企業(yè)局域網(wǎng)必須開(kāi)啟的基本安全交換功能

閑暇之余，想了想什么樣的技術(shù)在局域網(wǎng)中，會(huì)被經(jīng)常使用，或者說(shuō)局域網(wǎng)應(yīng)該使用什么技術(shù)來(lái)保證自己的穩(wěn)定，就有了下邊的清單。

數(shù)據(jù) vlan

語(yǔ)音 vlan

GVRP（VLAN 動(dòng)態(tài)注冊(cè)協(xié)議，保證所有交換機(jī) VLAN 信息的統(tǒng)一性）

STP

防止環(huán)路冗余

配置 STP的工作模式為 MSTP,不同 vlan 映射不同或者相同的生成樹(shù)實(shí)例（單核心一般為一個(gè)實(shí)例，多核心建議多個(gè)實(shí)例）

為生成樹(shù)實(shí)例配置根橋或者修改優(yōu)先級(jí)，達(dá)到指定根橋的目的

配置 BPDU 保護(hù)（防止針對(duì) stp 的×××，導(dǎo)致網(wǎng)絡(luò)震蕩，配置于接入交換機(jī)上）

配置環(huán)路保護(hù)功能（防止網(wǎng)絡(luò)擁塞導(dǎo)致環(huán)路，配置于設(shè)備間的互聯(lián)接口）

DHCP

動(dòng)態(tài)分配 IP 地址

DHCP Snoopping（防止非法 DHCP 服務(wù)器）

ARP  detection（防止 ARP 欺騙）

基于 DHCP Snooping（附加效果---禁止配置固定 IP 地址）

定時(shí)發(fā)送免費(fèi)ARP（網(wǎng)關(guān)設(shè)備配置、增加 ARP 的健壯性）

配置 ARP 的老化時(shí)間（默認(rèn)20分鐘）

對(duì)于固定 IP 需要配置基于規(guī)則的 IP-mac 檢查

MAC 地址配置

限制每個(gè)端口可以學(xué)到的 MAC 地址數(shù)量（防止 MAC 泛洪，普通端口建議限制在5個(gè)以內(nèi)）

限制 MAC 地址的老化時(shí)間

QOS 配置

對(duì)關(guān)鍵數(shù)據(jù)流做 SP 隊(duì)列+wrr

QOS 一般是在數(shù)據(jù)流量大的接口上配置

SYN Cookie

SYN Cookie 功能用來(lái)防止SYN Flood ×××。當(dāng)服務(wù)器收到TCP 連接請(qǐng)求時(shí)，不建立TCP 半連接，

而直接向發(fā)起者回復(fù)SYN ACK 報(bào)文。服務(wù)器接收到發(fā)起者回應(yīng)的ACK 報(bào)文后，才建立連接，并進(jìn)

入ESTABLISHED 狀態(tài)。通過(guò)這種方式，可以避免在服務(wù)器上建立大量的TCP 半連接，防止服務(wù)

器受到SYN Flood ×××。

SSH2.0

安全管理