利用Vlan控制与隔离广播风暴－安全维护(2)
三、使用VLAN来隔离广播风暴
上面这个案例中，如果生产环境中有一台主机中毒产生广播风暴，虽然服务器所在的网络可以免受侵害，但是所有的客户端主机都将受到影响。这显然是企业与网络管理人员不希望看到的。他们与笔者的目标一致，就是如何最大限度的将广播风暴控制在可以接受的领域内。
如现在一家企业分为物流、财务、工厂、行政等几个部门。网络管理员希望，如果工厂中有电脑中了毒，产生广播风暴。其只影响工作所在的网络，而不会影响到物流、财务、行政等部门的用户的正常工作。即工厂网络中产生的广播风暴不会刮到工厂以外的网路中去。如果按照传统的网络解决方案，可能需要采用多台路由器来进行分割。从成本与管理的角度考虑，这个方案并不十分合理。
显然，交换机的价格比路由器要便宜的多。如果能够通过交换机来隔离广播风暴，那是比较合理的。但是传统的交换机(指不带VLAN的交换机)，其只能够用来隔离组播，而不能够用来控制广播风暴。为了实现用户的这个需求，现在大部分厂家都在交换机中实现了VLAN的功能。同时随着交换机的功能逐渐降低，而且交换机的性能要比集线器高的多，为此很多公司现在采用的是纯交换式的网络。即采用交换机来组建企业的网络。在这种背景下，让VLAN来隔离广播风暴显得水到渠成。
在同一个VLAN中，所有设备都是同一个广播域的成员，并接收所有的广播。而不是同一个VLAN成员的交换机上，所有的端口都会对广播数据进行过滤。如以上面这个案例为例。网络管理员可以将服务器环境、物流环境、工厂环境、行政环境等等使用VLAN技术，建立不同的虚拟局域网。此时每个虚拟局域网内的主机共享一个广播域。而不同虚拟化之间的广播域是独立的。这也就是说，在生产部门发生的广播不会影响到财务或者服务器所在的网络。从而当某个网络发生广播风暴的时候，其他部门的用户仍然可以正常工作。
在这个案例中，企业只需要购买一个交换机即可。然后通过静态VLAN或者动态VLAN来构建多个VLAN。并将不同组的客户端连接到对应的VLAN 。从而实现通过VLAN来隔离广播风暴的目的。
在实际工作中，如果企业有多媒体应用的话，那么笔者强烈建议采用这种方案。如企业有一个网络视频会议室。在这个会议室中，员工可以利用自己的笔记本电脑与外地的公司领导进行视频会议。一般情况下，像这种多媒体应用产生的广播数据是其他应用的几十倍甚至上百倍。为此最好将这个网路视频会议室里面所有的网络端口都设置在一个独立的VLAN中。从而防止多媒体应用所产生的广播数据流量对其他网络产生不利的影响。
总之实践证明，通过交换机的VLAN功能来隔离广播风暴，想比路由器来说，成本更加的低廉、方式更加的灵活。但是管理的工作量可能会多一点。而且VLAN规划的方式与合理程度，会直接影响到广播风暴的控制效果。VLAN具体的选型，笔者在后面的文章中会详细的介绍。各位读者如果有兴趣的话，可以关注笔者后续的内容。
