优德88(中国区)官方网站

400-1144-149

market@szutek.com

Language

English

关注工业以太网交换机六大安全问题

2021-03-15

　　工业以太网即一种高效的局域网络，它是现代工业自动化生产体系中的重要组成部份，不管是传感器数据传输、还是生产设备控制等等，这些都需以太网来构成基本的控制网络。这也是为什么工业以太网在自动化生产中的应用越来越广泛的重要原因之一。

现在在工业中，通常会采用专用的工业以太网交换机，定义不同的太网帧优先等级，让用户所希望的信息能够以最快的速度传递出去。

以太网交换机技术发展趋势近几年来，随着企业数据通信业务以及相关的融合业务的迅猛发展，以太网交换机作为不可或缺的要害设备不仅在数量上获得了极大的提高，而且在质量、性能等方面不断完善。

工业以太网交换机.jpg

设备技术的不断成熟，则意味着工业以太网的功能也越发强大，自动化生产流程更加流畅，对提高生产效率无疑是非常巨大的推动作用。

目前，国内工业以太网交换机市场中，电力和轨道交通是工业交换机的重点应用领域，占到市场的70%。中国工业以太网交换机市场活跃着大约50家厂商。国内工业以太网交换机市场的快速成长，今后几年进入该领域的企业将逐步增多，市场竞争日趋激烈。

首先，速度是我们衡量网络性能的一个重要标准，从而也就成为以太网交换机等设备发展的一个重要方向。从最初的百兆到千兆再到万兆，以太网不断满足着人们快速增长的需求，给人们带来超乎平常的体验。

目前，人们对带宽的要求正在迅速提高，如迅猛发展的存储网络必需的海量数据传输通道;大量高带宽汇聚的城域网络;

不断丰富的宽带应用所需的带宽支持;大型金融机构的数据集中;企业核心业务、ERP、CRM等复杂的应用扩展。今天，千兆为骨干、百兆为接入的主流结构，将逐渐向万兆为骨干、千兆为接入的结构过渡。

其次是智能化，这里所指的智能化不仅包括交换机设备智能化的治理，还包括它们对越来越多的智能业务的支持。随着网络部署新应用和融合多业务的需求日益迫切，单一交换机需要拥有丰富的功能以提供更多的支持，与此同时，复杂的网络环境加剧了网络治理的难度，通过智能交换设备进行网络的集中治理，不仅简化了治理步骤，而且降低了部署和维护的成本。

而伴随着以太网交换机的迅速普及，它的安全问题也日益受到相关重视，我们目前要应对以下这些方面：

工业以太网串口服务器.jpg

一、广播风暴攻击：

假设一个极度充满恶意的用户可以发送大流量的广播数据、组播数据或者目的MAC地址为胡乱构造的单播数据，交换机接收到这些数据时，将以广播的方式进行转发，如果交换机不支持对洪泛数据的流量控制，那么网络的带宽可能就会被这些垃圾数据充满，从而网络中的其它用户无法正常上网。

因此，交换机需要支持对从每个端口收到的洪泛数据进行速率限制。

二、数据对网络进行攻击：

该恶意用户可以向路由器发送非常大流量的数据，这些数据通过交换机发送给路由器的同时、也占用了该上联接口的大部分带宽，那么其它用户上网也将赶到非常的缓慢。

因此，交换机需限制每个端口进行入方向的速率，不然恶意用户就可攻击他所在的网络、从而影响该网络内所有的其它用户。

三、海量MAC地址攻击：

因为交换机在转发数据时以MAC地址作为索引，如果数据报的目的MAC地址未知时，将在网络中以洪泛的方式转发。所以，恶意用户可以向网络内发送大量的垃圾数据，这些数据的源MAC地址不停改变，因为交换机需要不停的进行MAC地址学习、并且交换机的MAC表容量是有限的，当交换机的MAC表被充满时，原有的MAC地址就会被新学习到的MAC地址覆盖。这样，当交换机接收到路由器发送给正�？突У氖菔保捎谡也坏礁每突AC的记录，从而就将以洪泛的方式在网络内转发，这样就大大降低了网络的转发性能。

因此，交换机需要能够限制每个端口能够学习MAC地址的数量，不然整个网络就将退化为一个类似于HUB构成的网络。

工业互联网连网设备.jpg

四、MAC欺骗攻击：

恶意用户为攻击网络使之瘫痪，还可将自己的MAC地址改为路由器的MAC地址(称为MAC-X)，然后不停(并不需要很大的流量，每秒钟1个就足够了)地发送给交换机，这样，交换机就会更新MAC-X的记录，认为MAC-X位于与该恶意用户连接的端口上，此时，当其他用户有数据发送给路由器时，交换机将把这些数据发送给该恶意用户，这样发送正常数据的用户就不能正常上网了(同理，该网络内所有的用户都不能上网)。

因此，交换机应具备MAC与端口的绑定功能(即路由器的MAC地址最好在交换机上静态配置)，否则恶意用户可简单地让网络陷入崩溃;或交换机需绑定每个端口允许进入网络的数据的源MAC地址，这样恶意用户就不能通过MAC欺骗来攻击网络。

五、ARP欺骗攻击：

恶意用户可以进行ARP欺骗攻击，即不管接收到对哪个IP地址发出的ARP请求，都立即发送ARP应答，这样其它用户发送的数据也都将发送到恶意用户的这个MAC地址，这些用户自然不能正常上网。

因此，交换机应该实现端口与IP地址的绑定功能，即若收到的ARP请求、ARP应答、口数据与绑定的IP不同，即可将这些数据丢弃掉，否则会让网络陷入瘫痪。

六、环路攻击：

用户在自己家中也安装一个交换机，并且故意把一根网线的两端都接到该交换机上构成环路，然后在使用网线把该交换机与网络中的交换机连接起来，由于整个网络中存在环路，那么网络中的MAC地址学习将会错乱，从而交换机转发数据时将会产生错误，整个网络也将陷入崩溃。

因此，交换机需具备环路检测功能，当发现某个端口存在环路时，需将该端口关闭掉。

光猫_光电转换器-光纤收发器三个设备的区别

工业自动化中的环网冗余应用

在线客服

在线咨询

点击发消息
联系电话

热线电话

400-1144-149
企业微信

微信扫一扫
回到顶部

【网站地图】【sitemap】