Сегментация трафика

Port Security и таблица фильтрации коммутатора

Ограничение доступа к сети

В коммутаторах, помимо стандартной функции динамического построения таблицы MAC-адресов на основе адресов входящих пакетов, реализована функция настройки статической таблицы MAC-адресов. Это позволяет в полной мере контролировать прохождение пакетов через коммутатор, блокируя доступ к сети компьютерам с неизвестными коммутатору МАС-адресами.

Во-первых, можно заблокировать дальнейшее обновление таблицы коммутатора – если конфигурация вашей сети более не изменяется, вы блокируете таблицу MAC-адресов, и т.о. коммутатор будет просто отбрасывать все пакеты, которые поступают с неизвестного адреса.

Во-вторых, можно вручную привязать определенный MAC-адрес к порту коммутатора, и тем самым коммутатор будет постоянно хранить соответствие MAC-адрес-порт, даже при длительной неактивности устройства или при перегрузках сети. Коммутаторы D-Link позволяют создавать статические таблицы МАС-адресов, имеющие до 256 записей.

Коммутаторы позволяют настроить таблицу фильтрации MAC-адресов, указав MAC-адрес устройства, и входящие и исходящие пакеты с указанным адресом будут ими отбрасываться.

Таким образом, используя вышеперечисленные функции или их комбинации, можно обеспечить защиту сети от несанкционированного доступа. Например, если привязать MAC-адреса рабочих станций сети (при условии, что структура сети не будет изменятся в течении определенного времени) к портам коммутатора, а затем заблокировать таблицу коммутатора, можно запретить таким образом прохождение пакетов от неизвестных адресов. Данная функция оказывается весьма полезной при построении домовых сетей, сетей провайдера Интернет и локальных сетей с повышенным требованием по безопасности, т.к. исключает доступ незарегистрированных рабочих станций. Подделка MAC-адреса, хотя и возможна, но остается более трудной задачей, чем подделка IP-адреса, следовательно, вы можете обеспечить весьма приемлемый уровень безопасности.

Сегментация трафика служит для разграничения доменов на уровне 2.

Данная функция позволяет настраивать порты таким образом, чтобы они были изолированы друг от друга, но в то же время имели доступ к разделяемым портам, используемым для подключения сервером и магистрали сети провайдера. Данная функция может быть использована при построении сетей провайдеров.

Рисунок. Пример использования функции Traffic Segmentation.

Все компьютеры (PC2 - PC24) имеют доступ к порту uplink, но не имеют

доступа друг к друг на уровне 2.

Это решение можно использовать:

1.В проектах ETTH для изоляции портов

2.Для предоставления доступа к общему серверу

Дата добавления: 2014-01-04