| |
在使用這種加密手段的時(shí)候，唯一需要注意的就是如何設(shè)置IPSec策略。也就是說(shuō)，什么時(shí)候采用強(qiáng)制加密，說(shuō)明時(shí)候采用可有可無(wú)的。若使用強(qiáng)制加密的情況下，一定要保證通信的雙方都支持IPSec技術(shù)，否則的話，就可能會(huì)導(dǎo)致通信的不成功。最懶的方法，就是不管三七二十一，給企業(yè)內(nèi)的所有電腦都配置IPSec策略。雖然，都會(huì)在增加一定的帶寬，給網(wǎng)絡(luò)帶來(lái)一定的壓力，但是，基本上，這不會(huì)對(duì)用戶(hù)產(chǎn)生多大的直接影響�；蛘哒f(shuō)，他們不能夠直觀的感受到由于采用了IPSec技術(shù)而造成的網(wǎng)絡(luò)性能減慢。
2、利用路由器等網(wǎng)絡(luò)設(shè)備對(duì)網(wǎng)絡(luò)進(jìn)行物理分段
我們從上面的以太網(wǎng)工作原理的分析中可以知道，如果銷(xiāo)售部門(mén)的某位銷(xiāo)售員工發(fā)送給銷(xiāo)售經(jīng)理的一份文件，會(huì)在公司整個(gè)網(wǎng)絡(luò)內(nèi)進(jìn)行傳送。我們?nèi)裟軌蛟O(shè)計(jì)一種方案，可以讓銷(xiāo)售員工的文件直接給銷(xiāo)售經(jīng)理，或者至少只在銷(xiāo)售部門(mén)內(nèi)部的員工可以收的到的話，那么，就可以很大程度的降低由于網(wǎng)絡(luò)監(jiān)聽(tīng)所導(dǎo)致的網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)。
如我們可以利用路由器來(lái)分離廣播域。若我們銷(xiāo)售部門(mén)跟其他部門(mén)之間不是利用共享式集線器或者普通交換機(jī)進(jìn)行連接，而是利用路由器進(jìn)行連接的話，就可以起到很好的防范局域網(wǎng)監(jiān)聽(tīng)的問(wèn)題。如此時(shí)，當(dāng)銷(xiāo)售員A發(fā)信息給銷(xiāo)售經(jīng)理B的時(shí)候，若不采用路由器進(jìn)行分割，則這份郵件會(huì)分成若干的數(shù)據(jù)包在企業(yè)整個(gè)局域網(wǎng)內(nèi)部進(jìn)行傳送。相反，若我們利用路由器來(lái)連接銷(xiāo)售部門(mén)跟其他部門(mén)的網(wǎng)絡(luò)，則數(shù)據(jù)包傳送到路由器之后，路由器會(huì)檢查數(shù)據(jù)包的目的IP地址，然后根據(jù)這個(gè)IP地址來(lái)進(jìn)行轉(zhuǎn)發(fā)。此時(shí)，就只有對(duì)應(yīng)的IP地址網(wǎng)絡(luò)可以收到這個(gè)數(shù)據(jù)包，而其他不相關(guān)的路由器接口就不會(huì)收到這個(gè)數(shù)據(jù)包。很明顯，利用路由器進(jìn)行數(shù)據(jù)報(bào)的預(yù)處理，就可以有效的減少數(shù)據(jù)包在企業(yè)網(wǎng)絡(luò)中傳播的范圍，讓數(shù)據(jù)包能夠在最小的范圍內(nèi)傳播。
不過(guò)，這個(gè)利用路由器來(lái)分段的話，有一個(gè)不好地地方，就是在一個(gè)小范圍內(nèi)仍然可能會(huì)造成網(wǎng)絡(luò)監(jiān)聽(tīng)的情況。如在銷(xiāo)售部門(mén)這個(gè)網(wǎng)絡(luò)內(nèi)，若有一臺(tái)主機(jī)被設(shè)置為網(wǎng)絡(luò)監(jiān)聽(tīng)，則其雖然不能夠監(jiān)聽(tīng)到銷(xiāo)售部門(mén)以外的網(wǎng)絡(luò)，但是，對(duì)于銷(xiāo)售部門(mén)內(nèi)部的主機(jī)所發(fā)送的數(shù)據(jù)包，仍然可以進(jìn)行監(jiān)聽(tīng)。如財(cái)務(wù)經(jīng)理發(fā)送一份客戶(hù)的應(yīng)收帳款余額表給銷(xiāo)售經(jīng)理的話，有路由器轉(zhuǎn)發(fā)到銷(xiāo)售部門(mén)的網(wǎng)絡(luò)后，這個(gè)數(shù)據(jù)包仍然會(huì)到達(dá)銷(xiāo)售部門(mén)網(wǎng)絡(luò)內(nèi)的任一主機(jī)。如此的話，只要銷(xiāo)售網(wǎng)絡(luò)中有一臺(tái)網(wǎng)絡(luò)主機(jī)被設(shè)置為監(jiān)聽(tīng)，就仍然可以竊聽(tīng)到其所需要的信息。不過(guò)若財(cái)務(wù)經(jīng)理發(fā)送這份文件給總經(jīng)理，由于總經(jīng)理的網(wǎng)段不在銷(xiāo)售部門(mén)的網(wǎng)段，所以數(shù)據(jù)包不會(huì)傳送給財(cái)務(wù)部門(mén)所在的網(wǎng)絡(luò)段，則銷(xiāo)售部門(mén)中的偵聽(tīng)主機(jī)就不能夠偵聽(tīng)到這些信息了。
另外，采用路由器進(jìn)行網(wǎng)絡(luò)分段外，還有一個(gè)好的副作用，就是可以減輕網(wǎng)絡(luò)帶寬的壓力。若數(shù)據(jù)包在這個(gè)網(wǎng)絡(luò)內(nèi)進(jìn)行傳播的話，會(huì)給網(wǎng)絡(luò)帶來(lái)比較大的壓力。相反，通過(guò)路由器進(jìn)行網(wǎng)絡(luò)分段，從而把數(shù)據(jù)包控制在一個(gè)比較小的范圍之內(nèi)，那么顯然可以節(jié)省網(wǎng)絡(luò)帶寬，提高網(wǎng)絡(luò)的性能。特別是企業(yè)在遇到DDOS等類(lèi)似攻擊的時(shí)候，可以減少其危害性。
3、利用虛擬局域網(wǎng)實(shí)現(xiàn)網(wǎng)絡(luò)分段
我們不僅可以利用路由器這種網(wǎng)絡(luò)硬件來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)分段。但是，這畢竟需要企業(yè)購(gòu)買(mǎi)路由器設(shè)備。其實(shí)，我們也可以利用一些交換機(jī)實(shí)現(xiàn)網(wǎng)絡(luò)分段的功能。如有些交換機(jī)支持虛擬局域網(wǎng)技術(shù)，就可以利用它來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)分段，減少網(wǎng)絡(luò)偵聽(tīng)的可能性。
虛擬局域網(wǎng)的分段作用跟路由器類(lèi)似，可以把企業(yè)的局域網(wǎng)分割成一個(gè)個(gè)的小段，讓數(shù)據(jù)包在小段內(nèi)傳輸，將以太網(wǎng)通信變?yōu)辄c(diǎn)到點(diǎn)的通信，從而可以防止大部分網(wǎng)絡(luò)監(jiān)聽(tīng)的入侵。
不過(guò)，這畢竟還是通過(guò)網(wǎng)絡(luò)分段來(lái)防止網(wǎng)絡(luò)監(jiān)聽(tīng)，所以，其也有上面所說(shuō)的利用路由器來(lái)實(shí)現(xiàn)這個(gè)需求的缺點(diǎn)，就是只能夠減少網(wǎng)絡(luò)監(jiān)聽(tīng)入侵的幾率。在某個(gè)網(wǎng)段內(nèi)，仍然不能夠有效避免網(wǎng)絡(luò)監(jiān)聽(tīng)。
所以，筆者還是推薦采用加密技術(shù)來(lái)防止網(wǎng)絡(luò)監(jiān)聽(tīng)給企業(yè)所帶來(lái)的危害，特別似乎防止用戶(hù)名、密碼等關(guān)鍵信息被竊聽(tīng)。 本新聞共 3頁(yè),當(dāng)前在第 2頁(yè) 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
