网络隔离技术[精选].ppt

企业网络安全隔离 这里主要对VLAN和网络隔离这两种方案进行详细介绍，并通过具体的产品和案例向大家介绍具体隔离方案的实例。 学习内容如下： 通过子网掩码划分子网的原理 VLAN的作用及VLAN子网配置方法 网络隔离技术的分类和发展历程 物理隔离原理 物理隔离卡的安装和应用 网络线路选择器的连接与使用 物理隔离网闸的隔离原理和方案应用 通过子网掩码划分子网概述 通过子网掩码划分子网的方法是要改变传统的子网掩码格式，从主机位的高位开始，把主机位的一部分划分到网络ID部分，实际上就是子网位。这使得IP地址的结构由原来的两级变为3级：网络ID、子网ID和主机ID。也就是通常所说的变长子网掩码（VLSM）技术原理。  通过子网掩码划分子网的意义体现在如下几个方面：减少数据广播带来的负面影响；充分利用现有IP地址资源；保护各独立子网；便于维护。 子网划分的不足体现在：网络配置不灵活，有时还存在IP资源浪费。 VLAN子网的划分 VLAN子网划分方法较前面介绍的通过子网掩码进行子网划分的方法来说更加灵活，功能更强。但它需要专门的设备，那就是支持VLAN技术的交换机。  VLAN简介  VLAN（Virtual Local Area Network，虚拟局域网）是对连接到的第二层/三层交换机端口的网络用户进行逻辑分段。VLAN划分的意义在于：可独立划分；不会减少IP地址资源；划分方式灵活。典型VLAN网络结构如下图所示。 VLAN的划分方式 常见的主要有以下5种VLAN子网划分方式： 按端口划分：这种划分方式就是将交换机中的某些端口定义为一个单独的区域，从而形成一个VLAN子网。 按MAC地址划分VLAN：就是把一组属于设定MAC地址的计算机划分为一个VLAN组。能很好地独立于网络层上的各种应用。 基于网络层划分VLAN：有两种方案：一种是基于通信协议（如果网络中存在多协议）来划分；另一种是基于网络层地址（最常见的是TCP/IP中的子网段地址）来划分。 基于IP广播组划分：可将任何属于同一IP广播组的计算机划分到同一个VLAN。 基于策略的VLAN：根据一定的策略来划分VLAN是最灵活的VLAN划分方式，能够把相关的用户连成一体。 VLAN的主要用途 VLAN的用途主要体现在以下3个方面： 控制广播风暴：在VLAN中，网络被逻辑地分割成广播域，由VLAN成员所发送的信息帧或数据包仅在VLAN内的成员之间传送，而不是向网上的所有工作站发送。这样可减少主干网的流量，提高网络速度。 增强网络的安全性：采用VLAN提供的安全机制，可以限制特定用户的访问，控制广播组的大小和位置，甚至锁定网络成员的MAC地址，这样，就限制了未经安全许可的用户和网络成员对网络的使用。 增强网络管理：采用VLAN技术，使用VLAN管理程序可对整个网络进行集中管理，能更容易地实现网络的管理性。 VLAN的主要应用 组建局域网 组建校园网 设置共享资源 三层交换机上的VLAN配置 在一个快速以太网中，典型的VLAN配置需要进行以下几个步骤。 设置VTP域。 配置聚合链路（Trunk）协议。 创建VLAN组。 配置三层交换机端口。 网络隔离概述 网络隔离（Network Isolation）技术是网络安全技术的一个大门类。随着近几年隔离技术的飞速发展，目前的隔离技术已比较完善，涵盖了几乎所有级别用户的网络隔离需求。  网络隔离技术基础 网络中的“隔离”一词与现实生活中的“隔离”存在某种认识上的区别，从传统意义来理解“隔离”使两个网络真正分开，但这样来谈网络安全是没有任何意义的。事实上，网络安全中的“隔离”后的两个网络并非完全没有联系，还是需要有正常的应用层数据交换的。  目前可以采用的隔离方法主要有以下三类： 物理隔离：通过一定软、硬件方法使得访问内、外网的设备、线路、存储均相对独立。 网络隔离：利用协议转换进行网间的数据交换。 安全隔离：利用专用设备实现仅在应用层进行数据交换。 2. 网络隔离技术的发展历程 到目前为止，整个网络隔离技术的发展经历了以下五代： 第一代隔离技术——完全的隔离 第二代隔离技术——硬件卡隔离 第三代隔离技术——网络协议隔离 第四代隔离技术——空气开关网闸隔离 第五代隔离技术——安全网闸隔离 3. 网间不同层次的主安全威胁 网间的安全威胁主要来自来以下三个层次： 物理层：电气攻击、线路侦听、线路破坏等。 网络层：拒绝服务攻击、地址欺骗、碎片攻击等。 应用层：恶意代码、垃圾邮件等。  网络隔离的安全控制要点和发展方向 无论采取哪种网络