思科交換機(jī)抑制廣播風(fēng)暴特性解析
您當(dāng)前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-21
在企業(yè)網(wǎng)絡(luò)中，廣播數(shù)據(jù)包是一把雙刃劍。一方面其是進(jìn)行正常網(wǎng)絡(luò)連接所必須的一種數(shù)據(jù)包，如在自動(dòng)獲得IP地址方案中需要利用廣播數(shù)據(jù)報(bào)來尋找可用的DHCP服務(wù)器。另一方面其又很容易被病毒或者黑客所利用，如通過DOS攻擊等手段導(dǎo)致網(wǎng)絡(luò)擁塞。為此在網(wǎng)絡(luò)設(shè)計(jì)中，必須要對(duì)廣播數(shù)據(jù)包進(jìn)行合理的控制。
一、廣播數(shù)據(jù)包的危害
廣播數(shù)據(jù)包有一個(gè)很重要的特征，就是廣播域中每臺(tái)網(wǎng)絡(luò)設(shè)備，包括PC或者交換機(jī)都需要處理廣播數(shù)據(jù)包。可見，如果某個(gè)廣播域中存在比較多的廣播流量，那么所有的相關(guān)設(shè)備都會(huì)受到影響，因?yàn)樗麄儽仨毘槌鲆欢ǖ馁Y源來處理這些廣播數(shù)據(jù)包。同時(shí)，這些廣播數(shù)據(jù)包還會(huì)占用寶貴的帶寬資源，如果網(wǎng)絡(luò)中存在過多的廣播數(shù)據(jù)包，則可能會(huì)導(dǎo)致網(wǎng)絡(luò)擁塞，大大降低網(wǎng)絡(luò)的性能與安全等級(jí)。所以，在網(wǎng)絡(luò)設(shè)計(jì)中應(yīng)當(dāng)防止過量的廣播流量所導(dǎo)致的非正常功能故障，同時(shí)需要注意由此可能帶來的安全隱患�？傊�，在網(wǎng)絡(luò)中如果發(fā)生意外情況，那么異常的設(shè)備就會(huì)發(fā)送大量的廣播數(shù)據(jù)包流量。如果在每秒之內(nèi)發(fā)生的廣播數(shù)據(jù)報(bào)流量過多，那么就會(huì)直接導(dǎo)致交換機(jī)等網(wǎng)絡(luò)設(shè)備的CPU利用率高，設(shè)置利用率會(huì)達(dá)到100%從而導(dǎo)致網(wǎng)絡(luò)中斷。為此一個(gè)安全的網(wǎng)絡(luò)設(shè)計(jì)，都會(huì)采用各種各樣的措施來抑制廣播數(shù)據(jù)包的流量。
在傳統(tǒng)的網(wǎng)絡(luò)設(shè)計(jì)中，也有不少的措施可以用來減少網(wǎng)絡(luò)中不必要的廣播數(shù)據(jù)包。如可以將網(wǎng)絡(luò)設(shè)計(jì)成多個(gè)網(wǎng)段，以減少?gòu)V播域內(nèi)設(shè)備的數(shù)量，從而實(shí)現(xiàn)減少?gòu)V播包的目的。不過這些傳統(tǒng)的方案，都需要增加一些額外的設(shè)備，而且實(shí)施起來也不是很方便。在思科系列的交換機(jī)中，本身就提供了廣播抑制的方案�；蛟S網(wǎng)絡(luò)管理員可以換一種思路來解決這個(gè)問題。
二、思科交換機(jī)廣播數(shù)據(jù)包抑制方案分析
為了緩解過量的廣播數(shù)據(jù)報(bào)對(duì)網(wǎng)絡(luò)帶來的不利影響，思科系列的交換機(jī)特別設(shè)計(jì)了廣播抑制特性。簡(jiǎn)單的說，交換機(jī)操作系統(tǒng)會(huì)自動(dòng)監(jiān)測(cè)經(jīng)過其設(shè)備的網(wǎng)絡(luò)流量。如果發(fā)現(xiàn)廣播數(shù)據(jù)包比較多的話，這交換機(jī)會(huì)采取兩個(gè)措施：要么是丟棄過量的廣播數(shù)據(jù)包;要么就是禁用接收過量的流量端口。
如上圖所示，假設(shè)現(xiàn)在主機(jī)A受到了攻擊，中了某種病毒。此時(shí)其就會(huì)不斷的向外面發(fā)送廣播數(shù)據(jù)包，直到主機(jī)癱瘓為止。其發(fā)送的廣播數(shù)據(jù)包都需要經(jīng)過交換機(jī)來轉(zhuǎn)發(fā)。此時(shí)交換機(jī)會(huì)監(jiān)測(cè)到來自主機(jī)A的大量的廣播數(shù)據(jù)包流量。監(jiān)測(cè)到這種情況之后，交換機(jī)會(huì)采取哪種措施呢?交換機(jī)可能會(huì)將主機(jī)A發(fā)送過來的廣播數(shù)據(jù)包流量丟棄掉，其他的數(shù)據(jù)流量正常轉(zhuǎn)發(fā)，從而杜絕A主機(jī)發(fā)出的廣播數(shù)據(jù)包對(duì)廣播域內(nèi)其他設(shè)備的影響。交換機(jī)也有可能關(guān)閉主機(jī)A連接的交換機(jī)端口，即來自主機(jī)A的所有數(shù)據(jù)流量都將無法通過交換機(jī)來轉(zhuǎn)發(fā)，就好像是將A的網(wǎng)絡(luò)斷開了，從而防止主機(jī)A繼續(xù)危害網(wǎng)絡(luò)。交換機(jī)具體采用哪種措施，這主要看網(wǎng)絡(luò)管理員的配置。
交換機(jī)在監(jiān)測(cè)廣播數(shù)據(jù)流量的時(shí)候，檢測(cè)的頻率還是很高的。通常情況下，其回監(jiān)測(cè)1秒周期內(nèi)進(jìn)入端口的數(shù)據(jù)流量。如果廣播數(shù)據(jù)包超過了所設(shè)置的最大值，那么交換機(jī)就會(huì)采用網(wǎng)絡(luò)管理員預(yù)先配置的違規(guī)措施。所以采用交換機(jī)的廣播數(shù)據(jù)包抑制方案，可以在最短時(shí)間內(nèi)發(fā)現(xiàn)非正常的廣播數(shù)據(jù)包，從而采取有效的措施來減少其對(duì)企業(yè)網(wǎng)絡(luò)的危害。
三、CatOS軟件與IOS軟件配置的異同
在思科系列的交換機(jī)中，主要采用CatOS與IOS操作系統(tǒng)軟件。這兩種操作系統(tǒng)在配置廣播數(shù)據(jù)包抑制上還是有一定的差異。如在基于CatOS操作系統(tǒng)的交換機(jī)上，主要是通過如下命令來啟用廣播數(shù)據(jù)包抑制特性。
Set port broadcast thresho1d% violation drop-packets/err-disable enable/disable
在這個(gè)命令中，主要注意兩個(gè)參數(shù)。第一個(gè)參數(shù)就是thresho1d%，也就是允許通過的廣播數(shù)據(jù)包流量的最大值。利用專業(yè)術(shù)語來說就是閥值。如果將這個(gè)參數(shù)設(shè)置為100%，那么交換機(jī)將不會(huì)限制任何的流量。也就是說不會(huì)限制任何的廣播數(shù)據(jù)流量。如果將這個(gè)參數(shù)設(shè)置為0%，那么交換機(jī)將會(huì)抑制所有的數(shù)據(jù)流量。通常情況下，我們都不會(huì)采用這兩個(gè)極端的值。那么這個(gè)參數(shù)到底設(shè)置為多少合適呢?通常情況下在選擇這個(gè)參數(shù)大小的時(shí)候，需要根據(jù)企業(yè)現(xiàn)有的網(wǎng)絡(luò)流量模式來定義。這里需要強(qiáng)調(diào)的是，不要一開始就將這個(gè)參數(shù)設(shè)置的比較低，因?yàn)槠淇赡軙?huì)錯(cuò)誤的丟棄交換機(jī)的正常流量。我們?cè)谄綍r(shí)管理的時(shí)候，往往會(huì)先設(shè)置一個(gè)比較大的值，然后再慢慢的根據(jù)企業(yè)的網(wǎng)絡(luò)流量來降低這個(gè)閥值，最終調(diào)整到最優(yōu)的階段。另外筆者建議各位網(wǎng)絡(luò)管理員，不要在任何交換機(jī)上都啟用這個(gè)特性。通常情況下只需要在接入層的用戶端口上啟用廣播抑制特性即可。因?yàn)榇蟛糠智闆r下，我們只要限制特定的主機(jī)端口所能夠發(fā)送到網(wǎng)絡(luò)中的廣播數(shù)據(jù)流量即可。在太多的交換機(jī)上啟用這個(gè)特性，有時(shí)候會(huì)起到適得其反的效果，會(huì)影響網(wǎng)絡(luò)的性能與穩(wěn)定性。
第二個(gè)參數(shù)是violation，即當(dāng)交換機(jī)發(fā)現(xiàn)廣播數(shù)據(jù)流量超過規(guī)定的最大值時(shí)，該采用何種措施來處理?在思科系列的交換機(jī)中，主要有兩種方式，分別為丟棄數(shù)據(jù)包或者將某個(gè)端口禁用掉(設(shè)置為err-disable狀態(tài))。具體采取哪種措施主要要看企業(yè)的網(wǎng)絡(luò)需求。不過筆者的意見是，盡量少用 “err-disable”狀態(tài)。因?yàn)槿绻粨Q機(jī)的某個(gè)端口進(jìn)入到這個(gè)狀態(tài)的時(shí)候，交換機(jī)將會(huì)顯示錯(cuò)誤信息，并且立即產(chǎn)生相關(guān)的信息通過管理員預(yù)先定義的方式來同志管理員這種情況。此時(shí)可能會(huì)影響到正常數(shù)據(jù)流量的轉(zhuǎn)發(fā)。所以一般情況下筆者建議采用丟棄數(shù)據(jù)包的方式來處理。從而將廣播數(shù)據(jù)包對(duì)網(wǎng)絡(luò)的影響降低到最低。
如果網(wǎng)絡(luò)管理員采用的是基于IOS操作系統(tǒng)軟件的交換機(jī)，那么配置的靈活性要降低一點(diǎn)。在使用IOS的交換機(jī)中，廣播數(shù)據(jù)包抑制又叫做風(fēng)暴控制。在使用這個(gè)特性的時(shí)候，閥值的設(shè)置跟CatOS軟件類似，主要是要看違規(guī)操作的設(shè)置。因?yàn)樵贗OS軟件版本中，不同的版本的交換機(jī)其支持的違規(guī)操作方式是不同的。如在6500系列的基于IOS軟件的交換機(jī)中，其支持的違規(guī)操作只有一項(xiàng)就是“丟棄數(shù)據(jù)包”。而在基于IOS軟件的4500系列交換機(jī)中，其支持的違規(guī)操作就有兩項(xiàng)，分別為”“丟棄數(shù)據(jù)包”與“關(guān)閉選項(xiàng)”。關(guān)閉選項(xiàng)同上面說到的設(shè)置為err-disable狀態(tài)效果類似，只是稱呼不同而已。所以如果網(wǎng)絡(luò)管理員采用的是基于IOS的交換機(jī)，那么就需要注意這個(gè)不同的系列所支持的違規(guī)操作方式的不同。
另外需要提醒的是，如果企業(yè)采用的是6500系列的交換機(jī)，還有一個(gè)問題要引起大家的重視。網(wǎng)絡(luò)管理員可以在6500系列交換機(jī)的吉比特以太網(wǎng)端口上配置多播或者單播抑制特性。這個(gè)特性跟上面所講的廣播抑制特性非常的相似。這個(gè)特性可以同時(shí)抑制廣播流量、多播流量、單播流量等等。在比較復(fù)雜的網(wǎng)絡(luò)設(shè)計(jì)中，可以直接啟用這個(gè)特性來代替前面講到的廣播抑制方案。
來源：紅訊頻道