VLAN在网络管理中的应用
| 一、前言 广州分院计算机网是中科院"百所联网"二期工程的一部分，网络中心设备于1998年初安装运行，随着用户接入和网络应用的开展，在运行、管理中碰到不少问题。虽然已逐渐完善网络中心设备及服务器的配置和建立了相应的管理制度，一些问题也得以解决和控制，但对防止一些不守法用户经常采用未授权IP上网问题，仍不能得到解决，网管人员为此花费不少精力。当时曾想在边界路由器上做IP-MAC绑定，但由于CSTNET从网络整体安全考虑，边界路由器管理权由院网络中心控制，对二级节点的广州分院网来说,如把IP-MAC绑定在边界路由器上，将不利于网络监控及管理,对可能发生的一些事件无法做出快速反应，因此实际是不可行的。解决问题只能在广州分院网络中心设备上入手。 二、网络结构配置及解决方案  由于4500只配高速口f0，其余为异步口，使得边界路由Cisco 2514只能接入Catalyst3200，和所有局域网形成"平构式"结构，对防止IP盗用问题造成先天不足。 从分析Catalyst 3200虚网功能上可见，除了虚网功能本身的优点外，Catalyst 3200 交换机与Cisco 4500路由器的高速口支持ISL(InterSwitch Link)及VTP（VLAN TRUNK PROTOCOL），这对强化网络管理提供有力的技术保证。通过对Catalyst 3200的端口进行虚网设置，再跟据网络用户所在的物理位置、工作性质、网络通信负载尽量均衡原则，把所有网络用户纳入不同虚拟子网,各子网经 Catalyst 3200与Cisco 4500的高速口连接--路由，再把IP-MAC绑定在Cisco 4500上就可能达到预期目的。 三、虚拟子网VLAN的配置 1).Catalyst 3200交换机上VLAN及VTP的配置 经超级终端进入Catalyst 3200控台 a).设置VLAN管理域 进入"SET VTP AND···· ",选"VTP ADMINISTRATION CONFIGURATION" 设置VALN管理域名"GIETNET"；VTP方式为"SERVER"。 b).设置VLAN及TRUNK： 将所有子网的交换机、HUB上连至Catalyst 3200的10MB或100MB口，并按上述原则分配VLAN，将这些端口进行虚网划分如下： 
本项设置是从控制台的CONFIGURATION选定"LOCAL VLAN PROT CONFIGURATION"，进行VLAN及TRUNK口的指定，并把所有的3个VLAN填入TRUNK口的配置单中，最后显示如下
2).Cisco 4500路由器的设置 3).在Cisco 4500路由器上建立ARP表 为强化网络管理防止IP盗用，在Cisco 4500路由器上建立ARP表，将所有子网的IP与相应的网卡MAC地址进行绑定，对于未用的IP也进行绑定，如： 当注册网络用户需更换网卡时，需得到网管人员的确认、同意，对企图非法盗用者将无法进行（参见下述）；另外可按具体情况设置访问控制列表等安全管理措施。 四、系统特点 如2)所述，由于虚网的配置加上Cisco 4500的IP-MAC的匹配检查，使得IP盗用比一般的地址绑定更为困难，理由是这种配置结构下，即使想盗用，其通讯也只限于本子网内(活动范围大大减少,被当场抓获可能性加大) ；Cisco 4500上的IP-MAC的匹配核查，使得有计费的IP盗用无法进行(盗用变得无意义)，从而达到合理记费和有效提高网络管理、控制能力。 名词解释： 1).VLAN TRUNK PROTOCOL（VTP）：用VTP设置和管理整个域内的VLAN，在管理域内VTP自动发布配置信息，其范围包括所有TRUNK连接，如交换互连（ISL）、802.10和ATMLAN（LANE） 当交换机加电时，它会周期性地送出VTP配置请求，直至接到近邻的配置（summary）广播信息，从而进行结构配置必要的更新。 交换机的VTP配置有三种模式：服务器、客户和透明模式。 2).ISLTRUNK ISL中继不同的VLAN多路包，包头带有"ISL VLAN数"标志（VTP VLAN ID）。 |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
