依據(jù)公司網(wǎng)絡(luò)建設(shè)要求，對(duì)公司新購置的設(shè)備進(jìn)行配置測(cè)試 。測(cè)試內(nèi)容要求模擬公司業(yè)務(wù)，對(duì)公司各業(yè)務(wù)進(jìn)行訪問控制試驗(yàn) 。試驗(yàn)網(wǎng)絡(luò)結(jié)構(gòu)、端口及VLAN配置如圖1所示 。
圖1 網(wǎng)絡(luò)結(jié)構(gòu)圖
測(cè)試方式
對(duì)二層交換機(jī)進(jìn)行VLAN劃分，隔離業(yè)務(wù)，訪問控制內(nèi)容定義到接入層的路由器上；對(duì)三層交換機(jī)基于端口劃分VLAN、定義網(wǎng)關(guān)并進(jìn)行各業(yè)務(wù)間的訪問控制設(shè)定 。對(duì)交換機(jī)進(jìn)行配置的過程略 。
在R2611訪問控制內(nèi)容不變的情況下，對(duì)S3526AC進(jìn)行逐條訪問控制命令添加，測(cè)試各業(yè)務(wù)間的隔離情況，各機(jī)器之間相互ping通試驗(yàn) 。
測(cè)試內(nèi)容
首先，在S3526-AC上添加ACL 100后，PCA與PCB、PCC不通，PCB與PCC通；然后，添加ACL 101后，PCA與PCB通，PCB與PCC不通；最后，添加ACL 102后，PCA、PCB、PCC之間全通 。試驗(yàn)隔離不成功 。經(jīng)過多次修改控制內(nèi)容，將S3526-AC的訪問控制內(nèi)容修改則隔離成功 。
發(fā)現(xiàn)的問題及解決的方式
通過對(duì)S3526-AC進(jìn)行的兩次訪問控制內(nèi)容比較，發(fā)現(xiàn)訪問控制命令中的源地址的反掩碼必須與目的地址的反掩碼對(duì)應(yīng)匹配才行 。假如將訪問控制內(nèi)容的源、目的地址反掩碼比較位定義到24位，根據(jù)我公司的網(wǎng)絡(luò)情況與業(yè)務(wù)需求，訪問控制條數(shù)將變得非常龐大，實(shí)際應(yīng)用與維護(hù)操作都變得很困難；假如將訪問控制內(nèi)容的源、目的地址反掩碼比較位都定義到16位，則S3526-AC下各端口訪問控制輕易出現(xiàn)控制漏洞 。
根據(jù)S3526-AC已設(shè)置好的內(nèi)容，相應(yīng)的改變?nèi)_(tái)PC機(jī)的地址，直接接到S3526-AC上，重復(fù)測(cè)試過程，結(jié)果與上面的試驗(yàn)情況相同 。根據(jù)在R2611下進(jìn)行的訪問控制試驗(yàn)，在R2611上不存在源、目的地址反掩碼比較位匹配問題，可以將源地址反掩碼比較位與目的地址反掩碼比較位設(shè)置不同長度，能匯聚訪問控制的命令條數(shù) 。將S3526-AC上只設(shè)置二層功能，三層上的子接口與訪問控制功能設(shè)置在R3640E上，結(jié)果各業(yè)務(wù)訪問控制試驗(yàn)成功 。
推薦閱讀
- 三層交換:又一個(gè)顛覆的開始？
- 微軟稱PBX交換機(jī)今后幾年內(nèi)將消亡
- 以太網(wǎng)交換機(jī)技術(shù)發(fā)展趨勢(shì)
- 華陀在世：交換機(jī)“癱瘓”有絕招
- 什么是交換機(jī)
- 交換機(jī)在網(wǎng)絡(luò)中的故障診斷
- 交換機(jī)的安全設(shè)置六大原則說明
- 6125一次待機(jī)時(shí)間測(cè)試
- 如何識(shí)別是三層交換機(jī)還是二層交換機(jī)？
- 第三層交換技術(shù)實(shí)現(xiàn)VLAN間通信