Добавил:
Upload Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз: Предмет: Файл:
Программа Сетевой академии Cisco CCNA 3 и 4 (Вс....docx
Скачиваний:
250
Добавлен:
21.07.2019
Размер:
32.57 Mб
Скачать

Vlan-сети и безопасность

VLAN сети являются эффективным механизмом расширения сферы действия брандмауэра от маршрутизаторов к среде коммутатора и защиты сети от потенци­ально опасных проблем, связанных с широковещанием. Кроме того, сети VLAN со­храняют все преимущества высокопроизводительной коммутации.

Брандмауэры создаются путем назначения портов коммутатора или пользовате­лей в конкретные группы VLAN как на одном коммутаторе, так и на нескольких со­единенных друг с другом коммутаторах. Широковещательные потоки данных не пе­редаются за пределы сети VLAN. На рис. 9.9 приведен пример широковещательных доменов. В свою очередь смежные порты не получают широковещательных данных, которые генерируются другими сетями VLAN. Такой тип конфигурации значитель­но уменьшает общий объем широковещательных данных, освобождает полосу про­пускания для действительно полезных данных и снижает общий уровень уязвимости сети в отношении широковещательных штормов. На рис. 9.10 показано как маршру­тизатор может выполнять функции брандмауэра между сетями VLAN.

Рис. 9.9. Широковещательные домены

Одной из проблем совместно используемых сетей LAN является относительная легкость проникновения в них. Подключаясь к работающему порту несанкциониро­ванный пользователь получает доступ ко всем данным, передаваемым в сегменте. Чем больше группа пользователей, тем большие возможности создаются для потен­циального несанкционированного доступа.

Рис. 9.10. Брандмауэр для широковещательных данных

Одним из экономически эффективных и легко административно реализуемых способов повышения уровня безопасности в сети является сегментация сети на не­сколько широковещательных групп. Это позволяет сетевому менеджеру решить сле­дующие задачи:

  • ограничить количество пользователей во VLAN-группе;

  • предотвратить присоединение других полей без предварительного получения разрешения от приложения, управляющего сетью VLAN;

  • сконфигурировать все неиспользуемые порты на принимаемую по умолчанию службу нижнего уровня VLAN.

Реализация такого типа сегментации относительно проста. Порты коммутатора объединяются в группы на основе типа приложения и привилегий при доступе. Огра­ниченные приложения и ресурсы обычно размещаются в защищенных VLAN-группах. В защищенных сетях VLAN коммутатор ограничивает доступ пользователей к группе. Ограничения могут основываться на адресах станций, типах приложений или типах протокола. Пример обеспечения безопасности в сети VLAN показан на рис. 9.11.

Рис. 9.11. Защищенная VLAN-сеть

Использование концентраторов в сетях vlan

За последние несколько лет сетевые администраторы установили большое коли­чество концентраторов. Многие из этих устройств заменяются настоящее время коммутирующими технологиями.

Поскольку приложениям требуется все большая выделенная полоса пропускания и производительность непосредственно на рабочем столе, эти концентраторы по-прежнему выполняют полезные функции по многих уже существующих сетях. Сете­вые менеджеры могут сэкономить средства. Подсоединив существующие концен­траторы к коммутаторам. Пример такого использования концентраторов приведен на рис. 9.12. каждый сегмент концентратора, подсоединенный к порту коммутатора, может быть назначен только одной сети VLAN. Все станции, совместно использую­щие сегмент концентратора, становятся членами одной и той же группы VLAN. Коммутатор поддерживает несколько адресов доступа к среде передачи или МАС-адресов (Media Access Control — MAC), пo одному на каждую станцию, которые логически связаны с портом, к которому подсоединен концентратор. Если требуется переназначить отдельную станцию в другую VLAN-сеть, то станцию необходимо подсоединить к соответствующему концентратору. Соединенные между собой ком­мутаторы обрабатывают передачу данных между портами коммутатора и автомати­чески определяют соответствующие принимающие сегменты. Чем больше мелких групп будет образовано на совместно используемом концентраторе, тем больше сте­пень микросегментации и тем большая гибкость обеспечивается для назначения ин­дивидуальных пользователей в группы VLAN. Путем подсоединения концентрато­ров к коммутаторам можно сконфигурировать концентраторы в качестве части ар­хитектуры VLAN. Можно также обеспечить совместное использование передачи данных и сетевых ресурсов, непосредственно подсоединенных к коммутирующим портам с получателями VLAN.

Рис. 9.12. Использование существующих концентраторов в среде коммутации сети VLAN