IDS的交换机局限问题的分析与对策（2）

　　一个基本的交换机只能支持一个逻辑子网，为了使交换机更加灵活，发明了虚拟局域网技术（Virtual Local Area Network, 简称VLAN），这允许交换机配置成两个网段，看上去像两个交换机。

　　如果交换机的被监听端口与SPAN端口在不同VLAN上，是不能做端口镜像的。因此，如果需要监听各个VLAN的数据，就必须在各个VLAN上开一个镜像端口。造成端口资源的浪费。

　　3．应用环境分析：

　　1．在电信的网络环境中，数据量一般比较大，如果采用交换机的镜像方法，必然会使交换机丢包。在千兆环境下更是如此。

　　2．在一般的网络中，有的较低端交换机不支持端口镜像，有的交换机对端口镜像功能支持的较弱（例如只能镜像一个网口，Cisco的交换机较好一些，镜像的越多，交换机数据包丢失越厉害），这时IDS就需要使用Tap或者在某个网口上串接一个集线器。

　　3．在某些千兆骨干网上，交换机的千兆端口是相对稀缺的资源。

　　4．划分VLAN的情况，在一些大一点的企业比比皆是，如果使用端口镜像，必然会使企业端口不够用，从而修改原先的网络配置，而这种情况是很多的。

　　三、问题的对策

　　当前的选择是串联一个集线器或者接入TAP分流器。

　　1．共享式集线器

　　在需要监听的网线中连接一个共享式HUB，从而实现监听的功能。对于小公司而言，在公司与Internet之间放置一个NIDS，是一个相对廉价并且比较容易实现的方案。

　　使用集线器和TAP是比较相近的方案，集线器和TAP放置在被监控的连接之间，这通常是在两个交换机之间、交换机和路由器之间、服务器和交换机之间等。在图２中，集线器放置在资源主机和交换机之间。这允许集线器在将数据复制到IDS时，依然能够保障交换机和资源主机之间的数据流动。这种方法就像仅适合一台机器的SPAN端口，多台机器接在集线器上会引起网络错误，并消除了交换的好处。而且集线器的容错性不好。

图２：串接集线器监听

　　由于共享媒介的局限，如果交换机和路由器是全双工的连接，将导致主机的网络连接由全双工变为半双工，数据碰撞会降低系统的吞吐量。

　　由于共享媒介的局限，如果NIDS发送的数据通过此HUB的话，更增加冲突的可能。