基于三层交换机做防火墙的校园网配置

基于三层交换机做防火墙的校园网配置
江玉俭
（大连广播电视大学旅顺分校辽宁大连１１６０４１）
摘要：关键词：中图分类号：ＴＰ３文献标识码：Ａ文章编号：１６７１－７５９７（２０１２）０５１０１４７－０１
三层交换机技术是近年来新兴的路由技术，将在今后主宰局域网已成为不争的事实。

阐述我校校园网拓扑结构中，使用三层交
换机充当防火墙仅用来保护隔离区（ＤＭＺ）中的服务器群，以免受到来自Ｉｎｔｅｒｎｅｔ和校园内网的攻击。

三层交换机；防火墙；控制列表
随着我国企业网、校园网以及宽带建设的迅速发展，网络安全问题日益突显。

防火墙通过它对数据包进行过滤，保护着网络的安全。

大型网络必须使用防火墙，但千兆专业防火墙价格昂贵，基于建设成本考虑，我校校园网采用交换机来充当防火墙，通过配置三层交换机的访问控制列表来达到防火墙的功能。

局域网发展到了千兆以太网，而网络结构却仍使用共享局域网，网络速度受到很大的制约，近年来采用的交换局域网则是以链路层帧为数据交换单位，允许多个结点同时进行通信，每个结点可以独占传输通道和带宽，很好地解决了第一层和第二层的速度问题。

从而解决了共享型以太网的制约速度问题。

但以往的路由器技术并没有随着信息传输量的增大而提高，再也不能满足对高速度的需求，由此便产生了三层交换技术的概念。

什么是三层交换技术呢？要理解这个技术必须从认识ＯＳＩ（开放系统互联模型）开始。

ＯＳＩ即开放系统互联模型，把网络系统从低到高分成七层：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。

这里我们只需要介绍底三层。

物理层：物理层规范是有关传输介质的特性标准，是进行数据传输的基础，由硬件构成。

调制解调器和集线器都属于物理层的网络设备。

数据链路层：数据链路层定义了在单个链路上如何传输数据，提供的数据连路控制和差错校验功能，将不可靠的物理链路变成可靠的数据链路。

以往的交换机是数据链路层的网络设，它只能连接同一个子网的微机，如果ＩＰ地址不在同一个子网中则只依靠交换机不能实现通信，还需要第三层中的路由器。

网络层：网络层对端到端的包传输进行定义，定义了能够标识所有结点的逻辑地址及路由实现的方式和学习的方式。

网络层在ＯＳＩ模型中起到了承上启下的作用，负责子网之间的通信，从一个子网发出数据包要到达另一个子网中的计算机结点就要通过路由器计算机出传输的路径。

三层交换技术的“三层”就是指的第三层网络层，是相对于二层交换技术而言的。

三层交换机处于第三层，是用于子网之间连接和通信的，具有路由功能，它实现数据包的告诉转发。

可以这样说三层交换技术即是二层交换技术加三层路由功——三层交换机具有交换机的性能和路由器的功能。

三层交换机适用范围：二层交换机大多用于小型的局域网中，它的便宜的价格以及快速交换的功能和多个接入端口为小型局域网提高速度提供了最有效的解决方案。

在类似校园网等大型局域网核心骨干网中，如果不使用三层交换机，那么所有的计算机都会在一个子网中，一旦形成广播风暴就会使整个网
络陷于瘫痪，而且安全性也没有保障。

三层交换机则是通过使用硬件交换机实现了路由功能，最新的路由软件提高了路由过程的效率，解决传统路由器软件的速度问题。

１三层交换机概述
２使用交换机做防火墙的优缺点
对于大型的网络来说，使用专业的防火墙是必须的，最好是千兆的。

对于中、小型网络如：我校的校园网来说可通过配置路由器或三层交换机的访问控制列表来达到防火墙的功能。

三层交换机做防火墙的最大优点就是包过滤速度很快，这是因为三层交换机转发数据包是基于硬件的原因。

三层交换机处于网络的第三层网络层，因为是核心层因此最容易遭受黑客的攻击。

在软件方面，那些防火墙可以通过高可靠性的配置阻止来路不明的数据包输入，并且还可以控制访问列表，通过对访问列表的配置限制内部用户访问一些不可靠的网络地址，也可以防止校外的非法访问者访问校园的内部网络。

三层交换机具有可扩展性，当需要增加校园的网络设备时，由于三层交换机具有各种扩展接口，不需要对原来网络的已有设备进行改动的情况下可直接扩充增加新设备，使得学校的投资不会有太多的损失。

而这个交换机的一个缺点则是访问控制列表（ＡＣＬ）只支持包过滤功能，缺少防火墙的其他策略，如防止ＤＤｏＳ攻击、碎片攻击、ＮＡＴ等功能；另一个缺点是调整修改过滤策略不如专业防火墙方便，管理人员必须掌握交换机的访问控制列表配置知识。

要配置防火墙还得明白经过防火墙的数据包的流动过程。

以来自因特网的主机访问ＤＭＺ区的ＷＷＷ服务器为例，若规则的配置采取默认禁止，允许访问的服务已在规则中列出。

首先，Ｉｎｔｅｒ主机发起的访问请求数据包流入防火墙，目的ＩＰ地址为要访问的服务器，目的端口为ＴＣＰ８０，源地址为本地ＩＰ地址，源端口使用当前未使用的较低端的端口，来自因特网的访问请求都从ＷＡＮ口流入，要在流入方向应用访问控制列表，允许其对端口为ＴＣＰ８０的服务器进行访问。

经防火墙路由的过滤后，从ＤＭＺ口流出到达目标服务器。

服务器收到请求，回应数据包从防火墙的ＤＭＺ口流入。

在ＤＭＺ口的Ｉｎ方向应用的访问控制列表中添加允许响应包通过的规则。

再经防火墙的路由选择，从ＷＡＮ口流出，到过发起访问请求的主机。

如图１是一个典型的防火墙连接图，用三层交换机防火墙把以下三个区域连接起来，第一区域来自广域网的Ｉｎｔｅｒｎｅｔ部分，连接到防火墙的ＷＡＮ口；第二区域来自内部局域网的ＬＡＮ部分，连接到防火墙的ＬＡＮ口；第三区域来自服务器所在的ＤＭＺ部分，连接到防火墙的ＤＭＺ口。

３防火墙的数据包流动过程
４
三层交换机防火墙的连接和配置
（下转第１７３页）
图３植株的主要结构图４树干图分析假设如下：
１）阳光以照射苹果树；
２）同一高度的树冠横截面上的所有叶片的生长函数相同；
３）叶片的重叠面积最小，即光合利用率最优；
４）只考虑树的主干和第一级主干上的叶片如图５所示。

于是，可根据实际做如下近似处理：
根据假设，叶片之间基本没有重叠，将第一级主干上的叶片Ａ影射到树冠上，即为Ｏ点；所有叶片采取相同处理方法。

因此，树冠被分割成段。

于是，可以得到如下的模型：
１）将树冠进行分割，根据文献［４］利用ＣＩ－３１０光合作用仪测定分割的每个段点的光照强度；
２）根据已测得数据，拟合出树冠高度与光照强度的关系式；
３）叶片位置发生变化，根据文献［４］，光照强度发生变化。

由ＴＡＳＫ１研究结果知，光照强度发生变化会引起叶片形状的变化。

该模型中，仍然假设叶片的重叠面积最小，即光合利用率最优。

针对前文提出的假设对其模糊化处理：
１）阳光以任意的角度照射苹果树时，同一高度的横截面出现向阳面和背阳面。

２）考虑树干上所有枝干级上的叶片，对于同一高度的横截面，离树干中心点距离不同，接收的光照强度也不同。

对模型进行求解，结果如下：
将树冠进行分割，在某一树冠层次上，根据文献［４］利用ＣＩ－３１０光合作用仪分别三维空间中点的光照强度。

根据已测得数据，拟合出树冠高度，东西方向距树干的距离与光照强度的关系式。

根据文献［４］中的数据，本文根据近似处理得到如下数据：
表３为东西向距树干的距离Ｘ、树冠高度Ｙ、光照强度Ｚ关系
利用ｍａｔｌａｂ画出树冠高度，东西方向距树干的距离与光照强度三维曲线图：
图５三维图图６光照强度的三维分布
图６给出了光照强度与树冠层次的高度、东西方向离树干的距离的关系，根据ＴＡＳＫ１的研究结果：光照强度大小影响叶片形状的变化。

因此，树的外观形状和整体三维空间分布会影响叶片的形状。

更进一步考虑实际情况，叶片随着时间、外界环境的变化产生一定的空间角，形状发生弯曲。

生物环境的研究是一个又有趣的方向，这可以放过来很好认识人类自身的生存环境情况。

发展进一步寻找大自然美丽的风景，就会更好的用于人类社会发展的本身。

２．２３Ｄ模型
Ｈｄ
Ｄ
３结束语
参考文献：
［１］魏明，树叶形状为何那么多［Ｊ］．大自然探索，２０１１，０４：３４－４１．
［２］ｈｔｔｐ：／／ｂａｉｋｅ．ｂａｉｄｕ．ｃｏｍ／ｖｉｅｗ／８６６９５４．ｈｔｍ，２０１２．２．１３．
［３］王科、张淑华，叶序与叶镶嵌［Ｊ］．生物学通报，１９８７，４：７１．
［４］张显川、高照全、舒先迂、魏钦平，苹果开心树冠不同部位光合
与蒸腾能力的研究［Ｊ］．园艺学报，２００５，３２（６）：９７５－９７９．
图１三层交换机防火墙连接图
三层交换机的Ｆａｌ／ｏ／１端口用做防火墙的ＷＡＮ接口连接广域网，Ｆａｌ／ｏ／２端口用做防火墙的ＬＡＮ接口连接内部局域网，Ｆａｌ／ｏ／３端口用做防火墙的ＤＭＺ接口连接ＤＭＺ服务器群。

三层交换机做防火墙的配置步骤：
第一步：配置ＬＡＮ、ＷＡＮ和ＤＭＺ三个接口的ＩＰ地址；
第二步：定义应用分别到ＬＡＮ口、ＷＡＮ口和ＤＭＺ口的访问控制列表，然后将这些访问控制列表分别应用到三个接口；
第三步：配置防火墙的路由。

配置防火墙ＡＣＬ规则，可以实现已设置的允许访问的服务，对未设置的服务一律禁止访问。

防火墙配置完成后，由于服务器的增加、变动以及所提供的服务变动等原因，会造成原有的ＡＣＬ规则配置必须变更，此时就需要对原有的ＡＣＬ配置进行增加、修改或删除等操作。

参考文献：
［１］李毅志、徐永刚、代剑，浅谈三层交换机在医院局域网中的应用，医学信息，２００６．１１．０５．
［２］梁磊等主编，《ＴＣＰ／ＩＰ网络技术》．。