|
保障企业网络的稳定与安全就像是在维护一个链条，整个链条有很多部分组成，而我们最常见到的是这个链条中的四个部分，边界（路由器），内网（交换机），终端（PC）和用户本身。在这四个环节中，用户是最薄弱的一环，终端与边界安全应该是目前最被人们关注的两点，而内网安全，也就是交换机的职责，似乎却被很多人所忽视。 我应该买台怎样的交换机呢？如果您非常在意成本，那非管理型产品将是您的首选，但这时内网对于每个人都是“大门敞开”，除了安全风险，由于这类产品不支持链路冗余，级联链路单点失效也会对网络造成较大的影响。所以，傻瓜型交换机虽然做到了低价易用，但往往并不是最佳的选择。 交换机应当负责起内网的安全性与可靠性，前者依靠内网准入机制，后者依靠链路冗余，本次新品试用我们也将主要围绕这两个方面。啊！差点忘了介绍本文的主角，主角是思科近期推出的面向中小企业市场的千兆交换机系列中的一款——思科精睿（Cisco Small Business）SLM2024，其产品定位在中小型企业、网络边缘或大型企业的工作组，媒体报价3500元。
在试用之前我们大致先看一下SLM2024所具备的一特性。SLM2024提供了24个10/100/1000Mbps的RJ-45接头和2个共享千兆光纤小型封装热插拨（SFP）上行链路接口；交换容量为48Gbps，可实现无阻塞的双向千兆转发；采用全图形化WEB配置界面；常规功能像VLAN、QoS、IGMP、广播抑制等也是一应俱全。 本次试用的主要关注点是网络的安全性与可靠性，就像前面所提到的，安全性主要是网络准入控制，依靠802.1x和port security，而可靠性主要是链路冗余，依靠STP和link aggregation，在这两方面，SLM2024的表现如何？请往下看： 网络准入控制与端口安全 非管理型交换机无法实现网络准入控制。我们常见到这样的情景，任何人只要手中有一根网线，插入交换机，他的电脑就可以访问网络中的资源了，这其实存在很高的风险——如何区分公司内部电脑和外部电脑，管理员往往毫无办法。也许在以前这一问题并不突出，但随着笔记本的普及，交换机端口管理便成了一个无法忽视的问题。 SLM2024支持802.1x和port security，前者配合radius验证可以很轻松的将非受权用户拒之门外，而后者可以在用户通过radius验证后，额外的再对端口提供另一层保护。 802.1x、Radius 802.1x是IEEE为了解决基于端口的接入控制而定义的一个标准。802.1x认证由三部分组成：客户端、认证系统和认证服务器。在客户端和认证系统之间使用 802.1x协议进行通信，在认证系统和认证服务器之间使用RADIUS 协议进行通信。SLM2024在这里就像是个代理，而且控制着端口的开关，如果认证通过，端口将开放，客户机可以对网络进行访问，反之，即使用户插上的网线，网络也是不通的。 SLM2024还提供了重新认证机制（Enable periodic reauthentication），当认证时间到达（默认3600秒），交换机发起重新认证，如果认证成功，用户可以继续使用网络，如果认证失败，用户将不能再使用网络。
要实现网络准入功能，SLM2024的设置方法很简单，主要分两步，一是设置端口状态（Status Port Control），二是配置radius服务器。我们在上图中开启了802.1x，接下来需要配置端口状态，共有三种状态，Auto、forceauthorized和forceunauthorized。Auto指端口根据认证成功与否开启或关闭相应端口，forceauthorized指端口始终打开，而不进行验证，forceunauthorized指端口始终关闭，不响应用户请求。默认为forceauthorized，我们将7、8两个端口修改成了Auto。第一步完成，非常简单。>>
|
