角色转换 交换机 从“人质”到“保镖”

与桥接器一样，交换机按每一个包中的MAC地址相对简单地决策信息转发。而这种转发决策一般不考虑包中隐藏的更深的其他信息。与桥接器不同的是交换机转发延迟很小，运作接近单个局域网性能，远远超过了普通桥接互联网络之间的转发性能。交换技术允许共享型和专用型的局域网段进行带宽调整，以减轻局域网之间信息流通出现的瓶颈问题。

对于网络来说，交换机无疑是心脏，应该是最敏感、薄弱和需要保护的部分。哪怕性能再强，一旦瘫痪，对网络来说就是一场灾难。 安全，才是硬道理。于是，一种全新的安全交换机概念应运而生，这种概念要求“作为网络核心的交换机不仅仅是交换数据的核心，还要具备专业安全产品的性能”，用交换机来串联服务器、安全网关、终端电脑，组成贯穿整个网络的安全防护体系。

这样的安全新概念，使得交换机安全防护成为企业网络安全防护中最重要的环节，对交换机的安全性能也提出了相当高的要求。以华硕投向中小企业市场的ASUS GX1116i+/1124i+系列智能网管交换机技术为例。首先，此类交换机支持最新的802.1x标准，可以最大程度限制非法用户的接入，达到保护网络安全的目的；其次，华硕GX1116i+/1124i+交换机拥有流量控制技术，可以使管理者轻松控制每个交换机端口的带宽，把流经端口的异常流量限制在一定的范围内，能够实现风暴控制、端口保护和端口安全，在有效避免网络堵塞的同时还可以有效的防止DOS攻击，且不影响网络性能；再次，GX1116i+/1124i+交换机还具备访问控制列表(ACL)技术，不但可方便网络管理者根据用户的需要分配给他们适合的角色，也可以用来加强网络的安全屏蔽，让黑客找不到网络中的特定主机进行探测，从而无法对企业交换机发动攻击。

此外，目前相当种类的安全交换机的虚拟局域网功能也是应用广泛的一个安全策略。利用这一功能，可以把用户划分成若干小组，仅仅允许用户使用他们需要的网络资源。VLAN基于端口的VLAN、MAC地址及路由访问列表等原则划分，限制了各个不同VLAN之间的非授权访问，可以设置IP/MAC地址绑定功能限制用户的非授权网络访问，从而提高交换式网络的整体性能和安全性。而且通过对VLAN的创建，隔离了广播，缩小了广播范围，可以控制广播风暴的产生。对于采用VLAN技术的网络来说，一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。

被保护者成为保护者，不但保护自己，还能保卫网络。这样的理念对于传统的网络设备厂商已经不陌生，“穷则独善其身，达则兼济天下”，相信只有这样“全民皆兵”的网络架构，极具安全性能的网络设备和专业的安全设备相结合，才能最充分应对信息化社会越来越密集的安全威胁，最大限度的保障网络安全。

【相关文章】

• 交换机也需要网络安全：交换机上的安全功能
  

• 技术分析怎样的交换机才是安全
  

• 调整思路：用交换机解决局域网安全