技术支持电话 0471-8936878
路由器和交换机配置方案
───
发布时间:2015-05-25 11:26     作者:金财公司     浏览次数:

本模块内容

本模块介绍了选择交换机和路由器的方法,并标识了这些设备中的可用功能,从而帮助您选择所需的功能。交换机和路由器按每个类别的典型功能进行分组。通过这些类别,您应能确定组织所需的交换机和路由器类型。有许多可用的交换机和路由器类型,由于它们看起来功能相似,所以可能很难做出正确选择。本模块标识了突出的功能,并解释它们如何满足您的需求。此外,模块还涉及了路由器和交换机的安全性,并解释了如何确保路由器和交换机配置的安全性。

目标

使用本模块可以实现:帮助组织选择适当的交换机和路由器、标识路由器和交换机的关键安全因素、保护路由器和交换机配置。

适用范围

本模块适用于下列技术:以太网交换机以太网和 Internet 协议 (IP) 路由器

如何使用本模块

本模块可帮助您选择最适合组织的交换机和路由器。它提供了所需交换机和路由器功能的核对表,并解释了每个功能的作用。可以使用此核对表确定需要哪些功能。然后,模块根据每个组具有的功能将交换机和路由器分组。单一的交换机或路由器无法满足组织的需求,通过将您的需求与这些类别相比较,可以确定用于每个位置的最佳产品。

设计指南

本节描述企业网络中的路由器和交换机需求、可满足这些需求的设备类型以及可用于设备部署的选件。路由器和交换机是网络中的两个关键组件,正确选择这些关键设备可以确保网络提供快速可靠的服务和适应不断变化的需要。

设计输入

当设计交换机和路由器的实现时,需要输入下列内容:网络体系结构路由协议可用性

网络体系结构

在确定需要哪类路由器或交换机、这些设备彼此之间如何放置以及需要何种功能之前,应对网络进行设计。下面是选择路由器和交换机类别之前必需的网络设计信息:

1 网络中当前有多少设备?有多少设备需要连接?预计将来有多大的增长?

2 哪些设备要与其他设备进行通信?

3 需要通信的不同设备之间需要多少带宽?

4 在网络设计中,什么地方需要交换机(和路由器)?

5 是否需要虚拟局域网 (VLAN)?如果需要的话,需要多少?在每个 VLAN 上有哪些主机?是否将在 VLAN 之间执行路由?

6 可接受的滞后时间是多少?

网络设计

组织结构有很多种,围绕它们设计网络体系结构的方法也有多种。但是,有两种常用模型可作为您的设计基础。它们是可在总部使用的多级交换体系结构和在小的分支机构使用的体系结构。

1 显示了通常在具有公共网站层和后端数据库层的地方使用的多级体系结构的示例。从网络的公共端开始,向内移动,第一部分是边界网络,此部分网络有提供初始防火墙功能的面向 Internet 的边界路由器。后面紧跟的交换机将路由器与外围防火墙链接在一起,并提供了更强大的防火墙。外围防火墙反过来通过交换机连接到外围网络中的 Web 服务器,Web 服务器通过另一个交换机连接到内部防火墙。然后,内部防火墙通过交换机连接到后端网络中的内部服务器和用户 PC。此图显示的是逻辑设计,但在物理上,所有交换机都可以是同一交换机上的单独 VLAN。由于边界属于非安全地区,所以边界交换机最好是单独的设备。后端交换机也可以是多个交换机,这取决于您偏爱一个大型交换机还是多个小型交换机。

1


多级交换体系结构

2 显示了适合于在小分支机构使用的体系结构。它由三个网络设备组成:调制解调器、路由器和交换机。根据网络连接情况,这三个设备可以组合成两个设备或一个设备。低成本路由器通常包含一个以太网交换机和一个防火墙功能,对于宽带连接,也可将调制解调器集成在路由器中。

2

路由协议

在设计网络时,必须决定路由信息的交换使用哪种路由协议。路由器需要路由表来指出如何到达目标网络。路由表可以手动配置为静态路由,但是这些仅适用于小型网络。替代方法是使用路由协议,由此通过自动发现其他网络来构建路由表。如果链接失败,则失败的链接自动从路由表中删除,因此路由器始终清楚目标网络的最佳活动路由。

下表描述了网络中使用的两大工业标准路由协议 RIP OSPF 以及一个特殊协议 BGP

路由信息协议 (RIP)
RIP
用于在中小型互联网络中交换路由信息,被广泛用于各种路由器。

RIP 的最大好处是非常容易配置,但也有一些主要缺点:无法处理大型网络,生成大量网络数据流,对网络故障的响应速度慢(聚合时间长)。出于这些原因,通常只将它用于小型局域网 (LAN)

开放式最短路径优先 (OSPF)
OSPF
是工业标准路由协议,它的效率非常高,并且可以很好地扩展到大型网络OSPF 的优点是它产生的网络开销很少(即使在很大的互联网络中),且对链接失败的响应速度非常快。OSPF 的 主要缺点是它的复杂性、更难于配置和管理。

大多数企业网络如今都将 OSPF 作为路由协议,因为它比 RIP 的效率更高。它通常在大中型路由器上使用,有时也在较小的路由器上使用。

边界网关协议 (BGP)
是在连接到 Internet 的路由器上使用的外部网关路由协议,可提供路由可用性和负载平衡能力。通常 BGP 只可以在大型路由器上使用,您应该与 Internet 服务提供商 (ISP) 讨论其配置。

可用性

网络需要高可用性,网络越大,所需的可用性越高。有许多方法可以配置和查找路由器和交换机,以满足这些可用性需求。包括重复组件(如网络设备中的电源和引擎)和重复设备本身。后者会大大增加成本,但是可以提供完全的复原解决方案。

设备定义

本节定义了下列类型的网络设备:交换机路由器

这些设备处于将所有局域网 (LAN) 和广域网 (WAN) 网段链接在一起的网络的核心。

交换机

交换机用来将网络的物理网段链接在一起,并允许数据在这些网段之间移动。交换机工作在 OSI 模型的第 2 层,根据第 2 层地址(例如以太网 MAC 地址)指导数据流。某些交换机还提供其他功能,例如 VLAN 和第 3 层交换。

交换机自动进行自身配置。它们侦听每个以太网端口的数据流,发现每个连接设备连接到哪一个端口。然后,交换机直接向目标端口发送数据流。除非需要激活其他功能,否则,交换机不需要配置,这是安装网络时的一个主要优点。交换过程是在线路速度非常高且没有滞后时间的硬件中执行的。

最初,交换机将网段与多个设备链接,但是随着交换机价格的下降,每个端口连接一个设备已非常普遍。这称为交换以太网而不是共享以太网。一个端口使用一个活动设备不会产生冲突,所以提高了网络性能,且设备可以完全双向运行,以达到更高的吞吐量。

网络数据流包括广播消息,这些消息必须复制到对大型网络有重要影响的每个端口。由于大多数用户想要与有限的一组服务器和关联设备进行通信,所以,可以只在该组中发送所有广播数据流。减少广播数据流的一个方法是为每个组提供一个交换机,然后将它们一同链接到一个路由器,因为路由器不传输广播。另一个方法是在交换机上使用 VLANVLAN 是一组设备,这些设备实际位于许多不同的物理 LAN 网段,但被配置为像连接到同一条线上那样进行通信。来自 VLAN 一个成员的广播只发送给同一 VLAN 的其他成员,因此降低了广播数据流的传播。

路由器

路由器在 OSI 模型的第 3 层工作。它们在两个不同的 IP 网络(可以是 LAN WAN)之间传递数据流。路由过程的基础是,检查传入数据的目标 IP 地址并通过基于路由表的外出端口发送数据。路由表可以手动配置,也可以使用路由协议发现,但是与交换机不同,路由器始终需要一些配置。

大型交换机还可以包括路由器(此路由器通常在一个嵌入卡上)。这通常被描述为第 3 层交换,但作用等同于路由。

类别

路由器和交换机都已分类,目的是标识不同级别的可用设备和所提供的功能。如果路由器或交换机符合某一特定类别,它可以支持链接到此类设备的所有功能。

路由器和交换机的所有类别都由一些核心功能组成。除可升级性、灵活性和适应性,路由器或交换机的处理能力也是特别重要的指标。低端交换机和路由器通常针对特定任务设计,为了降低成本,几乎没有扩展能力或只有有限的扩展能力。提高类别,不仅可以获得更强的功能,还可以获得更大的扩展能力。最高类别还提供了复原能力。

选择正确的交换机或路由器是件难事,因为每个制造商都大量宣传自己的产品功能最多、速度最快且最便宜。为了评估产品,您必须鉴别功能和优点。功能是产品具有能力或可执行的操作,但如果它对您非常有用,就会变成优点。例如,在交换机彼此相连的大型数据中心,连接到光缆(而不只是铜线)的能力是一个优点。但是,对于只有一个交换机的小办公室,此功能毫无用途。

在选择交换机或路由器之前,应该对网络进行设计,然后对设备进行评估,以满足该设计。可能有多个合适的设计,因此应对不同的体系结构进行评估。采购价格如果是重要的指标,就应将运行成本包括在内,因为低成本设备的运行成本可能会很高。

对于大型组织而言,一项重大的设计决策是:是在中心站点容纳多个小型交换机,还是使用几个大型交换机。首选设计是使用几个大型交换机,但是这在某种程度上依赖于中心站点办公室的物理布局。许多小型交换机会导致不易管理问题,而较大的交换机可能需要 VLAN 且配置更复杂。

交换机和路由器的常见功能

下面是交换机和路由器的最常见功能。并对每个功能进行了解释和评估。当您浏览此列表时,请检查每个功能是否与您的组织相关。例如,大多数公司拥有大的总部和许多小的远程办公室。大型办公室可能更需要诸如复原能力和伸缩性之类的功能,而对于小型但很多的办公室而言,可能更需要低成本。

此列表显示了所需的交换机和路由器的常见功能,并在其后显示了每个交换机或路由器的特有功能。

可伸缩性
扩展以太网端口数量通常非常有用(尤其对于用户和服务器数量可能增长的大型站点中的交换机)。不要安装无法应付后续增长的交换机,因为它终将抛弃或被其他交换机替换。交换机应是:带有一组以太网端口的固定配置 可以添加额外卡以获得更多端口的可变配置。完全可升级,通常基于空的机架和良好的可扩展性。路由器的扩展也是必需的,但其增长可能没有交换机那样大。路由器中最经常更改的是 WAN 链接,这是因为 WAN 技术已经变化(例如从 ISDN ADSL)或实现了其他 WAN 链接。

扩展能力始终是必需的,但也要考虑成本,对于分支机构,固定配置交换机/路由器可能是最有效的产品。

高速以太网支持
现在以太网的常规速度是 100Mbps,而不是原来的 10Mbps。千兆以太网的成本大幅降低,但它的使用通常限制在服务器和主干链接,因为 PC 卡的价格仍然昂贵。10Gbps 以太网也开始出现,随着成本下降,很有可能取代千兆以太网来用于最重要的主干链接。所有交换机和路由器都应该支持 100Mbps 以太网,但是通常只有中高范围的模型支持更高的速度。

复原能力
交换机或路由器的组件出现故障时,会发生什么情况?整个单元是否会崩溃?是否有冗余设计以保证它可以继续运行?更高级别交换机和路由器可能包括重复的组件(如电源、引擎和交换机光纤),所以故障不会影响正常操作。在带有许多连接的大型设备中,这是非常必要的功能。但是,在较小的交换机或路由器(例如小型远程办公室中的交换机或路由器)中,额外的成本可能并不有效。作为替代方法,是否可以并行运行两个交换机或路由器(一个工作而另一个处于热备用状态),以便在发生严重故障时接替工作?是否有可以自动处理此切换的机制?

可管理性
交换机不需要任何配置即可开始工作,它通过侦听以太网框架传输和推断出每个设备的端口位置来了解网络拓扑。所有交换机都执行此功能,但是如果进行其他配置和监视,则需要访问交换机。低端交换机没有配置选项,但是随着功能集的增加,需要进行配置以充分利用这些功能。

路由器始终需要配置,以定义端口 IP 地址和用于构建路由表的方法。

需要通过网络的远程访问来配置和管理这些设备。这可以极大降低管理成本,因为不需要接触这些设备即可解决问题。另外,可以通过网络管理软件监视这些设备,并自动报告错误。

IP 电话 (VoIP)
IP
电话是通过局部以太网和 WAN(有可能)传送语音对话的功能。因为语音与数据一起共享以太网电缆,而不必使用单独的电话电缆网络,所以最直接的好处是减少了电缆铺设,但将来的好处是增加了人员和设备布置的灵活性。传统的旧 PBX 通常由基于标准 PC 平台的 IP PBX(而不是专用硬件)替换。

对于拥有现有电话网的数据中心,在短期内不需要 VoIP,但随着组织的扩充或业务的发展,将来会需要 VoIP。适于处理 VoIP 的交换机和路由器应该有两个功能:

1 支持 IEEE 802.1p 标准服务质量 (QoS)
此功能允许交换机划分数据与语音之间的数据流优先级,以便语音流在数据流之前发送。

2 支持 IEEE 802.3af 标准 IP 电话线路供电 (inline power) 功能
通过此功能,交换机可以提供通过以太网第 5 UTP 电缆提供低电压电源,来为 IP 电话供电。

安全性
安全性日益成为所有网络组件中非常重要的要求。本模块后面将详细讨论安全性的实现,但是进行交换机和路由器评估时,应牢记安全性,以查看是否有任何特殊的功能可以使安全性更易于实现。

应考虑两方面安全性。首先,存在设备可能限制的网络带来的安全入侵。其次,存在针对设备本身的安全入侵。第一类入侵可能特定于设备,可能包括设备本身。设备(主要是路由器)是否有防火墙功能?第二类入侵是要对设备配置进行访问的攻击。要避免后一种入侵,是否可以实现其他控制以限制具有配置访问权的人?

低成本交换机通常不能配置,它们也没有 IP 地址,所以相对而言,它们可以免受网络产生的攻击。大型交换机和路由器通常有复杂的访问控制机制,它们还可以进行配置以限制入侵。中型交换机和路由器最可能受到攻击,但是如果使用好的防火墙系统,则可以避免外部入侵。

设备是否支持 VLAN 通过限制用户对相关服务器的访问来提高安全性?

支持
来自制造商的支持在大型网络中非常重要。此支持通常取决于您的付出。低成本设备通常只有电子邮件支持,没有保证的响应时间支持。设备越昂贵,可能越复杂,并且您可能需要支持合同。如果从同一制造商采购所有交换机和路由器,则可以减少在您遇到问题时制造商彼此推卸责任所产生的设备间扯皮问题。

产品范围和制造商生存能力
对于每一类交换机或路由器,都可能有一些制造商,他们可提供该类的最佳设备,但是可能无法提供其他类的设备。例如,对于小型办公室级别,有许多制造商可提供物美价廉的产品,但其中大多数制造商不生产适用于大型企业的产品。还应该考虑制造商的资历和出现问题时他们提供的服务级别,因为许多小制造商在经历激烈竞争后可能无法再生存下去。

成本
不可避免的,采购成本是设备选择中的主要因素,但是还应该包括运行成本。交换机通常按每端口价格进行分类。衡量方法是:获取交换机的总成本,用它除以以太网端口数,然后获得每个端口的单独成本。此衡量方法只应用来比较同一类别中的交换机,因为它不考虑提高类别所获得的其他功能。例如,简单的交换机可能有最优惠的每端口价格,但是功能也最少。路由器没有相同的成本比较方法,但是应该对它们的路由性能和灵活性进行衡量。您可能愿意选择每一类中最具竞争力的价格。但是,操作和维护的成本(例如用配置每个制造商设备的不同方法培训员工的成本)也必须考虑在内。

性能
对路由器或交换机处理能力或性能的评估要比对 CPU 能力可用作起始点的计算机评估更复杂。路由器或交换机通常基于制造商自己的专用硬件,虽然有 CPU,但它不提供总体能力的准确指示。交换机性能通常以每秒位数 (bps) 和每秒包数 (pps) 测量,而路由器性能通常只以 pps 测量。路由器和交换机制造商通常不透露他们的设备性能。另外,性能的测量也没有工业标准,所以很难进行直接比较。小型路由器的制造商也趋向于不透露性能参数。

交换机的特定功能

本节着重描述必需的交换机特定功能。

生成树协议
生成树协议用于计算交换机之间的最佳路径(当网络中存在多个交换机和多个路径时)。只有使用此协议,才能避免数据同时通过多个路径发送而导致数据重复。在大型网络中,交换机必须支持此协议,而在小型交换机中,此协议通常不可用。

VLAN 支持
VLAN
用于将网络划分为具有类似通信需求的计算机组,因此降低了网络数据流量。VLAN 支持可以在任何大小的网络上使用,但是在安装了一些特大型交换机的情况下,特别需要。低成本交换机通常不支持 VLANVLAN 支持对小型网络而言并不重要,但对大型网络非常重要。

上行链路连接性
上行链路用于将网络中的交换机连接在一起。虽然所有交换机都可以通过普通以太网链接进行连接,但交换机的类别越高,使用用于交换机-交换机连接的中继协议所支持的链接速度越高。

合并
在交换机中合并其他功能可以降低成本和提高可管理性。例如,用于小分支机构的低成本交换机还可以包括路由器和防火墙,甚至可以包括宽带调制解调器。除了降低成本,它还简化了管理,因为只有一个物理单元。高端交换机还可以集成路由器模块(称为第 3 层交换)以及其他功能(如负载平衡和防火墙)。此外,这通常提高了网络的可管理性。此合并可能导致复原能力下降,因为整体失败会使所有合并的服务停止工作,应该慎重考虑。

交换机类别

本节定义交换机的若干类别。类别不是很严格,您会发现,由于升级选件的原因,制造商的某一特定型号可能属于多个类别,而此制造商的两个不同型号可能属于同一类别。本节中涉及的交换机类别是:类别 1 – 低端固定交换机、类别 2 – 低端可变交换机、类别 3 – 中型交换机、类别 4 – 高端交换机。

类别 1 – 低端固定交换机

低端交换机的功能和扩展能力有限,且没有容错能力。此类交换机设计成具有固定数量的以太网端口(通常为 4 24 个),考虑到连接性限制,它们的有限性能通常可以满足需要。

此类交换机价格便宜,但是它们缺乏可升级性和灵活性。以太网连接内置在硬件中,因此设备的功能(例如端口数)不能随需求的变化而更改。低端交换机是为单独操作设计的,不与其他交换机一起协调数据流。它们可能不支持诸如生成树协议、远程管理、高速上行链路和 VLAN 之类的功能。使用特殊端口或以太网交叉电缆,通常支持以标准以太网速度连接到其他交换机的上行链路。交换机功能还可以与路由器组合。

通常这些交换机是为小型办公室、大型组织的分支机构和家庭用户设计的。管理能力的缺乏对于小的企业或家庭用户可能没有太大影响,但对于组织的分支机构,它成为严重的缺陷。表 1 汇总了第 1 类交换机的功能。

1:类别 1 – 低端固定交换机

典型功能

不需要配置或配置不可用

没有扩展能力

可能不支持生成树协议

不支持 VLAN

不能远程管理

有限的制造商支持

不支持 VoIP

成本

优点

低端固定交换机的优点包括:

价格合理:
由于这些设备物理构造和功能集合简单,且有许多制造商激烈竞争,所以这些设备通常价格低廉。如果它们的缺点可以忽略,它们的每端口价格在所有交换机类别中是最优惠的。

配置方便:
这些设备通常没有配置选项,很容易安装,交换机发现其环境并自己进行配置。在远程站点上安装时,没有配置选项是一个优点,因为这可以使它免受篡改。

缺点

低端固定交换机的缺点包括:

不可升级:
由于低成本构造,当需要更多以太网端口时,这些设备通常不能升级。

没有配置和可管理性:
这些设备没有可配置选项,没有可以启用管理和监视的配置程序。通常,这些设备安装在没有本地技术支持的小型远程站点中,所以缺乏监视能力可能是严重的缺陷。缺乏可配置性的另一结果是,交换机不支持生成树协议或 VLAN,这意味着对于大型中央企业网络,此类交换机不是首选。

支持有限:
通常,此类路由器的支持比较有限,它们多是通过 Web 站点、FAQ 和电子邮件联系,没有任何服务等级担保。因为竞争激烈,此类产品的生命周期很短,很多型号常常由于对过时型号的支持减少,而最终离开竞争舞台。产品保证仅限于更换,但却并不保证在特定时期有效。如果在保修期后设备出现故障,对其进行修理则不太经济。由于设备简单且成本低廉,这样的支持等级可被认为足够了。

类别 2 – 低端可变交换机

低端可变交换机除了提供与低端固定交换机类似的功能之外,还具有可升级硬件以支持需求的变化。通常,这些交换机允许增加以太网端口数量(具有比固定交换机更多的端口),提供更灵活的向上链路能力(通常是千兆以太网),支持生成树协议。通常,由于必须支持更多的端口,它们提供比固定交换机更高的以太网吞吐流量。它们也比低端固定交换机昂贵,因为它们可以升级,且通常具有远程管理能力和 VLAN 支持。可堆栈固定配置交换机可以视为同一类别,提供相同的技术功能但支持扩展(扩展的方法是将新交换机堆栈在现有交换机上,使用高速总线将它们连接以便它们像一个交换机那样工作)。请注意,术语可堆栈没有标准定义。某些制造商的本意可能是指交换机可以于物理上放置在另一交换机的上面,但是对于此类别,假设在两个交换机之间有高速总线且将这些交换机像一个交换机那样进行管理。

在预计需求将有增长或低端固定交换机不能提供足够端口的情况下,可以使用低端可变交换机。这包括建筑物、部门、远程分支机构或小型组织的基础。初始成本高于低端固定交换机,但是长期看来,不必抛弃交换机即可适应需求的增长,从而降低了成本。由于低端可变交换机通常比低端固定交换机具有更多的潜在连接性,所以适合较大型办公室的需要。表 2 汇总了第 2 类交换机的功能。

2:类别 2 – 低端可变交换机

典型功能

以太网端口可升级性

向上链路端口灵活性

可升级到比第 1 类交换机更多的以太网端口

生成树协议

可配置性、可管理性和远程访问

缺乏 VoIP 支持

VLAN 支持

成本从低到高

优点

低端可变交换机的优点包括:

价格合理:
这些设备的每端口成本比第 1 类交换机高。但是,它们提供更好的管理功能和扩展能力,与更高类别的交换机比较,并不昂贵。

可升级性:
这些设备有很多增加以太网端口数量的方法,可以在基本单元上添加其他端口,也可以通过将其他基本单元直接连接到内部总线来附加到现有基本单元。用于连接到其他交换机的上行链路端口可以适合各种连接性媒体,包括千兆以太网、光纤或铜线。

可配置:
这些交换机具有配置生成树协议和 VLAN 的能力。因此,这些设备适于企业网络中使用。这些交换机还支持远程管理和监视。

缺点

低端可变交换机的缺点包括:

可升级性不灵活:
这些设备通常只能提供有限的以太网端口数量的增长、以及上行链路端口功能的有限更改。添加另一堆栈单元将会使端口数大量增加(即使只需要一些其他端口)。通常,没有用于添加其他功能(如第 3 层交换)的选项。

缺乏 VoIP 支持:
虽然当前可能不需要 VoIP,但是如果组织升级了电话网络,则必须具有 VoIP 支持。

几乎没有复原能力或复原能力有限:
通常,这些交换机几乎没有复原能力;如果可用,唯一的复原功能可能是冗余电源。

类别 3 – 中型交换机

与第 2 类交换机相比,中型交换机提供更多的功能、更高的端口密度和扩展能力。它们还具有更高级别的管理能力、冗余和复原能力。通常,这些交换机是带有端口卡插件的模块机架,而不是固定机架。不同大小的机架提供不同数量的插槽。这些交换机通常包括多个热交换冗余电源,而复原功能包括处理切换到备用交换机的协议。它们还提供第二个引擎,这是在第一个交换机出现故障的情况下提供复原能力的交换机的处理器单元。

这些交换机可用来在中型组织、较大型分支机构提供核心交换,或用来聚合与更大型交换机相连的大型组织的若干分部。此类路由器在 WAN LAN 连接方面灵活性很高且功能可不断更新。因为可以根据技术发展而升级,生命周期往往较长。表 3 汇总了第 3 类交换机的功能。

3:类别 3 – 中型交换机

典型功能

带有不同大小机架的机架系统单元

冗余电源

高以太网端口密度

可变上行链路端口

可配置性、可管理性和远程访问

生成树协议

VLAN 支持

VoIP 支持

3 层交换

冗余电源

冗余引擎

成本

优点

中型交换机的优点包括:

成本效率:
虽然基本中型交换机单元的价格高于低端交换机,随着端口数的增长,每端口价格会大幅下降。较大的机架单元更能体现这一点。

配置简单:
这些设备具有更复杂的需要配置的功能(如 VLAN)。此类交换机除了提供传统命令行方法之外,通常还提供基于浏览器的图形界面进行配置。相同的工具还可以用来对活动进行远程管理和监视。

可管理性:
由于软件工具经过了改进且硬件进行了特别设计,此类交换机可以提供更高的可管理性功能。

复原能力:
随着交换机端口容量的增长,复原能力越来越重要,此类交换机可以提供可选冗余电源和引擎。

伸缩性和长生存周期:
由于这些交换机以机架为基础,所以所有连接性选件都是插件卡。这意味着:在需求发生变化或新技术变得很便宜时,单元可以很轻松地升级。这还可以延长交换机的寿命,而较低类别的交换机可能不得不被抛弃。

缺点

中型交换机的缺点包括:

成本较高:
虽然这些设备由于端口密度较高而变得更具成本效率(尤其对于大尺寸的机架),但是这些设备的基本成本比较低类别高。

配置复杂:
由于这些设备有更多的选件,所以配置更复杂(虽然图形配置工具可以减轻复杂程度)。

类别 4 – 高端交换机

高端交换机提供高性能、高可用性、增加的扩展能力以及极高的容错能力。硬件设计特别灵活,提供了多个连接性选件及其他选件(如多个电源和处理器),以及使系统复原能力很高的其他功能。

对高速协议(例如用于链接到其他网络设备的异步传输模式 (ATM))给予了更多的关注。这些交换机在支持不同的硬件媒体(包括铜线和可选光纤)方面提供多功能性,具有处理多个千兆以太网链接的能力。此类交换机还可以包含路由器模块,使这些交换机也可以像路由器那样工作。此功能对于链接 VLAN 非常有用。表 4 汇总了第 4 类交换机的功能。

4:类别 4 – 高端交换机

典型功能

机架系统单元

冗余电源

高以太网端口密度

可变上行链路端口

10 GB 以太网支持

可配置性、可管理性和远程访问

生成树协议

VLAN 支持

VoIP 支持

3 层交换

4-7 层交换

安全功能

冗余电源

冗余引擎

成本

优点

高端交换机的优点包括:

成本效率:
与第 3 类交换机相比,此类交换机的基本单元价格很高。但是,随着单元的扩展和端口密度的提高,每端口成本大幅下降。

可管理性:
像第 3 交换机一样,由于软件工具经过改进且硬件工具进行了特殊设计,此类交换机提供了更高的可管理性功能。

复原能力:
随着交换机端口容量的增长,复原能力变得越来越重要。此类交换机提供高级的复原能力,包括冗余和热交换电源、冗余引擎和冗余交换机光纤。

伸缩性和长生存周期:
由于这些交换机以机架为基础,所以所有连接性选件都是插件卡。这意味着:在需求发生变化或新技术变得很便宜时,单元可以很轻松地升级。这还可以延长交换机的寿命,而较低类别的交换机可能不得不被抛弃。

安全性:
此类交换机通常提供高安全性功能,以保护网络免受入侵。

3-7 层交换:
此类交换机将第 3 层交换(路由)作为选件提供。它还提供其他高级功能,例如第 4-7 层交换、负载平衡和防火墙。将这些功能作为内置服务可以降低成本(与外部单元相比)和提高性能。

缺点

高端交换机的缺点包括:

初始成本高:
这些基于机架的单元初始成本非常高,因为它包含了组件(如机架、引擎和电源)的成本。当机架的端口较少时,每端口成本特别高。但是,随着端口密度的增加,每端口价格将下降。

配置复杂:
提供其他功能不可避免地增加了交换机配置的复杂性。需要技术熟练的工程师对属于此类的交换机进行配置。

路由器

网络中可能需要很多不同类别的路由器来执行不同的任务。例如,面向 Internet 的边界路由器、连接 VLAN 的内部路由器和小型办公室路由器。

路由器功能

本节重点描述了所需的各种路由器特定功能。

路由协议
对于校园路由器而言,可以使用一系列路由协议。选择路由器时需同时考虑网络设计和路由协议的选择。最常见的标准路由协议是 RIP OSPF,但 RIP 并不适合大型网络。

WAN 链接和协议的范围
希望在 WAN 链接中使用哪些协议,将来又要使用哪些协议?选中高端路由器,以支持各种高速链接和协议,即使目前不需要它们。小型分支机构可能有拨号、ISDN 或宽带连接,低端路由器可支持这些连接方式。尽管宽带是目前分支机构结构的最佳选择,但宽带并非处处可得,拨号或 ISDN 可能是偏远地区的唯一解决方案。

网络地址转换 (NAT)
网络地址转换 (NAT) 用在面向 Internet 的路由器中,其作用是将一个 Internet 唯一地址转换为多个专用网络地址。这意味着,多个设备可共享一个 Internet 地址,由于其他 Internet 用户无法直接访问专用地址,从而提供了一定的安全性。在通过 Internet 连接的小型机构的路由器以及大型站点中的边界路由器上都应使用这种机制。

动态主机配置协议 (DHCP)
DHCP
用于向 PC 自动发布 IP 地址,用户无需手动配置这些 PC 的地址。这便简化了 PC 设置,因为通过配置 PC 使用 DHCP,这些 PC 在接通电源并连接网络时便自动获得一个地址。此外,该协议还适用于位于不同位置的便携式计算机,这些计算机将自动接收自己相应位置的 IP 地址。在中心站点,DHCP 服务在运行 Microsoft(R) Windows(R) 2000 操作系统或 Microsoft(R) Windows Server™ 2003 的服务器上运行。小型机构可能没有服务器,因此发布 DHCP 地址对路由器有一定的要求。

防火墙
路由器可提供防火墙功能,这在所有面向 Internet 的路由器(如分支机构路由器或在大型站点中的边界路由器)中非常有用。尽管大型站点应尽量使用全范围路由器,但边界路由器位于防火墙之外,需要自我保护。

虚拟路由器冗余协议(VRRP 协议)
在大型站点中,可能安装了重复的网络设备以供故障防范,其中一个是主设备,另一个是热备用设备(仅在主设备发生故障时激活)。VRRP 协议运行于路由器之间的链接中,每个路由器都了解其他路由器是否运行正常,当链接出现故障时,活动设备可作出反应。

虚拟专用网 (VPN)
VPN
Internet 连接提供保密性和安全性。它通过公共服务提供一条专用线路,主要作用是将家庭个人用户或小型分支机构连接到中心站点。设置 VPN 链接有各种不同的方法,包括在客户端 PC 启动进程(在这种情况下路由器并不清楚 VPN 连接的相关信息)。当然,路由器还可以使用不涉及用户的路由器到路由器的 VPN 直接链接来配置,这正是小型分支机构的要求。

路由器类别

与交换机类别类似,系统已定义多个类别。根据可用选件,产品可归入一个以上的类别。本节将讨论下列路由器类别:

类别 1 – 软件路由器

类别 2 – 低端固定路由器

类别 3 – 低端可变路由器

类别 4 – 中型路由器

类别 5 – 高端路由器

类别 6 – ISP 路由器

类别 1 – 软件路由器

软件路由器是装有标准操作系统和软件功能的计算机系统,它可在 LAN WAN 之间提供路由功能。这种计算机系统可提供标准的计算机功能,路由功能在后台执行。通常,这些路由器为家庭用户或小型企业的少量计算机提供共享的 Internet 访问。由于其路由功能在后台完成(并非设备的主要功能),因此性能受到一定限制。此外,此类路由器的性能还取决于前台活动。复原能力受限于计算机的复原能力。由于计算机一般是工作站,特别要求用户不要关闭计算机。升级能力和灵活度不高,因为软件支持的 WAN 协议集有限。此类软件路由器的一个例子是 Internet 连接共享 (ICS),它可用在 Windows 98Windows MEWindows 2000Windows 2003 Windows XP 等操作系统中。

如果本地用户数量不大,对 WAN 访问的要求也不高,则可以使用软件路由器。鉴于很多家庭用户要求通过单一电话线来访问 Internet,因此软件路由器在家庭中的应用日益增加。随着使用率的日益提高,一旦此类路由器无法满足要求,便可以安装下一类路由器,即专用硬件路由器。表 5 汇总了第 1 类路由器的功能。

5:类别 1 – 软件路由器

典型功能

仅适用于软件

配置简单

内置网络地址转换 (NAT)

没有路由协议

不受限于操作系统,成本低廉

优点

软件路由器的优点包括:

成本低廉:
除调制解调器之外,此类路由器不需要其他附加硬件单元。随操作系统一起提供,或通过很低的成本即可获得。成本低廉是其主要优势,但缺少功能与性能的缺点又使优势变得模糊。

配置简单:
通常,完成配置过程仅需打开路由功能。此外,NAT 也将与动态主机配置协议 (DHCP) 一同打开,后者会为内部网络中的每台计算机自动提供专用地址。

缺点

软件路由器的缺点包括:

性能不稳定:
路由功能取决于单个计算机的处理能力,这台计算机一般还要同时处理其他任务;因此性能受到了限制且不稳定。此类路由器主要用于偶尔的 Internet 访问,而不是连续的 Internet 访问。虽然足以应对独立模式下的一台计算机,但随着其他计算机的接入或 Internet 使用率的增加,性能将不断下降。

配置选项有限:
由于没有可用的路由协议,配置选项几乎被忽略,可提供的仅是基本的防火墙功能。

无复原能力:
复原能力受限于路由器软件所在的计算机的复原能力;通常,这意味着根本没有复原能力。因此,路由软件特别容易接受像关闭计算机这样的用户操作。

类别 2 – 低端固定路由器

低端固定路由器的性能、功能和扩展能力一般比较有限,且不提供容错功能。此类路由器的作用是将数据从以太网 LAN 发送到 WANWAN 连接一般仅限于拨号调制解调器、ISDNX25 链接、宽带或电缆调制解调器。此类路由器一般有内置的集线器或交换机(其中还包括到配备有无线卡的计算机的无线连接),可能还有简单的防火墙。

WAN 连接内置于路由器硬件,在用户要求发生变化时无法更改。此类路由器成本不高,当然作为代价,升级能力也比较差。

这些路由器没有复原能力,但却是专用设备,并可始终保持打开。由于此类路由器成本不高,可以再安装一台来提供冗余度。此类路由器仅提供 RIP OSPF 等有限的路由协议,但一般拥有 NAT 功能,允许 LAN 中的多个内部用户通过一个地址访问 Internet

由于硬件专用于路由功能,同一时间不会有其他功能运行,因此性能受到一定的限制,但要优于第1 类设备。

此类路由器用于小型办公室、在家访问 Internet 的通信者、或连接至分层网络结构中较大机构的小型分支机构。ISDN 在这里扮演着重要的角色,因为它只在需要传输数据时才进行连接。这样,成本高昂的 WAN 链接便得到了高效经济的利用。随着此类路由器的成本不断下降,这一类路由器将进入家庭,但其中最受欢迎的仅限于 ISDN 或宽带 Internet 连接。表 6 汇总了第 2 类路由器的功能。

6:类别 2 – 低端固定路由器

典型功能

有限的 WAN 协议

无硬件升级能力

RIP 路由协议,或者 OSPF

性能有限

配置通常比较简单

无容错功能

内置交换机或集线器

内置防火墙

内置 NAT/DHCP

有限的制造商支持

成本

优点

低端可变路由器的优点包括:

价格合理:
此类路由器的价格不高,原因之一是性能和功能有限,之二是这类路由器的竞争比较激烈。此类路由器还包括集线器(或交换机)和防火墙,因此是小型网络路由器的超值选择。

配置简单:
此类路由器在选择方面比较有限。为提高竞争力,路由器的配置通常比较简单,一般通过浏览器或图形界面即可完成。

WAN 连接范围:
尽管低成本路由器大多仅限于 ISDN ADSL WAN 连接,但此类路由器的其他成员还有 X25 Frame Relay,尽管成本相对较高。WAN 链接必须在选购路由器时选定,如果需求发生变化,WAN 链接无法更改。

内置功能:
此类路由器提供了 NAT DHCP 来向连接的计算机自动提供地址。当然,此类路由器还可以提供 4 端口或 8 端口的集线器或交换机。随着目前防火墙的日益普遍使用,此类路由器还包括基本的防火墙。内置无线交换机也越来越受到欢迎。

缺点

低端固定路由器的缺点包括:

升级能力有限:
此类路由器不可升级硬件,但通常可升级固件。在购买设备时,需要选择 WAN 连接、以太网端口数和内置交换机,但购买之后不能更改这些选件。然而,由于初始成本低廉,如果日后这些产品不能满足需求,您可以轻松抛弃这些产品。

性能有限:
此类路由器的性能有限。制造商一般不会透露吞吐量指数,但一般而言适合大约 8 个用户,具体数目取决于用户活动。

支持有限:
通常,此类路由器的支持比较有限,它们多是通过 Web 站点、FAQ 和电子邮件提供支持,没有任何服务等级担保。因为竞争激烈,此类产品的生命周期很短,很多型号常常由于对过时型号的支持减少,而最终离开竞争舞台。产品保证仅限于更换,但却并不保证在特定时期有效。如果设备在保修期后出现故障,对其进行修理则不太经济。由于设备简单且成本低廉,这样的支持等级可被认为足够了。

可管理性和功能有限:
此类路由器是针对简单网络设计的,故可管理性功能有限。如果将其应用于企业网络的远程站点,这一点便成为劣势。此类路由器的路由选项也有限,而且没有企业用户必需的功能,如 OSPF 路由协议。

无复原能力:
此类路由器没有复原能力。

类别 3 – 低端可变路由器

低端可变路由器提供的功能类似于低端固定路由器。但前者的硬件可以升级,允许根据组织需求的变化而更新设备。通常,此类路由器支持不同类型的 WAN 连接或多个 WAN 端口,而且在有内置以太网集线器或交换机的情况下,支持连接其他本地设备。由于支持最大限度的端口扩展而无需升级处理器,此类路由器的性能通常优于固定路由器。因为可以升级,此类路由器与低端固定路由器相比价格更高。与低端固定路由器一样,此类路由器提供的路由协议也很有限。

此类路由器常常用在预计需求将有增长的小型或分支机构中。尽管初始成本比固定路由器高,但因为可以通过设备升级来满足日后的需求增长,因此不必更换路由器,从长远观点来看,更加经济有效。由于低端可变路由器的功能常比低端固定路由器强大,因此适合更大型的办公室。表 7 汇总了第 3 类路由器的功能。

7:类别 3 – 低端可变路由器

典型功能

可以升级

WAN 连接范围广泛

RIP OSPF 路由协议

VLAN 支持

VoIP 支持

无容错功能

内置交换机或集线器

内置防火墙

内置 NAT/DHCP

成本从低到高

优点

低端可变路由器的优点包括:

价格合理:
尽管比第 2 类路由器的价格高,但仍算成本低廉。功能更多、性能更好、具备升级能力,这些都是其价格稍高的原因。

配置简单:
一般用在简单网络中,并提供图形配置工具。如要需要更复杂的配置,可使用命令行系统。

高级功能集:
此类路由器提供了 OSPFVoIP、防火墙和 NAT 等高级功能,因此可在企业网络中用作组件。

可升级性:
此类路由器提供了范围广泛的 WAN 连接选件。如果购买之后需求变化,还可以升级这些选件。可以升级内存以提高性能,还可以升级操作系统以引入其他功能。

缺点

低端可变路由器的缺点包括:

性能有限:
尽管制造商不会透露路由器的性能参数,但此类路由器确实存在性能限制,它们主要用于小型办公室或小型部门(取决于这些机构或部门的位置和 WAN 数据流)。

配置选项有限:
尽管此类路由器的功能集的确不错,但与更高类别的路由器相比仍有不足。

伸缩性不高:
WAN
连接一般可升级(虽然数量可能有限),但 LAN 端口数却无法升级。

无复原能力:
此类路由器的复原功能很弱或根本没有。

类别 4 – 中型路由器

相对于第 3 类路由器,中型路由器提供了更多的电源和硬件扩展功能。这一类路由器提供了多个 LAN 端口和 WAN 端口,以太网连接(包括千兆以太网、光纤和铜缆连接)速度更快。如果要连接其他网络设备(如路由器或交换机)而非个人计算机,还支持其他协议(尤其对于主干连接)。此类路由器一般用于在家办公者的个人计算机或小型 Internet 服务提供商使用模拟调制解调器或 ISDN 进行的拨号连接。通常,此类路由器还支持 VoIP,允许通过同一电缆同时传输声音和数据。

尽管中型路由器提供的内置硬件复原能力有限(或根本没有),但它使用双路由器(主路由器 + 备用路由器)和各种协议确保了在发生故障时迅速切换,从而提供一种替代的复原方法。

此类路由器可以用作中型组织或大型分支机构的核心路由器,或用于聚合与大型路由器相连的大型组织的若干分部。远程通信者常使用拨号功能直接连接组织,而不是通过 Internet。此类路由器在 WAN LAN 连接方面灵活性很高且功能可不断增加。因为可以根据技术发展而升级,生命周期往往较长。表 8 汇总了第 4 类路由器的功能。

8:类别 4 – 中型路由器

典型功能

可以升级

WAN 连接范围广泛

性能 >40kpps

RIP OSPF 路由协议

VLAN 支持

VoIP 支持

无容错功能

内置防火墙

VRRP 还原协议

内置 NAT/DHCP

VPN 支持

成本从低到高

优点

中型路由器的优点包括:

性能:
此类路由器的吞吐指数不低于 40 kbps,是适用于大型分支机构或中型组织的中等性能路由器。

扩展性和伸缩性:
此类路由器拥有相当强大的扩展功能,并支持端口数量的增加和范围广泛的连接类型。

完整功能集:
此类路由器一般拥有完整的功能集,其中包括各种 WAN 连接、路由协议、NATDHCP、防火墙、VLANsVoIP VPN

缺点

中型路由器的缺点包括:

复原能力差:
尽管此类高端路由器可能配有冗余电源,但它一般没有内置复原能力。但此类设备应使用备用路由器提供复原能力,从而支持像 VRRP 这样的冗余路由协议。

性能和伸缩性差:
此类设备一般不具备作为大型企业核心路由器所要求的功能或连接性。

类别 5 – 高端路由器

高端路由器提供了高性能、增强的扩展性和卓越的容错性与可用性。在此类路由器中,硬件设计非常灵活,并与第 4 类路由器一样提供了多个连接选件,以及多电源、多处理器等其他选件,并提供了可提高设备复原能力的功能。

对于这一类路由器,重点在于通过 ATM SONET 等高速协议来链接其他网络设备,并在各站点之间传输大量数据。较小的路由器或交换机则侧重于工作站连接。此类路由器的用途极其广泛,并支持大量 WAN LAN 协议,以及铜缆和光纤等各种硬件介质。表 9 汇总了第 5 类路由器的功能。

9:类别 5 – 高端路由器

典型功能

基于机架的单元

WAN 连接范围广泛

性能 >900 kpps

RIP OSPF 路由协议

VLAN 支持

VoIP 支持

冗余电源

冗余引擎

内置防火墙

VRRP 还原协议

内置 NAT/DHCP

VPN 支持

成本

优点

高端路由器的优点包括:

性能:
此类别路由器的吞吐指标不低于 900 kbps,远高于第 4 类路由器的吞吐指数;因此,此类路由器适合用作 WAN 网关或大中型组织核心路由器等的高性能路由器。

扩展性和伸缩性:
作为基于机架的设备,第 5 类路由器具备相当强大的扩展功能,支持大量端口和范围广泛的连接类型。

完整功能集:
此类路由器一般拥有完整的功能集,其中包括各种 WAN 连接、路由协议、NATDHCP、防火墙、VLANsVoIP VPN

复原能力:
此类设备有内置的复原选件,例如冗余热交换电源和冗余引擎。此外,还支持 VRRP 等冗余路由协议,其中备用路由器负责监视主路由器,并可在主路由器出现故障时进行接管。

缺点

高端路由器的缺点是成本高。因为此类设备有一定的升级能力和复原能力,因此初始价格的确不菲,但随着机架被装备起来,每个端口的价格也随之下降。

类别 6 – ISP 路由器

ISP 路由器主要供 Internet 主干上的 ISP 使用。此类设备还可用在企业中提供最佳性能。此类路由器性能卓越、可用性高、具复原能力,并可处理成百上千的 Internet 用户高速连接至 Internet 主干。表 10 汇总了第 5 类路由器的功能。

10:类别 5 – 高端路由器

典型功能

基于机架的设备

WAN 连接范围广泛

LAN 连接范围广泛

性能达数百万 pps

强大的扩展能力

冗余电源

冗余引擎

成本非常高

优点

ISP 路由器的优点包括:

高性能:
此类路由器主要用于超大型企业、ISP 主干或其他边缘应用。设备提供的性能极高。

伸缩性:
此类路由器是基于机架的设备,可进行大范围升级。通常,一个机架最多支持 16 个插槽,而每个叶片则支持多个连接。

支持的 WAN/LAN 协议广泛:
此类路由器支持几乎所有的相关协议,包括 OC 192 等很多高速 WAN 协议。

缺点

此类路由器的缺点是成本不菲且配置复杂。

安全性

在网络设计中,安全性非常重要。设计者既要控制来自 Internet 的外部入侵,又要控制有内部网络访问权限的内部员工或其他人员发动内部入侵。应注意保护的主要领域有四个:

控制通过交换机或路由器入侵

控制对交换机或路由器入侵

控制交换机或路由器的管理员访问权限

路由器和交换机的物理保护

交换机和路由器是通过网络传输数据包的,它们也是滤除入侵企图的第一道防线。背后则是有高级过滤功能的防火墙。这种过滤还应阻止对网络设备本身的攻击。大多数交换机和路由器都可重新配置,因此必须实行严格的控制,进而限制拥有管理权限的人员。大多数路由器和交换机都存在一些后门访问方法,它们能避开逻辑安全设置,因此应将这些设备物理锁定以防止这种入侵。

大多数路由器都有自身特定的且广为人知的漏洞,请务必访问制造商网站,从而获得与这些漏洞及应对方法相关的详细资料。

路由器安全性注意事项

路由器是第一道防线,同时也是第一道攻击线。路由器提供了数据包路由,并可通过配置以阻止或滤除已知的易于受到攻击或被恶意利用的数据包类型的转发,例如 ICMP 或简单网络管理协议 (SNMP)。应使用路由器来阻止网络之间未经授权或不需要的数据流。此外,还必须通过使用安全管理接口并确保它应用了最新的软件修补程序和更新,来来确保路由器本身免遭重新配置。

如果没有路由器的控制权,您在保护网络方面无能为力,除了询问 ISP 了解路由器中配备的防御机制的相关信息。

如果遇到路由器安全问题,可以使用下列配置类别:

修补程序和更新

协议

管理访问

服务

审核和日志

入侵检测

修补程序和更新

订阅网络硬件制造商提供的警报服务可以了解最新的安全问题和服务修补程序。当发现漏洞(不可避免)时,优秀的供应商将迅速开发有效的修补程序,并通过电子邮件或自己的 Web 站点发布这些更新。在生产环境中实施这些更新之前必须对更新进行测试。

协议

拒绝服务攻击经常利用协议级的漏洞。例如,淹没 (flooding) 网络。要对付此类攻击,您应:

使用出入过滤

ICMP 数据流从内部网络中屏蔽

阻止跟踪路由

控制广播数据流

阻止其他不必要的数据流

使用出入过滤

高水平的攻击者常发出欺骗性数据包来进行探测、攻击或执行其他操作。路由器根据目标地址传送数据包,这一过程常忽略源地址,而实际中源地址很可能不是数据包作者的源地址。具有内部地址的传入数据包常代表了入侵企图或探测,因此应拒绝此类数据包进入外围网络。同样,请对路由器加以设置,使之仅传送包含有效内部 IP 地址的传出数据包。验证传出数据包不能保证您免受拒绝服务攻击的威胁,但可以确保此类攻击不会始自您所在的网络。如果其他网络也应用了同样的传出数据验证,您的网络即可免受拒绝服务攻击的威胁。

这种过滤机制还可轻易跟踪始作俑者的真实源地址,因为攻击者不得不使用有效合法且可连接的源地址。

ICMP 数据流从内部网络中屏蔽

ICMP 是一种无状态协议。它位于 IP 顶端,允许在两个主机之间验证主机的可用性信息。常用的 ICMP 消息参见表 11

11:常用的 ICMP 消息

消息

说明

回应请求 (Ping)

确定网络中是否存在可用的 IP 节点(主机或路由器)

回应答复(Ping 答复)

答复 ICMP 回应请求

无法到达目标

通知主机无法传递数据包

源抑制

通知主机降低发送数据包的频率(因为拥塞)

重定向

通知主机首选路线

超时

表示 IP 数据包的生存时间 (TTL) 已到

阻止外围路由器中的 ICMP 数据流可以保护您免受级联 Ping flood 和其他拒绝服务攻击的威胁。由于存在其他 ICMP 漏洞,阻止此协议势在必行。虽然 ICMP 回应请求(或 Ping)可用于故障排除,但也可用于发现网络中的设备并映射其体系结构,因此应忽略该请求,除非存在合理的理由保留它。Ping 操作还可用于 Ping 已遭到拒绝的服务,因此最好也阻止此类 Ping 操作。

阻止跟踪路由

跟踪路由是一种收集网络拓扑信息的方法。该方法可检测到达目标系统的设备。如果要确定数据是否沿最佳路线传递,此方法非常有用。对于不同的制造商,实施方法各不相同;一些制造商使用有不同生存时间 (TTL) 值的 Ping 操作,另一些制造商则使用 UDP 数据包。如上文所述,可变 Ping 操作可通过阻止 ICMP 消息来控制,而 UDP 数据包则需要 ACL 才可阻止。通过阻止此类数据包,可以防止攻击者获得网络的详细资料。

控制广播数据流

定向的广播数据流可用于枚举网络中的主机,并用作拒绝服务攻击的载体。例如,通过阻止特定的源地址,可以防止恶意回应请求引发级联 Ping flood。应滤除的源地址参见表 12

12:应滤除的源地址

源地址

说明

0.0.0.0/8

历史广播

10.0.0.0/8

RFC 1918 专用网

127.0.0.0/8

环回

169.254.0.0/16

链接本地网络(APIPA 地址)

172.16.0.0/12

RFC 1918 专用网

192.0.2.0/24

TEST-NET

192.168.0.0/16

RFC 1918 专用网

224.0.0.0/4

D 类多播

240.0.0.0/5

E 类保留

248.0.0.0/5

尚未分配

255.255.255.255/32

广播

阻止其他不必要的数据流

Internet 进入边界路由器的传入数据流来自未知的不受信任的用户,这些用户要求访问您的 Web 服务器。这些用户可访问一组特定的 IP 地址和端口号,并被限制无法访问其他端口号或 IP 地址。使用访问控制列表(大多数路由器都提供)以后,只有特定地址与端口组合的数据流可以通过边界路由器,假定任意其他地址都存在威胁。

注意:本例中的端口号与交换机上的端口(以太网电缆所插入的物理插槽)没有关联。这里,参考对象是 IP 地址系统(其中 IP 地址使用 TCP UDP 端口号进行扩展)。例如,Web 服务器一般位于端口 80IP 地址是 192.168.0.1 的服务器上的 Web 服务的完整地址是 192.168.0.1:80

Cisco 路由器和交换机使用专用协议(CDPCisco Discovery Protocol)来发现邻近设备的相关信息,例如型号和操作系统修订等级。但是,此协议安全性能薄弱,恶意用户常能获得同样的信息,因此应在边界路由器中绝对禁用 CDP,可能还需根据管理软件的要求在内部路由器和交换机中禁用该协议。

管理访问

路由器的管理工作将在什么位置执行?您必须确定管理工作要连接的接口和端口,以及执行管理的源网络或源主机。对这些特定位置的访问必须加以限制。不要保留任何未加密或无对抗措施的面向 Internet 的管理接口可用,以防止非法攻击。此外还需:

应用强密码策略

使用管理访问控制系统

禁用未使用的接口

考虑静态路由

关闭基于 Web 的配置

服务

审核和日志

入侵检测

控制物理访问

应用强密码策略

首先添加管理员密码(很多系统受攻入的原因仅仅是因为管理员不用密码)。然后,考虑使用复杂的密码。强大的密码软件不仅能启动字典攻击,还可发现密码中用数字替代字母的一般情况。例如,如果使用“p4ssw0rd”密码,软件可破解此密码。创建密码时一定要混合使用大写字母、小写字母、数字和符号。同样地,出于管理的目的,可能还必须有SNMP。尽管 SNMP 安全性算不上强大,但配置之后确实能添加密码 (团体字符串)SNMP V3 的安全性能已大大改进。

使用管理访问控制系统

不要采用将管理员名称嵌入配置这种做法,而是使用 AAA 系统对管理员身份进行验证。这可以控制管理员的真实身份及可执行的操作,并记录执行过的操作。AAA 是指:

Authentication(身份验证):
对用户进行确定和身份验证的过程。可以使用多种方法验证用户,最常用的是使用用户名和密码组合。

Authorization(授权):
确定经过验证后的用户可以访问的内容和执行的操作的过程。

Accounting(记录):
记录用户在某设备上正在执行的操作和已经执行的操作。

当管理员初次登录时,AAA 系统将使用位于中央服务器上的数据库验证该管理员,同时在管理员连接会话期间控制其试图完成的操作。AAA 系统的主要优点之一是安全信息的集中化,您仅需登录一次即可控制对所有网络设备的访问,从而无需在每个设备中分别设置登录。

非专用 AAA 系统有两种:

RADIUSRemote Authentication Dial-in User Service,远程身份验证拨入用户服务)

Kerberos

另一种非常流行的 AAA 系统是 TACACS+,但该系统是 Cisco 专用系统,仅可控制 Cisco 设备的访问。

禁用未使用的接口

在路由器中,只有必需的接口才应启用。未使用的接口是无法被监视或控制的,它们可能未更新。因此,您可能会在这些接口上受到未知的攻击。通常,系统使用 Telnet 管理访问。因此,限制 Telnet 的可用会话数并设置一定的超时,可确保会话在未用状态超过一定时间后被关闭。

考虑静态路由

静态路由可防止专门的数据包更改路由器中的路由表。攻击者可能试图模拟路由协议消息来更改路由,从而引发拒绝服务或向薄弱的服务器转发请求。通过使用静态路由,更改路由必须通过管理接口的允许。但请注意,静态路由是静态的,如果连接失败,路由器不会自动切换到备用路由器,而且静态路由的配置过程非常复杂。

关闭基于 Web 的配置

如果可以选择内置 Web 服务器来配置访问,以及可以使用命令行模式,则请禁用 Web 服务,因为该服务可能易于受到许多 TCP/IP 安全薄弱环节的影响。

服务

在已部署的路由器中,每个已打开的端口都与一个侦听服务相关联。为了降低攻击的可能性,必须关闭不必要的默认服务。例如,bootps Finger 服务就很少使用。此外,还应扫描路由器来检测都打开了哪些端口。

审核和日志

大多数路由器都有日志功能。日志功能可记录所有被拒绝的有入侵企图的操作。目前的路由器都有多种日志功能,其中包括根据已记录的数据设置严重性。为了定期检查日志以明确入侵和探测的种种迹象,应建立一定的审核计划。

入侵检测

在路由器中设置了各种防范 TCP/IP 攻击的限制之后,路由器应该能够确定攻击发生时间,然后通知系统管理员发生的攻击。

攻击者一般都很了解安全优先级,其攻击策略都是围绕这些优先级展开的。入侵检测系统 (IDS) 可显示攻击者企图攻击的位置。

控制物理访问

如上文所述,由于路由器通常都存在后门访问方法,如果攻击者能物理访问这些设备来覆盖现有配置,则大多数路由器都易受攻击。因此,请将这些路由器锁在固定的房间中,并赋予受限的访问权限。

交换机安全性注意事项

与路由器类似,您必须确保交换机本身不被重新配置。必须使用安全管理接口,确保交换机已应用了最新的软件修补程序和更新,控制管理访问权限,并提供物理安全性。

与路由器相比,交换机的安全性常被忽视,因为前者是面向 Internet 的第一道防线。

为路由器定义的许多安全概念同样适用于交换机。例如,控制谁具有管理权限。由于交换机只是检查以太网框架(而非 IP 数据包),因此无法控制捉摸不定的 IP 入侵。但交换机始终在防火墙或有防火墙功能的路由器的背后,故这一要求并不必要。

下列配置类别可帮助您确保安全的交换机配置:

修补程序和更新

VLAN

使用管理访问控制系统

禁用未使用的端口

服务

加密

修补程序和更新

必须及早安装和测试修补程序和更新。

VLAN

虚拟 LAN 可以分隔网段,然后根据安全规则应用访问控制。没有 ACL VLAN 可提供第一级别的安全防线,它将限制同一 VLAN 成员的存取权。但实际上 VLAN 内部的数据流也是必需的,而这正由 IP 子网之间的路由器提供,并可通过 ACL 来控制。

VLAN 之间的 ACL 可限制不同网段之间的数据流。这种过滤一般是简单的静态数据包过滤,它不同于状态型数据包检查或应用层代理(用在很多专用防火墙设备中)。

使用 VLAN 之间的 ACL 可通过阻止来自企业内部的内部入侵(外部入侵已由边界网络阻止)提供直接的保护。除了防火墙过滤之外,VLAN ACL 还可用于其他安全层。在 VLAN 中实施 ACL 的缺点在于,它们会对性能有所影响,而且需要正确有效的配置。

使用管理访问控制系统

使用与路由器相同的方法来控制交换机的管理访问。

禁用未使用的端口

为了防止黑客接入未使用的端口,应禁用交换机中未使用的以太网端口。

服务

确保所有未使用的服务都已禁用。此外,确保禁用普通文件传输协议 (TFTP),删除面向 Internet 的管理接口,并对 ACL 加以配置以限定管理权限。

加密

尽管数据加密在交换机上很少使用,但在网络中加密数据的确能保证被窥探到的数据包在以下两种情况下毫无价值:即相同交换段中存在监视器;或交换机已受到损害,从而允许数据通过网段。

安全网络快照

13 提供了一种安全网络特征快照。这里的安全设置都归纳自业界安全专家和安全部署中的真实应用程序。在评估自己的解决方案时,您可以使用该快照作为参考。

13:安全网络快照

组件

特征

路由器

修补程序和更新

使用最新软件来修补路由器操作系统。

协议

阻止未使用的协议和端口。
实施出入过滤。
ICMP 数据流从内部网络中屏蔽。
禁用跟踪路由。
不转发直接广播数据流。
屏蔽庞大的 Ping 数据包。
在最外路由器中阻止路由信息协议 (RIP) 数据包(如果有)。
使用静态路由。

管理访问

强制执行强管理密码策略。
使用管理访问控制系统
禁用路由器中未使用的管理接口。
禁用基于 Web 的管理。

服务

禁用未使用的服务(例如 bootps Finger)。

审核和日志

为所有拒绝的数据流启用日志。
对日志进行集中保存和保护。
审核日志,检查是否存在非正常模式。

入侵检测

设置 IDS 以确认和通知活动攻击。

物理访问

限制物理访问

交换机

修补程序和更新

测试并安装最新的安全修补程序,减轻来自已知漏洞的危害。

VLAN

使用 VLAN ACL

禁用未使用的端口

禁用未使用的以太网端口。

服务

禁用未使用的服务。

加密

加密交换数据流。

其他

日志同步

同步有日志功能的所有设备上的时钟。

对网络的管理访问

使用 Kerberos RADIUS 对管理用户进行身份验证。

网络 ACL

按一定模式建立网络结构,将 ACL 置于主机和网络中。

小结

本模块提供的相关信息和选项可帮助网络设计工程师选择满足企业网络体系结构要求的设备。本模块在如何正确选择设备方面概述了设备的设计过程。

本模块定义的设计过程包括选择正确的设备类别以满足所需的服务等级。此外,选择适当选件确保组织的网络成员支持该设备,且有一定的网络管理方案来管理该设备也都非常重要。目标是制定一套符合组织网络体系结构的设备规范,以设计和实现整个网络。


打印〗〖关闭