局域网相比，在第三层定义虚拟局域网的缺点之一可能是对性能的影响。 检查数据包中的第三层地址要比查看数据帧中的硬件地址层地址耗时更多。由于这一原因，使用第三层信息定义虚拟局域网的交换机一般要比使用第二层信息的交换机运行得缓慢。 用第三层信息定义的虚拟局域网在涉及 P 协议时特别有效， 但在应付那些不能在桌面完成手工配置的网络协议时就差一些，例如 M) 、 或 等。此外，第三层定义的虚拟局域网在处理像 类“不可路由的”协议时有特殊困难。运行不可路由协议的最终工作站无法被区分，因此无法定义为一个网络层虚拟局域网的一部分。7据 播划分 P 多点传输分组表达了一种有些不同的虚拟局域网定义方式， 尽管它仍然应用了作为广播域的虚拟局域网这样一个基本概念。当一个 据包通过多点传输发送时，他被送到显示定义的一组 址的代理地址中去。这些 址是动态设置的。通过对表明存在一个特定 点传输组的广播通知作出肯定回中南大学硕士学位论文 第二章 作原理 9应，每一台工作站都被给予参加这个组的机会。参加 点传输组的所有工作站都可看作同一个虚拟局域网的成员。然而，它们仅仅是在某一时段内特定多点广播组的成员。因此，用 点传输组定义的虚拟局域网的动态特性产生了非常高的灵活性和应用灵敏度。此外，用 点传输组定义的虚拟局域网具有一种跨越路由器、因而跨越广域网联接的固有能力。由于各类虚拟局域网之间的协定，许多供应商正在计划纳入定义虚拟局域网的多种方法，即用组合式方法划分 种对虚拟局域网成员的灵活定义使网络管理人员能配置他们的虚拟局域网，使之最好地适合它们特定的网络环境。例如，用组合方法，一个既使用 使用 议的组织机构可以先定义与原有 网相应的 拟局域网（以便于顺利过渡） ，然后用硬件地址层地址分组的方法把 终工作站划分开来，也为它们定义虚拟局域网。 达虚拟局域网成员信息 当网络通信量从其它交换机到达时，交换机必须有一种明了虚拟局域网成员的方式（也就是说，哪一台工作站属于哪一个局域网） ；否则，虚拟局域网就被限制在一台交换机上了。一般而言，基于第二层的虚拟局域网（用端口定义或硬件地址定义的）必须以显式方式传达虚拟局域网成员信息，而基于 虚拟局域网则以隐含方式用 址传达虚拟局域网成员信息。取决于特定供应商的解决方案， 虚拟局域网成员信息的传达在多协议环境中基于第三层的虚拟局域网情况下也可能是隐含的。一般来讲，有三种方