軟考網(wǎng)絡(luò)管理員：獨立VLANs：常用還是偶爾用?

　　網(wǎng)絡(luò)安全區(qū)可以通過在路由器前架設(shè)防火墻或者在系統(tǒng)前架設(shè)防火墻的方式實現(xiàn)。不論哪種方式，都需要使用IPSec規(guī)則，或者操作系統(tǒng)防火墻(比如Windows自帶的防火墻)。而另一種對安全區(qū)提供保護的方式就是直接建立一個完全獨立的VLAN 。

　　從網(wǎng)絡(luò)交換的角度看，一個完全獨立的VLAN基本上都屬于Layer 2 (L2) 連接，并且不通過路由器與其他TCP/IP網(wǎng)絡(luò)連接。這個完全獨立的網(wǎng)絡(luò)需要有專用的接口以及交換設(shè)備，但是很多時候，這樣做意味著成本提高，并且所需的端口數(shù)難以滿足。對于何時采用完全隔離的L2 VLAN，我在實際工作中發(fā)現(xiàn)了一些比較有代表性的方案，可以確實起到獨立VLAN的保護作用。

　　最常見的使用情況是，有多端口的獨立系統(tǒng)，可以專門用于獨立VLAN相關(guān)的安全區(qū)。當然，如果一個系統(tǒng)連接到多個安全區(qū)，也會有風(fēng)險并引發(fā)相關(guān)的問題。因此最重要的一點是，在這些系統(tǒng)間不要有橋接或者路由功能，否則一切努力都白費了。

　　坦率的講，如果系統(tǒng)中的每個角色只使用確定的端口，那么這整個系統(tǒng)會適用于大多數(shù)環(huán)境。獨立的安全區(qū)的常見應(yīng)用是在虛擬機遷移時保護數(shù)據(jù)安全。對于安裝VMware 來說，這種應(yīng)用體現(xiàn)出了如何在虛擬機遷移時保護未經(jīng)加密的數(shù)據(jù)。另外，還有其他一些常見應(yīng)用，基本上都是用來防止man-in-the-middle類型的攻擊。而接下來我們要面對的問題只是要不要將這個L2網(wǎng)絡(luò)路由到其他大型網(wǎng)絡(luò)環(huán)境中去的問題了。