用VLAN优化网络 轻松应对ARP病毒

ARP病毒作怪

近期,该公务大厦宽带网络连续出现网络频繁中断,装有360安全卫士并开启局域网攻击拦截功能的终端计算机会突然出现一个 “拦截提示”对话框——“360已拦截一次ARP攻击”,然后就掉线.重新启动操作系统可以暂时恢复,过一小会儿又出现“360已拦截一次ARP攻击”,然后又掉线,需要不断重新启动操作系统,而查杀令人讨厌的电脑木马和病毒均为0.没有安装360安全士或者没有开启局域网攻击拦截功能的终端计算机则会突然网络中断.开始是几台电脑出现上述情况,后来出现这种症状的电脑越来越多,直至整个局域网几乎完全瘫痪.尽管网络管理员根据预先统计的终端IP和与其绑定的MAC地址能查到发病的终端计算机,并及时对发病终端进行处理,但是,由于终端太多,而且都在同一个VLAN内,一旦有一台终端感染ARP病毒,就会迅速波及到整个网络,给彻底清除ARP带来非常大的困难.

升级改造网络

为彻底解决这一问题,网络管理员决定对网络进行升级改造.由于该公务大厦楼层多且终端多,网络布线复杂,网管认为应该在保证安全性、保密性的基础上,尽量减少网络物理上的改动.经过分析研究,确定启用H3C防火墙的LAN0~LAN3内网口,在防火墙下联处增加一台园区汇聚交换机,做好VLAN划分,分别由不同的VLAN与防火墙的内网口相连,各内网口配置不同的IP地址段,保证每个楼层独立分配一个单独的IP地址段;园区汇聚交换机至各楼层的楼宇交换机的互联端口启用VLAN划分(即采用VLAN技术将各楼层之间的终端机进行分离),保证各楼层之间的VLAN相对独立,减少ARP病毒带来的连锁反应,避免网络风暴的发生.

具体改造方案

根据现有网络的布局和各楼层之间终端分布数量情况,网络管理员制定出一个基于楼层进行IP地址划分的具体方案,把IP地址段配置在H3C防火墙的内网口上(一个端口可以配置多个IP地址段),同时在H3C防火墙上定义NAT转换策略,保证内网IP的及时转换,保证各楼层之间的终端对应的IP地址段相对独立,不会出现相互影响的情况.改造后的网络拓扑结构如图2所示.