IDS的交换机局限问题的分析与对策（2）
添加时间: 2008-2-23 16:05:05 作者: Cisco指导 阅读次数:9 来源: http://www.d9soft.com
2．问题之二：虚拟局域网（vlan）
一个基本的交换机只能支持一个逻辑子网，为了使交换机更加灵活，发明了虚拟局域网技术（virtual local area network, 简称vlan），这允许交换机配置成两个网段，看上去像两个交换机。
如果交换机的被监听端口与span端口在不同vlan上，是不能做端口镜像的。因此，如果需要监听各个vlan的数据，就必须在各个vlan上开一个镜像端口。造成端口资源的浪费。
3．应用环境分析：
1．在电信的 网络 环境中，数据量一般比较大，如果采用交换机的镜像方法，必然会使交换机丢包。在千兆环境下更是如此。
2．在一般的网络中，有的较低端交换机不支持端口镜像，有的交换机对端口镜像功能支持的较弱（例如只能镜像一个网口， cisco 的交换机较好一些，镜像的越多，交换机数据包丢失越厉害），这时ids就需要使用tap或者在某个网口上串接一个集线器。
3．在某些千兆骨干网上，交换机的千兆端口是相对稀缺的资源。
4．划分vlan的情况，在一些大一点的 企业 比比皆是，如果使用端口镜像，必然会使企业端口不够用，从而修改原先的网络配置，而这种情况是很多的。
三、问题的对策
当前的选择是串联一个集线器或者接入tap分流器。
1．共享式集线器
在需要监听的网线中连接一个共享式hub，从而实现监听的功能。对于小公司而言，在公司与internet之间放置一个nids，是一个相对廉价并且比较容易实现的方案。
使用集线器和tap是比较相近的方案，集线器和tap放置在被监控的连接之间，这通常是在两个交换机之间、交换机和路由器之间、服务器和交换机之间等。在图２中，集线器放置在资源主机和交换机之间。这允许集线器在将数据复制到ids时，依然能够保障交换机和资源主机之间的数据流动。这种方法就像仅适合一台机器的span端口，多台机器接在集线器上会引起网络错误，并消除了交换的好处。而且集线器的容错性不好。
由于共享媒介的局限，如果交换机和路由器是全双工的连接，将导致主机的网络连接由全双工变为半双工，数据碰撞会降低系统的吞吐量。
由于共享媒介的局限，如果nids发送的数据通过此hub的话，更增加冲突的可能。
而且低档的集线器导致故障的可能性也很高。
上一篇文章: IDS的交换机局限问题的分析与对策 下一篇文章: 资料分享——CCNP-CIT中文笔记
相关文章: