最后，建立好的規則必須附加到相應的接收或傳送端口上，當交換機在此端口接收或轉發數據時，根據過濾規則來過濾封包，決定是轉發還是丟棄。另外，交換機通過硬件“邏輯與非門”對過濾規則進行邏輯運算，實現過濾規則確定，完全不影響數據轉發速率。

秘籍三：強化安全SNMPv3及SSH協議

更為完善的SNMPv3協議

SNMPv1和v2版本對用戶權力的惟一限制是訪問口令，而沒有用戶和權限分級的概念，只要提供相應的口令，就可以對設備進行read或read/write操作，安全性相對來的薄弱。而SNMPv3則采用了新的SNMP擴展框架，它將各版本的SNMP標準集中到一起，在此架構下，安全性和管理上有很大的提高。

SNMPv3工作原理

SNMPv3是在SNMPv2基礎之上增加、完善了安全和管理機制。RFC 2271定義的SNMPv3體系結構體現了模塊化的設計思想，使管理者可以簡單地實現功能的增加和修改。其主要特點在于適應性強，可適用于多種操作環境，不僅可以管理最簡單的網絡，實現基本的管理功能，還能夠提供強大的網絡管理功能，滿足復雜網絡的管理需求。

SNMPv3安全參數界面

SNMPv3建議的安全模型是基于用戶的安全模型，即USM。USM對網管消息進行加密和認證是基于用戶進行的，具體地說就是用什么協議和密鑰進行加密和認證均由用戶名稱userName)權威引擎標識符(EngineID)來決定(推薦加密協議CBCDES，認證協議HMAC-MD5-96和HMAC-SHA-96)，通過認證、加密和時限提供數據完整性、數據源認證、數據保密和消息時限服務，從而有效防止非授權用戶對管理信息的修改、偽裝和竊聽。

但SNMP也存在著一定的問題，它使用嵌入到網絡設施中的代理軟件來收集網絡通信信息和有關網絡設備的統計數據，代理不斷地收集統計數據并記錄到MIB中，網絡管理人員通過向代理的MIB發出查詢信號(輪詢)可以得到這些信息。雖然MIB計數器將統計數據的總和記錄下來了，但它無法對日常通信量進行歷史分析。而為了能全面地查看通信流量和變化率，管理人員必須不斷地輪詢SNMP代理，這就帶來了巨大的工作量。

這時SNMP建立在輪詢管理上的兩個明顯弱點便顯現出來，如在大型的網絡中，輪詢會產生巨大的網絡管理通信量，因而導致通信擁擠情況的發生;它將收集數據的負擔加在網絡管理控制臺上，管理站也許能輕松地收集8個網段的信息，但當它們監控48個網段時恐怕就難以應付了。

更為可靠的SSH安全協議

至于通過FTP、POP和Telnet等網絡服務應用的，由于它們都有一個致命的弱點——在網絡上以明文的方式傳送數據、用戶帳號及用戶口令，很容易受到中間人(man-in-the-middle)攻擊方式的攻擊，遭遇口令竊取。但采用SSH進行通訊時，用戶名及口令均進行了加密，可有效防止非法用戶對口令的竊聽，便于網管人員進行遠程的安全網絡管理。

SSH是目前較可靠，專為遠程登錄會話和其他網絡服務提供安全性的協議。利用SSH協議可以有效防止遠程管理過程中的信息泄露問題。透過SSH可以對所有傳輸的數據進行加密，也能夠防止DNS欺騙和IP欺騙。

SSH之另一項優點為其傳輸的數據是經過壓縮的，所以可以加快傳輸的速度。SSH有很多功能，它既可以代替Telnet，又可以為FTP、POP、甚至為PPP提供一個安全的“通道”。

秘籍四：掌握syslog和watchdog

系統日志syslog

對于交換機的安全設置，不可缺少的是關于syslog日志功能的利用。該功能可以將系統錯誤、系統配置、狀態變化、狀態定期報告、系統退出等用戶設定的期望信息傳送給日志服務器，網管人員依據這些信息掌握設備的運行狀況，及早發現問題，及時進行配置設定和排障，保障網絡安全穩定地運行。

系統日志syslog界面

syslog常被稱為系統日志或系統記錄，是一種用來在網際網路協議(TCP/IP)的網路中傳遞記錄檔訊息的標準。syslog協議屬于一種主從式協議，syslog發送端會傳送出一個小的文字訊息(小于1024位元組)到syslog接收端。接收端通常名為“syslogd”、“syslog daemon”或syslog服務器。

系統日志訊息可以被以UDP協議或TCP協議來傳送，并且是以明碼型態被傳送的。不過由于SSL加密外套(例如Stunnel、sslio或sslwrap等)并非syslog協議本身的一部分，因此可以被用來透過SSL/TLS方式提供一層加密。

syslog通常被用于資訊系統管理及資料審核，雖然它有不少缺陷，但仍獲得相當多裝置及各種平臺終端的支持。因此syslog能被用來將來自許多不同類型系統的日志記錄整合到集中的儲存庫中。

設定watchdog

watchdog通過設定一個計時器，如果設定的時間間隔內計時器沒有重啟，則生成一個內在CPU重啟指令，使設備重新啟動，這一功能可使交換機在緊急故障或意外情況下時可智能自動重啟，保障網絡的安全運行。

硬件watchdog比軟件watchdog有更好的可靠性。軟件watchdog基于內核的定時器實現，當內核或中斷出現異常時，軟件watchdog將會失效。而硬件watchdog由自身的硬件電路控制， 獨立于內核。無論當前系統狀態如何，硬件watchdog在設定的時間間隔內沒有被執行寫操作，仍會重新啟動系統。

秘籍五：查看是否可通過雙鏡像文件恢復

現在一些新型的交換機已經具備了雙映像文件，這一功能可保護設備在異常情況下(固件升級失敗等)仍然可正常啟動運行。