引言： 單位網管員在管理維護網絡的時候，總需要接觸到交換機設備，該設備是局域網中的核心設備，它的可靠性和安全性直接決定著整個網絡的運行穩(wěn)定性。所以有效地管理配置好交換機，是確保單位局域網運行安全和可靠的關鍵。

單位網管員在管理維護網絡的時候，總需要接觸到交換機設備，該設備是局域網中的核心設備，它的可靠性和安全性直接決定著整個網絡的運行穩(wěn)定性。所以有效地管理配置好交換機，是確保單位局域網運行安全和可靠的關鍵。然而，面對著風起云涌的黑客入侵和瘋狂肆虐的病毒攻擊，交換機自身的安全性正變得越來越脆弱?，F(xiàn)在本文就從配置著手，來增強交換機的安全運行性能，從而讓其發(fā)揮保護網絡的作用。

配置密碼保護

大家知道，管理員通過交換機管理網絡時，常常會從Console連接端口登錄該設備后臺系統(tǒng)。默認狀態(tài)下，交換機后臺系統(tǒng)不會要求用戶輸入登錄密碼的，這顯然是非常不安全的。為了保護交換機后臺系統(tǒng)用戶界面的登錄安全，我們應該為Console連接配置登錄驗證密碼。例如，要為思科交換機的Console端口配置密碼保護時，可以在后臺系統(tǒng)依次執(zhí)行“l(fā)ine con 0”、“password xxx”、“l(fā)ogin”等命令即可。這種方法只能設置明文密碼，別人在后臺系統(tǒng)執(zhí)行“show run”命令，可以查看到“password”的具體內容。為了讓密碼保護更加安全，建議大家可以使用“service passwordencryption”命令，對明文密碼內容執(zhí)行加密操作，甚至可以使用“enable secret yyy”命令，啟用強加密的特權密碼。為了改善配置效率，不少網管員也會通過telnet命令對交換機進行遠程配置。當然，要是啟用了telnet登錄功能后，一些惡意用戶或許會趁機利用該功能，悄悄登錄進入交換機后臺系統(tǒng)，對局域網中的許多關鍵配置進行惡意修改，引起網絡不能穩(wěn)定工作或發(fā)生安全事故。為此，我們應該加強用戶界面的登錄驗證配置，強制用戶在telnet登錄交換機時進行身份驗證，具體操作命令包括“l(fā)inevty 04”、“password xxx”、“l(fā)ogin”等。

對于H3C系列交換機來說，它們支持password、scheme等加密認證方式。比方說，要強制管理員以telnet方式管理交換機必須進行登錄認證時，比方先在交換機后臺系統(tǒng)全局模式下，通過“user-interface vty0”命令切換到vty0用戶界面視圖狀態(tài)，繼續(xù)輸入“authentication password”命令，開啟遠程登錄認證功能。當成功啟用了該功能后，還需要使用“set authentication password simple xxx”命令來指定登錄密碼，這里的“xxx”為具體的明文口令內容，比方說輸入“set authentication password simple 123456”命令，就意味著將遠程登錄認證口令設置成“123456”。倘若強制telnet用戶同時進行用戶名和口令驗證時，必須在用戶界面視圖模式狀態(tài)下，執(zhí)行“authenticationmode scheme”命令，來將遠程用戶名和口令認證功能啟用起來，這樣日后從vty0用戶界面登錄配置交換機時，系統(tǒng)就會強制用戶輸入具有合法權限的用戶名和密碼。例如，要強制遠程telnet用戶從vty0用戶界面登錄交換機，一定要使用“123”賬號、“456”口令時，不妨在交換機后臺系統(tǒng)全局模式狀態(tài)下依次執(zhí)行如下命令：

配置環(huán)路保護

圖1 未配置回路監(jiān)測

為了改善傳輸穩(wěn)定性，不少單位網絡都采用了冗余連接，對物理線路進行備份。然而，這種連接方式從物理連接角度來看，已經在單位網絡中構成了物理環(huán)路，該環(huán)路在stp協(xié)議的支撐下，不會影響網絡信號的正確傳輸；不過，在長時間工作過程中，單位網絡會受到工作環(huán)境、人為操作、設備質量等因素影響，或許會發(fā)生網絡環(huán)路故障，而從平時的實踐工作來看，這種環(huán)路故障很容易出現(xiàn)在交換機調整的位置。要是物理環(huán)路真的構成網絡回路，那么交換機端口很快會被大流量信號堵塞，單位網絡的運行自然就會受到嚴重影響。為了保護交換機安全，改善網絡傳輸穩(wěn)定性，我們不妨配置啟用交換機的環(huán)路保護功能，讓其智能識別特定端口下出現(xiàn)的網絡回路現(xiàn)象，同時自動停用出現(xiàn)網絡回路的交換端口，并且及時上報相關日志內容，日后我們根據設備日志內容就能快速找到故障原因，讓單位網絡迅速恢復到正常狀態(tài)。

以H3C系列交換機為例，在配置環(huán)路保護功能時，只要在交換機后臺系統(tǒng)的全局視圖模式下，輸入“interface e0/26”之 類的命令，進入目標交換端口視圖模式，使用“display loopback-detection”命令，先查看指定交換端口在當前有沒有配置端口回路監(jiān)測功能（如圖1所示），而且該命令還能查出該端口下有沒有回路現(xiàn)象存在。倘若看到網絡回路監(jiān)測功能還沒有被開啟時，不妨輸入“l(fā)oopbackdetection enable” 命令，來達到開啟目的。日后要是想臨時關閉這項功能時，可以再使用一次“undo loopback-detection enable”命令。

在缺省狀態(tài)下，配置好的交換端口環(huán)路保護功能只會對當前端口下面的默認VLAN有效，要想對當前端口下的所有VLAN都有效時，必須要執(zhí)行“l(fā)oopbackdetection per-vlan enable”命令，讓網絡環(huán)路保護功能自動檢查當前端口下的所有VLAN。此外，指定交換端口要是處于Access工作模式，那么網絡環(huán)路保護功能即使掃描到了當前端口下的網絡回路，也不會向交換機后臺系統(tǒng)自動報告日志信息，只是簡單地關閉當前交換端口的工作狀態(tài)，避免網絡回路影響到整個單位網絡的正常運行。要是交換端口工作在Trunk、Hybrid模式，那么網絡環(huán)路保護功能掃描到當前端口下存在網絡回路時，立即會以日志形式向系統(tǒng)報警，但不會關閉當前端口的工作狀態(tài)，倘若要關閉交換端口運行狀態(tài)時，只要輸入“l(fā)oopback-detection control enable”命令，配置好網絡回路監(jiān)測受控功能即可。

配置服務保護

交換機的許多功能都是以服務形式存在，開啟的服務越多，表示交換機可以支持的網絡功能越多。但對特定用戶來說，并不是交換機的功能越多越好，因為那些平時很少用到的網絡功能，不但會消耗交換機后臺系統(tǒng)的寶貴資源，而且會容易引起安全麻煩，從而影響整個單位網絡的運行穩(wěn)定性。因此，我們可以及時關閉不需要的服務，確保交換機只使用有限的幾個網絡功能。

圖2 進入后臺系統(tǒng)

例如，在Cisco交換機環(huán)境下，如果不希望用戶通過網頁瀏覽方式，遠程查看交換機后臺管理配置頁面時，只要在后臺系統(tǒng)配置狀態(tài)下，執(zhí)行字符串命令“no ip http server”即可。這時，惡意程序將無法不停地向局域網交換機發(fā)送HTTP請求，那么交換機就用不著不停地消耗系統(tǒng)資源進行應答，自然也不會引起交換機發(fā)生癱瘓現(xiàn)象，局域網上網將會始終安全穩(wěn)定。如果不希望交換機使用Chargen、Discard、Echo之類小的udp服務時，可以執(zhí)行“no service udpsmall-servers”字符串命令，來臨時關閉小udp服務的運行狀態(tài)。同樣地，使用“no service tcp-small-servers”命令，可以讓交換機臨時關閉 Daytime、Chargen、Discard、Echo之類小的tcp服務。為了避免網絡中的惡意程序進行路由欺騙攻擊，管理人員可以執(zhí)行“no ip source-route”命令，暫時關閉交換機中的IP源路由功能，以便強制其丟棄帶源路由選項標記的數(shù)據包。

配置流量保護

在單位網絡環(huán)境中，因為終端用戶任意下載，引起網絡帶寬資源被過度消耗的現(xiàn)象經常發(fā)生。為了避免這類現(xiàn)象的不斷發(fā)生，管理員可以通過配置交換機的流量控制功能，來對網絡流量的使用進行保護，一旦看到當前交換端口下面存在異常網絡流量現(xiàn)象，流量控制功能就會智能向當前交換端口發(fā)送報警消息，通知遠端上網端口暫時不要繼續(xù)向當前交換端口發(fā)送數(shù)據信息，以防止網絡流量進一步堵塞交換機現(xiàn)象。而對端上網端口要是接收到報警信息后，會臨時暫停向當前交換端口發(fā)送數(shù)據，這么一來就能有效避免數(shù)據信息發(fā)生丟失現(xiàn)象了。

以H3C交換機為例，在將當前交換端口的流量控制功能配置起來時，一定要先登錄交換機后臺系統(tǒng)，輸入“system-view”命令，進入后臺系統(tǒng)全局視圖模式狀態(tài)（如圖2所示），接著通過“interface e0/2”之類命令，進入當前交換端口的視圖模式狀態(tài)，繼續(xù)輸入“flowcontrol”命令并回車，那么當前端口的流量保護功能就被配置成功了。當然，默認狀態(tài)下，交換機下的所有網絡端口并沒有開啟流量控制功能，管理員必須依照實際情況來使用這種功能。如果日后某個交換端口不需要進行流量保護時，只要進入該交換端口視圖模式狀態(tài)，輸入“undo flow-control”字符串命令，再保存設置操作，關閉流量管理功能就OK了。

配置VTP協(xié)議保護

大家知道，VTP協(xié)議是思科交換機獨有的一種網絡協(xié)議，其中文名稱為虛擬局域網中繼協(xié)議，它的功能主要是向單位網絡中的所有交換機，自動廣播虛擬局域網配置數(shù)據，確保網絡運行維護更加快捷方便。就該網絡協(xié)議來說，交換機能分成VTP客戶端、VTP服務器這兩大類，其中VTP客戶端主要用來接受來自服務端的各種聲明和通知，VTP服務器主要用來發(fā)送所有的虛擬局域網配置數(shù)據。當管理人員每次調整VTP服務器的配置信息時，例如修改VLAN屬性信息，甚至直接刪除或添加VLAN時，VTP配置版本號就會自動加1，借助大小不一的配置版本號，VTP客戶端可以實現(xiàn)與VTP服務器配置信息的同步。利用這個特點，惡意用戶常常會偽造一臺配置版本號大的VTP服務器，連接到單位網絡中，這時網絡中其他的VTP客戶端在發(fā)現(xiàn)偽造VTP服務器的“身影”后，會智能用虛假配置數(shù)據直接覆蓋原先正確的配置數(shù)據，這樣單位網絡就會受到非法攻擊。

為了防止惡意用戶使用VTP協(xié)議攻擊網絡，在組網規(guī)模大的環(huán)境下，管理人員可以停用交換機的VTP協(xié)議，也可以啟用MD5驗證方式，加密保護所有的VTP配置數(shù)據，確保其他VTP客戶端不同步VTP配置數(shù)據，要是配置數(shù)據中包含的加密信息不正確時，其他VTP客戶端自然不能與VTP服務器同步。要為網絡的VTP服務器配置加密保護時，不妨先切換到特定Vlan視圖模式，在該模式下逐一輸入“vtp domainxxxxxx”、“apply”、“exit”等命令即可，這里的“xxxxxx”就是VTP域的保護密碼。完成上述設置任務后，惡意用戶日后就不能進行VTP協(xié)議攻擊，將所有非默認的VLAN從VLAN數(shù)據庫中刪除掉了。

配置Root地位保護

正常情況下，普通生成樹根橋和備份交換機要同處相同域中，但對內部生成樹來說，生成樹根橋和備份交換機往往會被管理人員放置在核心域內。這時網絡要是遭遇到惡意攻擊，或者管理人員工作失誤，網絡中的有效根交換機就容易接受到更高優(yōu)先級的廣播配置消息，這樣有效根交換機Root地位將會自動喪失，從而引起整個網絡組網結構發(fā)生錯誤變化。這時，本來應該從主干網上傳輸?shù)木W絡流量，會被自動牽引到普通傳輸鏈路上，最終造成整個網絡傳輸通道堵塞現(xiàn)象。

為了防止單位網絡出現(xiàn)這種不穩(wěn)定變化，H3C Quidway S8500核心交換機允許組網用戶配置Root保護功能，來維持根交換機的地位。當某個交換端口配置了Root保護功能后，日后對應端口在所有實例上的端口角色，都會被智能選擇為當前端口；倘若這種類型交換端口從單位網絡中接受到更高訪問級別的配置消息時，它的端口角色仍然是當前端口，只是它的工作狀態(tài)會調整為偵聽狀態(tài)，不再支持數(shù)據報文轉發(fā)功能。在保持一段時間后，如果這種類型交換端口一直沒有從單位局域網中，接受到更高訪問級別的配置消息時，它的工作狀態(tài)就會被自動恢復到缺省狀態(tài)。

在缺省狀態(tài)下，S8500核心交換機端口沒有配置Root保護功能。如果要為特定交換端口配置這項功能時，不妨先切換到交換機后臺系統(tǒng)，通過“systemview”命令，進入系統(tǒng)視圖模式，再在該狀態(tài)下使用“interface xxx”命令進入指定交換端口視圖（“xxx”為特定交換端口），在該視圖模式下輸入“stp rootprotection”字符串命令即可。日后不想使用Root保護功能配置時，只要簡單地輸入“undo stp root-protection”命令就行。

如果想提高操作效率，將多個交換端口配置成Root保護時，只要通過“stp interface interface-type interface-number[to interface-number]}&<1-10> root-protection”命令即可。