【IT168 专稿】一份来自运营商客服中心报表显示，50%故障主要集中在中小企业的交换机。而目前大多数维护人员认为交换机只要保证电压正常，机房的温度适宜，它不会有什么故障，交换机能有什么漏洞可言。正是由于交换机在企业网中占有重要的地位，通常是整个网络的核心所在，这一地位使它成为黑客入侵和病毒肆虐的重点对象，为保障自身网络安全，企业有必要对局域网上的交换机漏洞进行全面了解。

    交换机的分类及检测
    根据交换机所应用的网络层次，我们又可以将网络交换机划分为可分为企业级交换机、校园网交换机、部门级交换机和工作组交换机、桌机型交换机五种。就是我们常说的低端交换和高端交换机的区分，根据不同的业务需求，交换机的功能有所不同。我们所说的交换机有了安全漏洞是从二层以上交换机开始排查，例如：Cisco Catalyst 5532交换机的168个端口分配给了一个虚拟VLAN，将SPAN端口配置为监控VLAN，然后将一监测器接到了SPAN端口上。当时吞吐量非常大，竟达到了100％的利用率。除了非常大的吞吐量外，接收到了超量的广播风暴和重复传送。将168个VLAN端口映射到一个以太网端口，并使用监测器来监视吞吐量的作法可能会造成你对Intranet吞吐量不准确的看法。所看到的利用率是连接到SPAN端口上的VLAN的情况，SPAN端口可能是半双工或全双工的10/100Base－T端口。在这种情况下，观察到100％的利用率不会引起报警，因为交换机光纤是用来处理千兆位吞吐量的，可以轻而易举地超过你正在监测吞吐量的那个端口的速度。广播风暴可能是一次分析所有的VLAN造成的。

    常见利用交换机漏洞的攻击及预防
    一、ARP攻击及预防
    ARP(Address Resolution Protocol)欺骗是攻击中的常见手法，地址解析协议(ARP)利用第2层物理MAC地址来映射第3层逻辑IP地址，如果该设备知道了IP地址，但不知道被请求主机的MAC地址，它就会发送ARP请求。ARP请求通常以广播形式发送，以便所有主机都能收到。黑客可以发送被欺骗的ARP回复，获取发往另一个主机的信息流。分析一下一个完整ARP欺骗过程中，  如图：

    ARP请求以广播帧的形式发送，以获取合法用户的MAC地址。假设黑客也在网络上，试图获取发送到这个合法用户的信息流，黑客欺骗ARP响应，声称自己是IP地址为192.168.10.2(MAC地址为00-1C-55-00-A1-11)的主人，合法用户也会用相同的MAC地址进行响应。结果就是，交换机在MAC地表中有了与该MAC表地址相关的两个端口，发往这个MAC地址的所有帧被同时发送到了合法用户和黑客。使用Anti-ARP-Spoofing命令在端口上检测网关的IP地址,从而保证交换机下联端口的主机无法进行网关ARP欺骗;在所有接入交换机的下联端口配置防ARP欺骗。