千兆以太网技术作为当前的主流局域网技术 ， 已经得到广泛应用 。千兆以太网对QoS的保证来源于两个方面:一是标准和协议的制定 ， 如IEEE802.1Q/P、RSVP等；二是第三层交换技术的应用 。在QoS的实现策略方面 ， 千兆以太网与ATM一样 ， 也分为4种 ， 即业务分类、排队机制、带宽治理和拥塞控制 。在LAN交换技术中 ， 虚拟局域网（VLAN／L3交换）是一种迅速发展的技术 。VLAN／L3交换技术的引入给网络设计、治理和维护带来某些根本性的改变 ， 使得计算机设备的互联和治理不再受地理环境和位置的制约；使网络结构变得灵活、方便、随心所欲 。随着VLAN / L3技术的广泛应用 ， 技术人员提出了新的要求: 是否可以基于LAN环境提供某些服务质量（QoS）特性 ， 以实现对VLAN用户流量控制方面的治理呢？ 针对不同网络设备生产厂家的不同产品 ， 具体可以实现的QoS特性会有较大区别 。以3Com公司的企业级千兆交换机Switch4007为例 ， 简单讨论基于该型千兆交换机的QoS特性来增强VLAN安全性的实现方法 。制定VLAN之间的访问控制策略 一个典型的校园网环境 ， 一般可以根据不同的业务部门来划分VLAN 。我们把所有的外来人员、流动用户或是学生 ， 划到一个独立的VLAN9 。出于保护内部网络安全的考虑 ， 我们要限制VLAN9用户对校园网内部其他VLAN的访问 ， 同时答应VLAN9用户向外的合法访问 。基于此 ， 我们制定了如下过滤规则： ● 答应VLAN9用户访问DHCP服务器； ● 答应VLAN9用户访问FireWall服务器； ● 答应VLAN9用户访问校园网内部的一些应用服务器 ， 如VOD视频点播服务器； ● 不答应VLAN9用户访问其他VLAN用户； ● 答应VLAN9用户访问Internet 。访问控制策略在3Com 4007上的实现 （1）创建classfier Classfier用于实现源网络／源端口到目的网络／目的端口的流量定义 。在本文中 ， 不答应9网段访问其他网段 ， 只能上网 ， 定义规则如表1所示 。具体实现步骤可以参考有关技术手册 。基本思路是实现VLAN9→VLAN1、VLAN1→VLAN9、VLAN9→ VLAN2、VLAN2→VLAN9的流量定义 ， 假如网络中存在其他VLAN ， 可以用相同方法实现 。完成了对所有VLAN的流量定义后 ， 就定义完了Classfier 9-to-otherlan ， 序号为99 。在创建classfier的过程中 ， 序号非常重要 ， 它决定了控制策略执行的顺序 。其他Classfier的定义方法可以参见9-to-otherlan的定义步骤 。（2）创建Control实现对Classfier的控制 创建Control来控制各个Classfier ， 包括答应、拒绝、速率等级等 ， 最重要的是答应／拒绝操作 。Control的序列号有顺序要求 ， 先执行低级别的Control 。其定义规则如表2所示 。具体实现步骤可以参考有关技术手册 。基本思路是首先完成对Control 15到 Internet及Control 14到otherlan的定义 ， 其他Control的定义方法可以参考上述步骤完成 。【如何增强VLAN的安全性】在3Com 4007上完成了设计的过滤规则后 ， 还需要在实际的网络环境中做必要的测试 ， 以保证所做的设置是成功的、有效的 。
推荐阅读
- 如何用小成本创业
- 虎皮兰如何浇水
- 如何用手机查看wifi网速
- 如何在腾讯地图显示店铺
- 华为手机如何显示全部应用
- 关于VLAN中DHCP域的问题
- 如何与旅行社谈景区合作
- VLAN中的VTP和STP-ISL
- 如何在路由器上做NAT
- 1 如何在交换机上配置VLAN