端口隔离技术在校园网实用性应用探究摘要：该文介绍了端口技术的概况，详细描述了该技术在校园网中应用的主要作用与弊端，并简单介绍了端口隔离技术的配置方法。关键词：端口隔离；VLAN；病毒：TP393文献标识码：A：1009-3044(2012)21-5074-02TheApplicationResearchofPortIsolationTechnologyintheCampusNetworkPracticalSUNing(CityCollegeofDongguanUniversityofTechnology,Dongguan523106,China)Abstract：Thispaperintroducestheporttechnologyoverview,adetaileddescriptionofthetechnologyapplicationinthecampusnetworkmaineffectsanddisadvantages,andintroducestheconfigurationmethodofportisolationtechnology.Keywords：portisolate；VLAN；virus近年来随着各高校的不断扩招，在校学生人数也随着不断增长。校园网为了将教育资源更多地共享给学生，不断扩建网络规模和增加信息点。一所普通的高校动辄就拥有上万级别的信息点，网络的稳定可靠性也越来越难以实现。如东莞理工支持不超过4096个VLAN。对于如上所述的大型校网,学院城市学院，目前在校学生已有一万余，每个学生在宿舍区几乎都拥有一个独立的百兆网络接口接入校园网。这些在校学生使用网络有点非常明显的特点：数量集中，联网时段集中。这给网络设备造成非常大的压力，而目前PC机的硬盘存储容量已经达到T级别，个人桌面网络连接速度则仍停留在百兆级别，相差甚远。学生在校园网中传输大容量的资源，如髙清视频、大型游戏等等，往往会造成网络设备的高负荷运行，容易出现网络设备的硬件资源不足，死机等故障。近年来各厂家针对这种问题研发各种新型网络技术来解决上述问题，目前在各髙校使用最为广泛的就是端口隔离技术。笔者所在单位东莞理工学院城市学院也在2008年网络改造时采用了该技术，现就几年来的使用情况和经验进行实用性探讨。1端口隔离技术简介有过大型局域网管理经验的人都知道，为了实现报文之间的二层广播隔离，可以将不同的端口加入不同的VLAN,但会浪费有限的VLAN资源。VLAN标记中的用于区分不同VLAN的ID字段只有12位，也就是说在同一个局域网中最多只能果为了控制学生在二层之间的广播数据量而单纯使用有限VLAN进行隔离，显然是不明智的。而采用交换设备上的端口隔离特性，我们可以实现在同一虚拟子网内的二层广播数据隔离。网管人员只需将需要将需要隔离的端口加入到隔离组中，就可以实现同一隔离组内端口之间的二层数据隔离。可以说端口隔离技术为校园网提供了更为安全和灵活的组网方案。塞在其小型路由器上。解决这些问题往往需要校网络管理2端口隔离技术的作用2.1端口隔离技术用于防御二层广播型病毒ARP广播型病毒通过采用假冒网关MAC地址的形式向同一子网内的所以终端机器进行网关欺骗，受欺骗的局域网内所有机器会将数据的传输方向指向中毒机器，从而造成信息被他人窃取或者网络瘫痪。这种病毒如若只传染一部终端，对于网络管理员来说是很容易找出并加以处理的。但是近年来随着ARP病毒的不断变种，其在局域网内伪装性也变得越来越强，最常见的就是其病毒主体感染同一子网内所有机器，令这些感染病毒的机器也同时欺骗网关，那么网管人员就很难确定真正病毒宿主所在，往往都是通过对每台终端进行隔离的排除法来处理，工作量巨大。当采用端口隔离技术后，由于同一子网内的所有机器相互之间不能传播二层广播型数据，所以同一子网来即使有机器感染ARP病毒，也不会向周围同一子网来的机器进行扩散，一定程序上控制了病毒的蔓延。2.2端口隔离技术用于防止非法DHCP服务器由于现在小型家用路由的泛滥使用，导致一些不懂网络技术的学生，将家用路由器错接驳到校园中，将其充当交换机使用的形象频频发生。这些错接进大型局域网的路由器在局域网内非法分发IP地址，设置错误的网关，导致网络阻员到现场进行路由器搜查，也给网络管理员带来了大量工作量。目前各高校会DHCPSnooping技术来解决该问题，但仅局限于三层汇聚的设备支持该技术，二层设备由于成本原因往往不能支持该技术。若在二层采用端口隔离技术，由于同一子网中的终端二层端口的隔离，而三层网关不支持非法DHCP的穿透，能有效防止这种家用...