安全可靠！思科SLM2024千兆交换机试

　　保障企业网络的稳定与安全就像是在一个链条，整个链条有很多部分组成，而我们最常见到的是这个链条中的四个部分，边界（由器），内网（交换机），终端（PC）和用户本身。在这四个环节中，用户是最薄弱的一环，终端与边界安全应该是目前最被人们关注的两点，而内网安全，也就是交换机的职责，似乎却被很多人所忽视。

　　我应该买台怎样的交换机呢？如果您非常在意成本，那非管理型产品将是您的首选，但这时内网对于每个人都是“大门敞开”，除了安全风险，由于这类产品不支持链冗余，级联链单点失效也会对网络造成较大的影响。所以，傻瓜型交换机虽然做到了低价易用，但往往并不是最佳的选择。

　　交换机应当负责起内网的安全性与可靠性，前者依靠内网准入机制，后者依靠链冗余，本次新品试用我们也将主要围绕这两个方面。啊！差点忘了介绍本文的主角，主角是思科近期推出的面向中小企业市场的千兆交换机系列中的一款——思科精睿（CiscoSmallBusiness）SLM2024，其产品定位在中小型企业、网络边缘或大型企业的工作组，报价3500元左右。

　　思科SLM2024图库评测论坛报价网购实价（点击看大图）

　　在试用之前我们大致先看一下SLM2024所据备的一特性。SLM2024提供了24个10/100/1000Mbps的RJ-45接头和2个共享千兆铜缆或光纤小型封装热插拨(SFP)上行链接口；交换容量为48Gbps，可实现无阻塞的双向千兆转发；采用全图形化WEB配置界面；常规功能，像VLAN，QoS，IGMP、等也是一应俱全。细心的网友可能已经发现，SLM2024其实并不是一款“正统”的思科交换机，它其实是Linksys的“血脉”。所以推测，其内置的操作系统应该不是思科的IOS。

　　本次试用的主要关注点是网络的安全性与可靠性，就像前面所提到的，安全性主要是网络准入控制，依靠802.1x和portsecurity，而可靠性主要是链冗余，依靠STP和linkaggregation，在这两方面，SLM2024的表现如何？请往下看：

　　网络准入控制与端口安全

　　非管理型交换机无法实现网络准入控制。我们常见到这样的情景，任何人只要手中有一根网线，插入交换机，他的电脑就可以访问网络中的资源了，这其实存在很高的风险——如何区分公司内部电脑和外部电脑，管理员往往毫无办法。也许在以前这一问题并不突出，但随着笔记本的普及，交换机端口管理便成了一个无法忽视的问题。

　　SLM2024支持802.1x和portsecurity，前者配合radius验证可以很轻松的将非受权用户拒之门外，而后者可以在用户通过radius验证后，额外的再对端口提供另一层。

　　802.1x是IEEE为了解决基于端口的接入控制而定义的一个标准。802.1x认证由三部分组成：客户端、认证系统和认证服务器。在客户端和认证系统之间使用802.1x协议进行通信，在认证系统和认证服务器之间使用RADIUS协议进行通信。SLM2024在这里就像是个代理，而且控制着端口的开关，如果认证通过，端口将，客户机可以对网络进行访问，反之，即使用户插上的网线，网络也是不通的。

　　SLM2024还提供了重新认证机制（Enableperiodicreauthentication），当认证时间到达（默认3600秒），交换机发起重新认证，如果认证成功，用户可以继续使用网络，如果认证失败，用户将不能再使用网络。

　　要实现网络准入功能，SLM2024的设置方法很简单，主要分两步，一是设置端口状态（StatusPortControl），二是配置radius服务器。我们在上图中了802.1x，接下来需要配置端口状态，共有三种状态，Auto、forceauthorized和forceunauthorized。Auto指端口根据认证成功与否或关闭相应端口，forceauthorized指端口始终打开，而不进行验证，forceunauthorized指端口始终关闭，不响应用户请求。默认为forceauthorized，我们将7、8两个端口修改成了Auto。第一步完成，非常简单。

　　第二步，配置radius服务器，我们使用的是WinRadius。WinRadius的设置也很简单，全图形界面，有兴趣的网友可以在网上找到很多教程，这里不再赘述。接下来我们配置SLM2024端的radius设置。

　　配置radius参数只需要填写三部分，radius服务器地址，keyString和本地交换机IP地址，这里的keystring就是在配置radius服务器时使用的NAS密钥。radius服务器不仅可以用于802.1x认证，还可以用于登录SLM2024配置页时的认证（在usagetype中选定）。到此SLM2024和radius服务器的配置工作就全部完成了，还差最后一点，PC机配置。

　　PC机配置仅需一步，WindowsXP之后的系统都支持802.1x身份验证，在本地连接-->属性中我们只需将“选择网络身份验证方法”设置为“md5-质询”即可。全部配置完成，效果如何？我们只需将电脑的网线插入SLM2024的7或8端口就能看到。

　　当把网线插入端口7时，XP给出了提示信息，在网络连接中，可以看到“本地连接6”正在进行身份验证。左下角的QQ正在试图登录。

　　验证通过，端口已，IP地址获得成功，QQ登录成功

　　通过简单的几步设置，借助SLM2024我们就实现了基本的网络准入控制。

　　SLM2024中的portsecurity是个很实用的工具，它为网络准入提供了更进一步的控制。我们可以设想这样一个场景，用户A是本公司职员，自然也知道802.1x验证时所用的用户名和密码，这时如果他将个人的笔记本连入公司网络也是全完可以做到的，因为802.1x只验证用户身份，而不验证电脑的身份（MAC地址）。

　　设置portsecurity很简单，管理员不用一个个的去录入每台PC的MAC地址，只需将Learningmode设置为LimitedDynamicLock，SLM2024就可以自动学习并记录插入特定端口的主机MAC地址。MaxEntries指记录MAC地址的数量，如果设置为2，SLM2024将记录前两个不同的MAC地址并认为这两个IP地址是的，比较严格的作法是将此值设置为1。Actiononviolation指如果端口检测到非法MAC地址，将采取何种操作——丢弃MAC帧、正常转发、关闭端口，我们选择的是关闭端口。

　　我们将端口6上的网线拔下并插入测试电脑，结果端口就被关闭了，交换机上的灯完全没有反应，效果等同于物理断开，在右图中可以看到，端口实际处于挂起状态（suspended）。此时即使将正确的主机插入端口6，其依然处于挂起状态（用户无法激活），只有在SLM2024中使用Reactivatesuspendedport才可将端口激活。在实际使用中，“违反/关闭”也许有些过于严厉，“违反/丢弃”倒是更“实惠”的选择，因为这样既控制住了端口又不会为管理员带来额外的工作量。

　　链冗余

　　在组建网络时，我们除了要考虑安全性还要考虑可靠性，实现高可靠性一种最简单的方法就是在交换机之间部署一条以上的连接实现链冗余，这可以很好的避免因单链失效而导致一个接入节点整体失效。不过实现链冗余，交换机必须具备一定机制来避免“风暴”，这种机制就是生成树协议（SpanningTreeProtocol）。STP协议应用于环网络，通过一定的算法实现径冗余，同时将环网络修剪成无环的树型网络，从而避免报文在环网络中的增生和无限循环。

　　STP用于交换机之间，所以部署冗余链两台交换机必须都支持STP。同时，STP是标准协议，不同品牌型号的产品只要支持该协议都可以被部署到STP网络中。

　　我们简单搭建了一个STP网络，由两台设备组成，核心交换机是一台IP-COM的产品，SLM2024被当做接入层交换机。我们先看一下核心交换机上的配置：

　　核心交换机上的STP设置

　　设置过程非常简单，仅需一步——将系统优先级设置为0。系统优先级数值越小在整个网络中这台交换机越有可能成为根桥（在STP网络中必须有一个根桥，通常为核心交换机），0表示最高的优先级。其它选项保持默认值即可。接下来我们看一下SLM2024上的设置：

　　修改设置，缩短端口切换延时

　　在大型网络中，为了保持STP结构的稳定，并不将老化时间及转发延时修改得过低，虽然这可以缩短端口切换延时。但小型网络结构相对简单，不妨优化一下，如上图我们将老化时间由20秒改为10秒，转发延时由15秒改为7秒，对比前后两张PING操作截图，效果还是比较明显的。

　　在其中一条线发生故障时，只会产生瞬间的中断

　　设置LinkAggregation只需选中相应端口，它们将共同属于一条冗余链，同样的设置必须在两台交换机上进行。LinkAggregation的冗余效果要比STP平滑许多，在其中一条线发生故障时，只会产生瞬间的中断。

　　其它实用功能介绍

　　网络中存在过多帧将大大降低整个网络的传输表现，因为无论网络大小，同一子网中的所有客户端都将对每一个帧做出回应，这对网络本身及客户端都是一种消耗，我们在设计网络时如何缩小域是必须要考虑的。SLM2024提供了功能，一定程度上可以恶意对网络造成Flood。

　　思科SLM2024图库评测论坛报价网购实价

　　在思科收购Linksys之后，Linksys产品线被定位在了SMB商用市场，随后它以思科精睿（CiscoSmallBusiness）品牌重新出现在了我们眼前，SLM2024正是该系列中的一员。

　　思科路由器设置教程SLM2024可以作为中小型网络的核心交换机，24个1000Mbps端口与2个光电复用端口完全可以满足企业对网络灵活性和高速传输的需求，同时兼具易用性和安全性；在大型网络中，SLM2024作为高速的接入层设备，支持标准802.1Q协议，可实现跨交换机的VLAN，同时支持SPT，QoS，端口安全，802.1x等，功能上可谓大小通吃。价格方面，SLM2024的报价在3500元左右，已经与同类产品非常接近，加之其出身思科，总体实力不容小觑。

　　作为一款面向SMB市场的产品，虽然SLM2024具有出色的性价比，但产品本身没有本地化（汉化）不得不说是一个遗憾，希望在新版Firmware中得到改进。

　　注：由于文章篇幅所限，部分常规功能并未在文中进行介绍，包括端口镜像、IGMPSNOOPING、VLAN、QoS等。