巧妙隔離交換機的端口 拒絕病毒傳播
Internet網(wǎng)絡上既有藍天白云，也有潛流暗壑，稍微不注意的話，各式各樣的網(wǎng)絡病毒可能就會“不請自來”。而局域網(wǎng)網(wǎng)絡中一旦遭遇了網(wǎng)絡病毒的襲擊，輕則上網(wǎng)速度不正常，嚴重時整個網(wǎng)絡都能發(fā)生崩潰現(xiàn)象。要想保證局域網(wǎng)網(wǎng)絡始終能夠穩(wěn)定運行，我們必須想法設法拒絕網(wǎng)絡病毒在局域網(wǎng)中進行大面積傳播;這不，筆者曾經(jīng)遭遇過一則局域網(wǎng)不能上網(wǎng)故障，經(jīng)過不懈追查之后，竟然發(fā)現(xiàn)是由幾個來歷不明的網(wǎng)絡病毒修改網(wǎng)關地址引起的，現(xiàn)在就把該故障的詳細解決方案貢獻出來，供各位朋友借鑒、交流!
故障現(xiàn)象
單位局域網(wǎng)采用MyPower S3026G型號的普通樓層交換機，將位于大樓一、二、三層中的所有計算機全部連接起來，這些樓層交換機全部連接到單位的核心交換機中，核心交換機又通過天融信硬件防火墻與Internet網(wǎng)絡進行了連接。由于單位交換機都支持即插即用功能，網(wǎng)絡管理員對它們沒有進行任何配置，就直接連接到局域網(wǎng)網(wǎng)絡中;在這種連接狀態(tài)下，局域網(wǎng)中所有樓層的計算機相互之間都能訪問，這樣一來單位同事們經(jīng)常利用局域網(wǎng)網(wǎng)絡進行共享交流。
剛開始的時候，局域網(wǎng)運行一直很穩(wěn)定;最近不知道由于什么緣故，單位所有計算機都不能通過局域網(wǎng)進行共享訪問Internet網(wǎng)絡了，不過相互之間它們卻能夠正常訪問。
分析解決
對于這種故障現(xiàn)象，筆者想當然地認為問題肯定出在硬件防火墻或核心交換機上，而與普通計算機的上網(wǎng)設置以及網(wǎng)絡線纜連通性沒有任何關系;不過，當筆者斷開所有樓層交換機以及單位的服務器或重要工作站，僅讓一臺工作狀態(tài)正常的筆記本電腦與核心交換機保持連接時，該筆記本電腦卻能夠正常訪問Internet網(wǎng)絡，顯然核心交換機與硬件防火墻的工作狀態(tài)也是正常的。那問題究竟出現(xiàn)在什么地方呢?
考慮到局域網(wǎng)中的所有計算機都不能上網(wǎng)，筆者估計可能出現(xiàn)了網(wǎng)絡環(huán)路，或者存在類似ARP這樣的網(wǎng)絡病毒，只有這些因素才能造成整個局域網(wǎng)大面積不能正常上網(wǎng)。由于網(wǎng)絡環(huán)路故障排查起來相對復雜一些，筆者打算先從網(wǎng)絡病毒因素開始查起;想到做到，筆者立即與其他幾個單位員工分頭行動，使用***版本的殺毒軟件依次對每一臺普通工作站進行病毒查殺操作;經(jīng)過一番持久戰(zhàn)，潛藏在局域網(wǎng)中的許多病毒的確被我們消滅干凈了。原本以為解決了網(wǎng)絡病毒，局域網(wǎng)不能上網(wǎng)的故障現(xiàn)象也應該自動消除了，可是重新將所有計算機接入到單位局域網(wǎng)中后，發(fā)現(xiàn)上述故障現(xiàn)象依然存在，難道這樣的故障現(xiàn)象真的與網(wǎng)絡病毒沒有任何關系?
之后，筆者打算檢查局域網(wǎng)中是否存在網(wǎng)絡環(huán)路現(xiàn)象。經(jīng)過仔細分析，筆者認為要是某個交換端口下面的子網(wǎng)絡存在網(wǎng)絡環(huán)路現(xiàn)象時，那么對應交換端口的輸入、輸出流量都應該很大才對;基于這樣的認識，筆者立即進入單位局域網(wǎng)的核心交換機后臺管理系統(tǒng)，利用該系統(tǒng)自帶的診斷功能，對每一個交換端口進行了掃描檢查，從反饋回來的結(jié)果中筆者發(fā)現(xiàn)每一個交換端口的輸入、輸出流量正常，這說明網(wǎng)絡環(huán)路現(xiàn)象也不存在。
在萬般無奈之下，筆者任意找了一臺故障計算機，利用系統(tǒng)自帶的ping、tracert等命令，對局域網(wǎng)網(wǎng)關地址進行了跟蹤測試，結(jié)果發(fā)現(xiàn)系統(tǒng)竟然會去尋找一個并不存在的網(wǎng)關地址，顯然計算機系統(tǒng)中存在網(wǎng)絡病毒，那么為什么殺毒軟件沒有將這些病毒掃描出來呢?經(jīng)過上網(wǎng)搜索，筆者得知網(wǎng)絡存在一種特殊的網(wǎng)絡病毒，它們專門修改局域網(wǎng)的網(wǎng)關地址，造成計算機無法上網(wǎng)，并且這種網(wǎng)絡病毒可以躲避殺毒軟件的“圍剿”，這也是我們使用殺毒軟件沒有找到該網(wǎng)絡病毒的原因。后來，筆者按照網(wǎng)上提供的方案將該網(wǎng)絡病毒清除后，故障計算機果然能夠正常上網(wǎng)了;按照相同的處理方法，其他計算機無法上網(wǎng)故障一一被解決了。
深入應對
雖然上述故障已經(jīng)被解決了，但是該局域網(wǎng)無法阻止網(wǎng)絡病毒大面積傳播的事實，警醒了筆者和同事;為了提升網(wǎng)絡運行安全性，確保網(wǎng)絡運行穩(wěn)定性，筆者決定對單位局域網(wǎng)組網(wǎng)方式進行適當調(diào)整，以便讓每個樓層的交換端口相互隔離，從而拒絕網(wǎng)絡病毒在局域網(wǎng)中的快速傳播。
由于MyPower S3026G型號的交換機共包含26個交換端口，筆者打算使用每個樓層交換機的25、26兩個端口，級聯(lián)到單位局域網(wǎng)的核心交換機上，其他的交換端口全部設置為隔離端口，單位中的所有普通計算機全部連接到隔離端口上，那樣一來局域網(wǎng)中的所有普通計算機之間就只能通過核心交換機訪問Internet網(wǎng)絡，它們相互之間就不能進行訪問了，這樣可以保證網(wǎng)絡病毒無法大面積傳播了。考慮到單位局域網(wǎng)中還有一些服務器和重要工作站，為了讓普通用戶能訪問到它們，筆者決定將核心交換機的1、2、3、4、5、6端口設置為共享端口，這些端口連接單位服務器或重要工作站，25、26兩個端口作為上行連接端口，用于連接局域網(wǎng)中的硬件防火墻，其他交換端口設置為隔離端口，全部用來連接普通的樓層交換機或者普通計算機。
基于這樣的思路，筆者使用百兆雙絞線將位于大樓一、二、三層中的樓層交換機上行端口，全部連接到核心交換機的7-24端口上，將核心交換機的上行端口連接到天融信硬件防火墻的接口上，將單位中的重要工作站和各種服務器連接到核心交換機的1、2、3、4、5、6端口上，以便讓所有普通的計算機都能共享訪問到，所有計算機都位于同一個網(wǎng)段之中。
在完成上面的物理連接之后，筆者使用MyPower S3026G交換機自帶的控制線纜連接到核心交換機后臺管理系統(tǒng)，同時進入該系統(tǒng)的全局配置狀態(tài)，在該狀態(tài)下執(zhí)行字符串命令“isolate-port allowed ethernet 0/0/1-6;25;26”，將核心交換機的1、2、3、4、5、6端口設置為共享端口，將25、26兩個端口作為上行連接端口;接著切換進入指定網(wǎng)段，例如假設執(zhí)行“vlan 10”字符串命令，將交換機切換到vlan 10網(wǎng)段配置狀態(tài)，再執(zhí)行字符串命令“switchport interface ethernet 0/0/1-26”，將核心交換機的其他交換端口配置成隔離端口，之后依次執(zhí)行“exit”、“write”命令，完成上述配置的保存操作，***使用“reload”命令完成上述配置的重新加載工作，那樣一來核心交換機的各項配置就能正式生效了。
按照同樣的操作方法，在普通樓層交換機的全局配置狀態(tài)下，執(zhí)行“isolate-port allowed ethernet 0/0/25;26”字符串命令，將樓層交換機的25、26兩個端口設置為上行端口，執(zhí)行“switchport interface ethernet 0/0/1-26”字符串命令，將其他端口全部設置為隔離端口，***再加載、保存好上述交換配置。
經(jīng)過上述重新連接以及交換配置操作后，局域網(wǎng)中的所有普通用戶只能通過局域網(wǎng)訪問Interent網(wǎng)絡，同時也能夠訪問局域網(wǎng)中的服務器或重要工作站，但是不能訪問其他普通計算機，而局域網(wǎng)中的服務器或重要工作站卻能夠訪問所有普通計算機，如此一來日后普通計算機中即便存在網(wǎng)絡病毒，也不會通過網(wǎng)絡發(fā)生大面積的病毒傳播，那么局域網(wǎng)網(wǎng)絡的運行安全性就能得到保證了，同時網(wǎng)絡訪問更加暢通了。
【編輯推薦】
