[发明专利]基于虚拟局域网交换的入侵防御方法与系统

说明书

技术领域

本发明涉及通信技术，尤其是一种基于虚拟局域网(Virtual Local Area Network，以下简称：VLAN)交换的入侵防御方法与系统。

背景技术

VLAN是在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。VLAN中，信息只到达应该到达的地点，防止了大部分基于网络监听的入侵手段。例如：企业的财务部、人事部、生产部这样的敏感部门，涉及很多敏感数据，其网络上的信息不想让太多人可以随便访问，通过在交换机上应用VLAN技术，就可以很好地实现这些功能。通过多年的发展，VLAN技术得到广泛的支持，并在大大小小的企业网络中广泛应用，成为一种成熟的以太局域网技术。通过VLAN设置的访问控制策略，使在VLAN以外的网络节点不能直接访问VLAN内的节点。但是，由于执行VLAN交换的设备越来越复杂，从而成为被攻击的对象。

为了保障VLAN的网络安全，通常会在VLAN的网络边界部署安全网关类产品，例如：防火墙、异常流量清洗设备、入侵检测系统(Intrusion Detection System，以下简称：IDS)、入侵防御系统(Intrusion Prevention System，以下简称：IPS)等，对网络进行安全防护。

其中，防火墙主要以串接方式部署在网络边界，工作在网络开放式系统互联参考模型(Open System Interconnect Reference Model，以下简称：OSI)的3～4层，即：网络层与传输层，无法对应用层的数据流内容进行识别，因此无法对攻击流量进行阻断，来保护VLAN中的设备。

异常流量清洗设备，例如：分布式拒绝服务攻击(Distributed Denial of Service Attacks，以下简称：DDoS)设备，通过启用边界网关协议(Border Gateway Protocol，以下简称：BGP)等路由牵引和回注技术，以单臂模式旁路部署在边界交换机处，主要通过流量特征识别或者反向探测识别技术，来实现异常流量的过滤，但是，不对应用层的数据流进行检测，同样无法对攻击流量进行阻断，来保护VLAN中的设备。

IDS以单臂模式旁路部署在边界交换机处，工作在网络OSI的2～7层，即：数据链路层、网络层、传输层、会话层、表示层与应用层，实时对流经数据链路层上的数据流进行应用层的数据内容检测，发现攻击流量就进行报警，但不对攻击流量进行阻断，也无法保护VLAN中的设备。

IPS以串接方式部署在被保护对象的上行数据链路上，采用透传工作模式，对流经数据链路上的数据流进行应用层的数据内容检测、分析和防护，对攻击流量进行阻断，从而保护VLAN中的设备。

在实现本发明的过程中，发明人发现，在交换架构的网络环境中，网络边界包括多个VLAN时，现有技术对网络进行安全防护的方法至少存在以下问题：

以串接方式将安全网关部署在网络前端时，所有进出网络的流量都会经过安全网关，增加了安全网关的开销；并且，进出网络的流量过大时可能导致安全网关拥堵瘫痪，或者由于安全网关出现端口、设备故障时，都增加了网络断点的风险；

以单臂模式将安全网关旁路部署在边界交换机处时，通过交换机上的重定向功能，将网络中的数据流量全部重定向到安全网关连接的交换机端口，在确认符合安全策略的情况下，安全网关对数据流进行相应的转发处理。这种基于交换机重定向的部署方式存在如下问题：交换机重定向会消耗交换机一定的访问控制列表(Access Control List，以下简称：ACL)资源，并且，作为安全网关，原本只需要防护VLAN与外部网络之间的数据流量，但是，在这种情况下还对VLAN内的所有数据流量进行处理，对安全网关的处理性能产生了较大压力，存在着很大的网络断点风险；

防火墙、异常流量清洗设备类安全网关类产品不适用于网络边界包括多个VLAN时的二层网络环境；IDS只是对网络流量检测分析并对攻击流量进行告警，但不对攻击流量进行阻断，无法保护VLAN中的设备。

发明内容

本发明实施例所要解决的技术问题是：提供一种基于虚拟局域网交换的入侵防御方法与系统，在网络边界包括多个VLAN时的二层网络环境中，实现应用层的数据内容检测和防护，以保障VLAN用户的安全性，并且减小系统开销，降低网络断点风险。

为解决上述技术问题，本发明实施例提供的一种基于虚拟局域网交换的入侵防御方法，包括：