基于策略VLAN的安全接入控制 - 暖月无痕 - 51CTO技术博客-领先的IT技术博客

基于策略VLAN的安全接入控制2009-05-05 11:20:33
标签：VLAN安全接入控制　　　[推送到技术圈]
引言：
VLAN的概念从有网络交换机时就有，当时VLAN最大的用途是进行广播域的划分和隔离；在传统的网络概念中，VLAN是一组交换机端口的集合，在同一个VLAN中的终端属于同一广播域，终端之间通过MAC地址进行通信。如果想改变终端的VLAN属性，必须对交换机端口进行重新配置。在对网络安全越来越重视的当今网络设计中，VLAN技术成为了对用户终端、应用的最基础的区分和隔离手段；当用户接入网络时即被赋予了相应的VLAN属性，从而保证了与其他用户的有效区分，同时也被赋予了相应资源的存取权限。因此可以说，没有VLAN就没有网络安全；对用户、终端接入网络的第一步安全控制就是让其进入相对应的VLAN；那么，终端以何种方式进入哪一个VLAN就显得非常重；可以说，网络交换设备只有能够很好地解决VLAN问题，并可以有效实施、应用，才有资格谈到网络安全。下文将以Alcatel OmniSwitch为例，以其策略VLAN为基础来进一步分析网络的接入安全控制。本文主要分两个部分，第一部分将对Alcatel的策略VLAN技术进行介绍和描述；第二部分将结合当今网络安全需求给出Alcatel相应的解决方案，使用户能够对Alcatel基于策略VLAN的安全接入技术有更加具体的了解，并帮助现有Alcatel用户更好地利用策略VLAN技术构建更加安全、灵活、易用的网络。
Alcatel的策略VLAN:
如果我们简单作个调查就会发现，90%时以上的网络设计其VLAN的划分依然基于交换机端口来完成；这种传统的VLAN进入方式其局限性和安全隐患是显而易见：
用户终端位置的变更需要网络管理人员对交换机端口进行重新配置
入侵者接入任何一个端口，通过简单的扫描软件将可以获得相应VLAN的所有信息，包括IP子网信息，网关地址，用户IP/MAC信息，甚至用户安全认证信息。
对于访客，如果我们没有专门为其预留端口，其接入将会给我们网络带来安全隐患；如果专门为其预留网络端口，在网络的什么位置预留，预留端口数量也将是困扰网络管理员的重要问题；同时，端口的预留也是对网络资源的一种浪费。
Alcatel策略VLAN打破了这种以固定端口划分VLAN的传统模式，将每一个VLAN赋予一定的策略，用户终端最终进入哪一个VLAN与其接入的交换机端口无直接联系，而与终端
的特性是否与VLAN策略的匹配相关；Alcatel策略VLAN实现了用户终端真正的即插即用，同时为用户、终端提供安全的数据隔离。Alcatel的VLAN策略包括：
IP子网策略
MAC地址策略
IP/IPX协议策略
IP/MAC绑定策略
IP/MAC/PORT绑定策略
用户认证策略
802.1X认证
MAC认证
WEB认证
DHCP策略
如下图所示：
交换机中VLAN10,11,13分别通过不同的策略进行定义
当PC a接入交换机时，交换机将对PC a的MAC, IP,等特性进行自动检测，根据检测的结果将PC a的MAC放入匹配策略的VLAN
VLAN的定义与交换机的端口无关，当PC a移动到另一个端口时，由于PC a本身的
属性并为发生改变，PC a依然自动进入相同的VLAN。
当外来PC接入网络时，由于无法匹配任何VLAN策略，入侵者将无法进入工作（有效）VLAN，被交换机有效地隔离。我们称入侵者目前所在的VLAN为隔离VLAN，重要的是，由于隔离VLAN是一个单独封闭的区域，使得入侵者即使使用网络扫描软件也无法得到位于工作（有效）VLAN用户的任何信息。
总结：
Alcatel 策略VLAN解决了以下两个问题：
用户移动性：用户进入相应VLAN与接入端口无关，真正实现移动接入；
安全接入：对于非法用户，无论从交换机的哪一个端口接入都将被屏蔽在工作（有效）VLAN之外。
下面我们从接入安全的角度来介绍一下常用的各种策略VLAN的适用场合：
IP子网策略：由于我们在网络设计时通常将不同的业务部门划分到不同的VLAN，同时将VLAN对应不同的IP子网；因此，IP子网策略适用于对安全需求不高，对移动性和简易管理需求较高的的网络设计中。通常采用以下一条命令就完成了一个IP子网策略VLAN的设定：vlan 10 ip 192.168.10.0 255.255.255.0；当用户终端的IP地址设为192.168.10.x时，该终端将自动进入VLAN 10.
安全性：进入IP子网VLAN的先决条件是必须知道交换机中定义了哪些IP子网（通过网络扫描是无法得到的，参看上面对隔离VLAN的介绍）
MAC地址策略：MAC地址策略需要我们事先将归属该VLAN的终端MAC地址配置到交换机上（MAC地址可以通过交换机自动学到），只有符合我们预设的MAC地址的终端才可以进入该VLAN。MAC地址VLAN相比IP子网VLAN安全性要高，但配置工作量相对较大；策略适用于对安全和移动性需求较高的网络设计中。MAC地址VLAN通常采用以下命令就完成设定：vlan 11 mac 01:01:01:02:02:02；当用户终端的MAC地址设为01:01:01:02:02:02时，该终端将自动进入VLAN 11.
安全性：进入MAC子网VLAN的先决条件是必须知道交换机中是否定义的MAC VLAN策略，同时需知道至少一个已定义的MAC地址。（通过网络扫描是无法得到的，参看上面对隔离VLAN的介绍）
IP/MAC绑定策略：IP/MAC绑定策略需要我们事先将归属该VLAN的终端IP/MAC配置到交换机上（IP/MAC可以通过交换机自动学到），只有符合我们预设的IP/MAC地址的终端才可以进入该VLAN。IP/MAC绑定地址VLAN相比MAC VLAN安全性更高，适用于对安全和移动性需求非常高且VLAN用户较少的网络设计中。IP/MAC绑定VLAN的另一个作用是禁止符合策略的用户对IP或MAC进行改动，IP/MAC的改动将失去VLAN策略的匹配，该终端从而被放入隔离VLAN。IP/MAC绑定VLAN通常采用以下命令完成设定：vlan 11 binding mac-ip 00:00:39:59:0a:0c 21.0.0.10；当用户终端的IP地址设为21.0.0.10，MAC为00:00:39:59:0a:0c 时，该终端将自动进入VLAN 11.
安全性：进入IP/MAC子网VLAN的先决条件是必须知道交换机中是否定义了IP/MAC VLAN策略，同时需知道至少一个已定义的IP/MAC地址。（通过网络扫描是无法得到的，参看上面对隔离VLAN的介绍）
用户认证策略：用户认证VLAN与上述策略VLAN的最大不同是检测终端使用者的合法性而非终端本身的合法性，更适用于多人共用终端的场合。我们为终端用户提供合法账号，不同的账号对应不同的VLAN或决定交换机端口的开、闭（802.1x），终端进入哪一个VLAN由用户账号决定。由于是对用户的认证，所以该策略的实施必须引入用户认证服务器来完成相应的认证、授权工作，相对增加了网络管理的复杂度。
安全性：进入用户认证VLAN的先决条件是必须获得合法的用户账号（当采用认证服务器回指VLAN属性的方式时，由于用户在认证过程中的通信是在隔离VLAN中完成的，只有认证通过后才会进入工作VLAN；因此，认证的加密就非常有必要）
DHCP策略：DHCP是终端自动获得IP地址的协议，对于访客非常方便。通过对VLAN定义DHCP，使得访客自动获得IP地址并进入相应的访客VLAN。通常采用以下命令完成一个DHCP策略VLAN的设定：vlan 10 dhcp port 3/1-24；当用户终端的IP地址设为自动获得时时，该终端将自动进入VLAN 10并获得相应的IP地址。
安全性：无特殊安全性，便于访客的灵活接入同时与保障企业内网的安全隔离。
Alcatel基于策略VLAN的安全接入解决方案:
对于一个企业，拥有众多的部门，包括工程、销售、财务、领导以及访客等，我们在作网
络规划设计时根据不同部门对网络安全的要求不同，予以不同的VLAN策略，使整个网络在安全、灵活、易用和易管理几个方面达到最大的统一。下面就一个典型案例进行具体分析、设计。
在这个案例中我们将用户按安全级别分为4类：
安全级别高、且端口固定：如财务部
安全级别高、且有移动要求：如领导
安全级别一般、且有移动要求：业务部门，如工程、销售
安全级别低、访问受限制：如访客和临时部门
网络规划设计建议如下图：
这里为了读者易于理解，我们以一个交换机为例，在实际的网络设计中可以是以多台交换机组成的网络，相应的VLAN可以是跨交换机存在，而用户最终进入哪一个VLAN则有用户接入交换机的VLAN策略决定。
首先我们来看对接入安全要求最高的财务部的VLAN策略设计；对于财务部门而言，安全接入是第一需求，我们对接入财务部门的用户、终端的接入方式和地点进行严格控制；这里我们采用了固定端口和802.1x认证相结合的VLAN接入设计。在交换机上指定固定接口分配给财务门，在上图中为1/8-9端口，只有这些端口属于
VLAN12(财务部门VLAN); 从而避免了其他部门人员从其他端口进入财务部门的安全隐患；对于接到财务部门网络接口的用户而言，我们同时采用了802.1x认证对其身份进行认证；这样，即使有用户通过某种手段接到了财务部门的网络接口上，由于无合法的身份账号，其相连网络端口将一直出于关闭状态，从而保障了财务部门接入访问的安全性。
领导VLAN在企业里非常重要，原因在于领导VLAN具有相当高的优先级和访问权限；同时，由于领导本身的特殊性，我们在网络接入安全设计时不但要考虑该VLAN的安全性，还要考虑领导接入的便捷性。在网络VLAN设计中，除了财务部门的接入端口固定分配，其余网络接口全部采用”mobile”设定，这样对于用户接入到除财务部门外的任意端口，交换机都可以根据终端的特性以及交换机预先设定的VLAN策略进行VLAN的分配。对于领导，我们采用ip-mac绑定方式，领导无论从哪一个网络接口接入网络，交换机通过对其ip-mac学习直接将其划分到相应的VLAN中(上图中的VLAN 13)；由于其他用户接入网络时被分配到隔离VLAN中（如果其不匹配任何策略），即使通过扫描技术，其依然无法获得领导的ip-mac；因此；领导VLAN具有高安全性。
策略VLAN技术另外一个贡献就是便捷性，对于销售部、工程部的VLAN设计我们可以采用ip子网方式；不同的部门由于其规定的ip地址不同，根据ip子网策略，自动进入相应的VLAN；如上图中的VLAN10、VLAN11。
由于访客和临时部门的暂时性，我们在VLAN设计中采用了DHCP地址自动分配加ip子网策略；我们在除财务部门外的所有网络接口启用了DHCP策略；当该接口收到DHCP数据请求包时，该数据包将自动被分配到临时VLAN（上图中的VLAN 14），从而获得与之匹配的ip地址；当访客获得相应临时VLAN的ip地址后，通过ip子网策略，访客终端将自动进入临时VLAN。这种设计保障了访客从网络的任意端口都可以上网，同时又和企业内网用户有效隔离。对于临时VLAN，我们通过ACL访问控制策略对其访问资源和应用进行严格限制，如只允许进行internet浏览和mail 的收发。
作为Alcatel CrystalSec网络安全架构的一部分，策略VLAN技术是针对网络接入安全和
便捷设计的第一步，同时也是企业网用户安全接入的基础；在此之上，Alcatel CrystalSec还提出了以下多种方式来保障企业网络的整体网络安全。
Port mapping+local proxy-arp: 针对当前arp欺骗攻击的同一VLAN用户隔离技术
DHCP snooping: 针对动态ip-mac绑定和非法DHCP server 控制
OmniAccess SafeGuard: 基于in line模式的web portal认证、终端完整性检测、数据深度安全检测、过滤
Policy based ACL: 基于全网的ACL设定、分发
AQM(自动隔离管理)：针对网络异常数据的实时自动控制、隔离技术
Sflow: 全网数据的自动采集、告警和分析
具体技术细节详见更多 Alcatel-lucent网络技术白皮书。