巩固有私有VLAN和VLAN访问控制列表的网络(1)

前言

其中一个关键要素到建立一个成功的网络安全设计是识别和强制执行 一个适当信任模式。适当信任模式定义了谁需要谈与谁并且 什么样的数据流需要被交换; 应该否决其他数据流。一旦适当信任模式被识别，然后安全设计员应该决定如何强制执行 型号。

因为重要资源是全局可用的并且网络攻击的新的表演 变，网络安全基础设施倾向于变得更加复杂，并且更多产品是可用 的。 防火墙、路由器、LAN交换机、入侵检测系统、AAA服务 器和VPN是可帮助强制执行型号的某些技术和产品。当然，每 一个这些产品和技术在整体安全实施之内扮演一个特定的角色，并 且了解设计员是重要的这些元素如何可以配置。

使用的组件

本文不限于特定软件和硬件版本。

背景信息

识别和强制执行一个适当信任模式似乎是一项非常基 本任务，但在几年支持的安全实施之后，我们的经验表明安全事件 经常与恶劣的安全设计有关。通常这些设计差是不强制执行 一个适当信任模式的一个直接后果，有时因为什么是公正必要的没 有了解，其他次正因为充分地没有了解也没有误用介入的技术。

本文详细解释如何二个功能可用在我 们的Catalyst交换机，专用VLAN(PVLANs)并且VLAN 访问控制表 (VACLs)，在两可帮助保证适当信任模型企业并且服务提供商环境。

强制执行适 当信任模式的重要性

不强制执行适当信任模型的一个立即后果是整体安全实施变得较不 对免疫有恶意的活动。非敏感区域(DMZs)普通是被实施没有 强制执行正确的制度因而实现一个潜在入侵者的活动。此部 分分析DMZs经常如何是被实施和设计差的后果。我们以后将 解释如何缓和，或者在最佳的案件避免，这些后果。

通常，DMZ服务器只应该处理流入请 求从互联网和最终首次与一些后端服务器的连接位于里面或其他DMZ 分段，例如数据库服务器。 同时，DMZ服务器不应该彼此谈 或首次与外界的任何连接。这在一个简单信任型号清楚地定 义了必要的数据流; 然而，我们经常看型号不足够被强制执 行的这种。

设计员通常倾向于使用 一个共用段实现DMZs为所有服务器没有对数据流的任何控制他们之 间。例如，所有服务器位于普通的VLAN。因为什么都 在同样VLAN之内不控制数据流，如果其中一个服务器被攻陷然后在 同一个分段可以使用同一个服务器来源攻击对任何服务器和主机。 这清楚地实现展开端口重定向或应用层攻击的一个潜在入侵 者的活动。

一般，只用于防火墙和信 息包过滤器控制流入的连接，但是什么都通常没有完成从DMZ限制被 发起的连接。一些时间前有允许入侵者通过发送HTTP流开始X 终端仿真程序会话的cgi-bi脚本的一个着名的弱点; 这是应 该由防火墙允许的数据流。如果入侵者足够幸运，他或她可 能使用另一种款待得到根提示，典型地缓冲溢出攻击。这类 问题可以通过强制执行一个适当信任模式避免的大多时代。首先，服务器不应该彼此谈，并且不应该于这些服务器其次发起连 接与外界。

同样备注适用于许多其他 方案，去从所有正常不信任的分段至小型服务器站在应用程序服务 提供商。

PVLANs和VACLs在Catalyst 交换机可帮助保证一个适当信任模式。PVLANs将通过限制主 机的之间数据流帮助在一个共用段，而VACLs将通过提供对产生或被 注定的所有数据流的进一步控制贡献给一个特定段。这些功 能在以下部分讨论。