【端口隔离技术在校园网实用性应用研究】53端口校园网破解

　　摘要：该文介绍了端口技术的概况，详细描述了该技术在校园网中应用的主要作用与弊端，并简单介绍了端口隔离技术的配置方法。　　关键词：端口隔离；VLAN；病毒　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)21-5074-02
　　The Application Research of Port Isolation Technology in the Campus Network Practical
　　SU Ning
　　（City College of Dongguan University of Technology，Dongguan 523106, China）
　　Abstract: This paper introduces the port technology overview, a detailed description of the technology application in the campus network main effects and disadvantages, and introduces the configuration method of port isolation technology.
　　Key words: port isolate; VLAN; virus
　　近年来随着各高校的不断扩招，在校学生人数也随着不断增长。校园网为了将教育资源更多地共享给学生，不断扩建网络规模和增加信息点。一所普通的高校动辄就拥有上万级别的信息点，网络的稳定可靠性也越来越难以实现。如东莞理工学院城市学院，目前在校学生已有一万余，每个学生在宿舍区几乎都拥有一个独立的百兆网络接口接入校园网。这些在校学生使用网络有点非常明显的特点：数量集中，联网时段集中。这给网络设备造成非常大的压力，而目前PC机的硬盘存储容量已经达到T级别，个人桌面网络连接速度则仍停留在百兆级别，相差甚远。学生在校园网中传输大容量的资源，如高清视频、大型游戏等等，往往会造成网络设备的高负荷运行，容易出现网络设备的硬件资源不足，死机等故障。近年来各厂家针对这种问题研发各种新型网络技术来解决上述问题，目前在各高校使用最为广泛的就是端口隔离技术。笔者所在单位东莞理工学院城市学院也在2008年网络改造时采用了该技术，现就几年来的使用情况和经验进行实用性探讨。
　　 1端口隔离技术简介
　　有过大型局域网管理经验的人都知道，为了实现报文之间的二层广播隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。VLAN标记中的用于区分不同VLAN的ID字段只有12位，也就是说在同一个局域网中最多只能支持不超过4096个VLAN。对于如上所述的大型校园网，如果为了控制学生在二层之间的广播数据量而单纯使用有限VLAN进行隔离，显然是不明智的。而采用交换设备上的端口隔离特性，我们可以实现在同一虚拟子网内的二层广播数据隔离。网管人员只需将需要将需要隔离的端口加入到隔离组中，就可以实现同一隔离组内端口之间的二层数据隔离。可以说端口隔离技术为校园网提供了更为安全和灵活的组网方案。
　　 2端口隔离技术的作用
　　2.1端口隔离技术用于防御二层广播型病毒
　　ARP广播型病毒通过采用假冒网关MAC地址的形式向同一子网内的所以终端机器进行网关欺骗，受欺骗的局域网内所有机器会将数据的传输方向指向中毒机器，从而造成信息被他人窃取或者网络瘫痪。这种病毒如若只传染一部终端，对于网络管理员来说是很容易找出并加以处理的。但是近年来随着ARP病毒的不断变种，其在局域网内伪装性也变得越来越强，最常见的就是其病毒主体感染同一子网内所有机器，令这些感染病毒的机器也同时欺骗网关，那么网管人员就很难确定真正病毒宿主所在，往往都是通过对每台终端进行隔离的排除法来处理，工作量巨大。当采用端口隔离技术后，由于同一子网内的所有机器相互之间不能传播二层广播型数据，所以同一子网来即使有机器感染ARP病毒，也不会向周围同一子网来的机器进行扩散，一定程序上控制了病毒的蔓延。
　　2.2端口隔离技术用于防止非法DHCP服务器
　　由于现在小型家用路由的泛滥使用，导致一些不懂网络技术的学生，将家用路由器错接驳到校园中，将其充当交换机使用的形象频频发生。这些错接进大型局域网的路由器在局域网内非法分发IP地址，设置错误的网关，导致网络阻塞在其小型路由器上。解决这些问题往往需要校园网络管理员到现场进行路由器搜查，也给网络管理员带来了大量工作量。目前各高校会DHCP Snoop ing技术来解决该问题，但仅局限于三层汇聚的设备支持该技术，二层设备由于成本原因往往不能支持该技术。若在二层采用端口隔离技术，由于同一子网中的终端二层端口的隔离，而三层网关不支持非法DHCP的穿透，能有效防止这种家用路由器上的非法DHCP服务器进行地址分发。
　　2.3端口隔离技术用于控制二层间的网络流量
　　如今许多学生经常采用P2P软件在局域内互传资源，最常见的如使用“飞鸽传书”工具互传高清电影、游戏等等。由于二层交换机一般都具备24个百兆端口以上，而上联端口往往则只有1G的上下行带宽，如若同一VLAN内包含多个二层交换机，那么当大量学生采用P2P工具进行数据传输时，上联端口往往成为数据传输的瓶颈。当采用端口隔离技术后，这些P2P工具便无法通过二层广播互相连接，也无法通过二层来传输数据。
　　2.4端口隔离技术用于校园网安全
　　校园网的学生的计算机技术正处于学习阶段，对安全防范意识较薄弱，往往容易受他人入侵和攻击。如有学生安装WIN DOWS 2003服务器版本，又不懂得设置管理员密码，同一局域网内的其他学生通过扫描工具便能轻松发现并使用隐藏共享方式直接盗取其信息数据。
　　 3端口隔离技术的实现