物理層的智能設(shè)備智能布線具有更好的安全性

文│美國西蒙公司

任何網(wǎng)絡(luò)管理員都會告訴你進(jìn)行網(wǎng)絡(luò)完整檔案記載的重要性。這個文件應(yīng)記錄包括所有的工作站、IP地址、配置路由、防火墻參數(shù)等。但它對物理層的描述可能會達(dá)不到要求，尤其是比較老的網(wǎng)絡(luò)，在已經(jīng)經(jīng)受了很多次移動、添加和變更后，可能沒有最新的文件記載。在現(xiàn)實中，當(dāng)危機(jī)發(fā)生時，這可能意味著是快速尋找到問題還是花費很多時間去尋找到問題之間的差別。

舉例說明，假設(shè)有一個客戶，其移動網(wǎng)絡(luò)裝置出現(xiàn)了一個問題，這個案例發(fā)生的背景是，公司在校園里有5座建筑物，筆記本電腦由于病毒的原因正在內(nèi)部發(fā)起一個拒絕服務(wù)式的攻擊。交換機(jī)關(guān)閉接口，IT人員將進(jìn)入電信間以確定故障設(shè)備的位置。但是當(dāng)IT找到交換機(jī)，物理層問題來了，因為對線纜路徑了解的資料不足，將無法尋找筆記本電腦的位置，或者他們根據(jù)電纜路徑追蹤到該位置，卻發(fā)現(xiàn)筆記本電腦已經(jīng)不在。筆記本電腦用戶覺得失去連接是由于網(wǎng)絡(luò)問題，每次他被關(guān)閉連接后，他就轉(zhuǎn)移到另一個地方，但是一段時間后，很快又失去連接。

在案例過程中，交換機(jī)在不斷的執(zhí)行它們的工作——關(guān)閉接口，該用戶在不斷地想辦法排除他自己的問題，IT人員則在尋找他的位置以及糾正問題所陷入困境等，并且這個循環(huán)不斷繼續(xù)。該用戶覺得該樓層的設(shè)備很可能有一些特殊的設(shè)定，于是他轉(zhuǎn)移到另一層。在再次失去連接后，他覺得可能是這座大樓的安全設(shè)置上出了問題，于是他又轉(zhuǎn)移到另一座大樓，循環(huán)仍然在繼續(xù)。大約5小時之后，筆記本電腦及其用戶被發(fā)現(xiàn)，問題才得以解決。對于IT人員在說，這是5小時的混亂，對于用戶來說，這是5小時的挫敗感。

另外一個場景里，對標(biāo)準(zhǔn)的遵守和整體網(wǎng)絡(luò)安全也會在物理層上大打折扣。大部分公司都會有一些公用的桌子和小房間，這些房間和桌子大部分是閑置的，流動的雇員使用。擁有可用端口的會議室也可能構(gòu)成威脅，對于很多必須遵循規(guī)則的行業(yè)用戶來說，這些開放端口可能導(dǎo)致一個公司安全審核的失敗，除非他們完全關(guān)閉或者只允許某些特定的用戶通過這些接口進(jìn)入該網(wǎng)絡(luò)。另外選擇是使用防火墻，使這些接口與實際網(wǎng)絡(luò)隔開，這意味著授權(quán)的網(wǎng)絡(luò)用戶每次想要利用接口，都要重新配置。所有這些風(fēng)險和它們的補(bǔ)救辦法，對于一個IT管理者而言都是負(fù)擔(dān)。

在數(shù)據(jù)中心和電信領(lǐng)域里，技術(shù)人員也會制造一些額外的風(fēng)險，當(dāng)他們不小心拔下一些不該拔的插頭。假設(shè)偶然斷開的是一個VoIP交換機(jī)或一個關(guān)鍵服務(wù)器，就像最近在新聞里多次播報的那樣，如果一個裝置脫離了一臺存有關(guān)鍵信息的設(shè)施會有什么樣的后果？網(wǎng)絡(luò)管理員如何知道誰進(jìn)入了網(wǎng)絡(luò)？他們訪問了哪些網(wǎng)絡(luò)？這些操作如何被記錄下來？最后，發(fā)生的移動、添加和變更如何處理？

1 智能回答

智能配線的使用已經(jīng)有一段時間，功能較之原來的版本也有所改善。在上述的情況下，使用一個智能基礎(chǔ)設(shè)施管理系統(tǒng)，如在MapIT?系統(tǒng)上將允許網(wǎng)絡(luò)管理員用鼠標(biāo)點擊該出錯的設(shè)備，就能瀏覽整個信道，甚至在建筑的圖紙上找到該設(shè)備。

通過加入物理層，網(wǎng)絡(luò)管理者不再只局限于上層信息。知道了MAC地址、IP地址和登陸信息肯定是有益的，但如果物理層檔案與實際基礎(chǔ)設(shè)施不同步，那么尋找問題設(shè)備可能是一個艱巨的任務(wù)，MapIT G2智能配線彌補(bǔ)了這個缺口。

2 系統(tǒng)如何運(yùn)作

該系統(tǒng)通過帶傳感器的硬件（MapIT）和軟件協(xié)同工作。在硬件方面，MapIT G2的智能銅纜配線架和光纖配線箱在每個端口上都配置了一個傳感芯片。MapIT G2的跳線有一個標(biāo)準(zhǔn)的RJ45接口或標(biāo)準(zhǔn)的光纖連接器，還包括一個“第九針”，旨在接觸傳感芯片。跳線上額外的第九針連接，使系統(tǒng)可以檢測到物理層的實時變化。這些實時信息首先在智能銅纜配線架和光纖配線箱中得到處理，并顯示在智能配線架的圖形液晶顯示屏上，用于指示跳線連接、診斷和操作菜單。一根單頭的跳接線將智能配線架與1U的MapIT G2主控制器連接起來。一個1U的MapIT G2主控制器即可管理2880個端口，并把信息轉(zhuǎn)給運(yùn)行了MapIT IM管理軟件的中央數(shù)據(jù)庫。

該軟件是在每個端口的基礎(chǔ)上購買，并作為一個單獨的應(yīng)用程序來工作，或可與現(xiàn)有的網(wǎng)絡(luò)管理程序包相結(jié)合。在一個集成配置中，設(shè)備和它的信道可以通過網(wǎng)絡(luò)管理程序來得到追蹤，如HP OpenView。對設(shè)備一個簡單右擊，MapIT IM軟件便可顯示對物理層線纜的即時追蹤。追蹤包括信道的所有信息，還可以在CAD圖紙上顯示設(shè)備的物理位置。

該軟件通過SNMP讀取網(wǎng)絡(luò)設(shè)備識別信息，并根據(jù)用戶設(shè)定的參數(shù)發(fā)送SNMP（包括第3版）包，用以關(guān)閉某些端口。當(dāng)物理層被包括在內(nèi)時，這個軟件提供了很大的益處。例如，如果你想要知道網(wǎng)絡(luò)上每一臺運(yùn)行Windows 2000的PC機(jī)的位置，它會以圖表形式以及報告格式展現(xiàn)在你的面前。

虛擬配線架（VWC）模塊提供了一些關(guān)于電信機(jī)架的文檔記載，包括連接、快接跳線長度、每個設(shè)備連接的位置等。MapIT G2的益處是追蹤MAC的工作，而無需手工操作去更新電子表格和文檔記載，還包括一個為建立工單的工作單模塊。工作單可以被迅速派送，并顯示在工作現(xiàn)場的智能配線架的顯示屏上，而且所做的任何改動都將被自動追蹤，管理者即刻知道該工作是何時完成。

這也可以與其他安全系統(tǒng)結(jié)合，如NetBotz?（屬于APC?）或攝像頭?；谟脩舳x的觸發(fā)機(jī)制，例如有人拔出一個VoIP交換機(jī)插頭，照相機(jī)可抓拍圖片并將其寫到日志中，管理軟件將如你所期望的，通過電子郵件、手機(jī)或傳呼機(jī)提供警報，如無響應(yīng)還可逐步升級警報。接觸機(jī)制可以從門一直到房間、機(jī)柜等，一旦連接被打破，同樣類型的日志會出現(xiàn)，包括日志中的照片、日期和時間，還有操作者的攝影、錄像證據(jù)。

這些都只是MapIT G2的一小部分功能，就像你看到的，他們是重要而有益的。如果我們回到開始的例子—在校園里，一個簡單的右擊，將節(jié)省5個小時追蹤用戶的時間。不僅是文檔記錄被實時更新，讓網(wǎng)絡(luò)管理員知道交換機(jī)在大樓中的端接位置，而且還可以以圖表形式顯示出來。

就安全性及所需遵守的相關(guān)規(guī)定而言，所增設(shè)的文檔記載和記錄能力不僅可以提高公司的安全地位，也回應(yīng)了許多關(guān)于遵守相關(guān)文檔和訪問記錄的要求。畢竟，大部分的故障排除和調(diào)查都是從誰、是什么、何地、何時、為何以及如何開始的。通過將物理層加入到你的整體管理中，這些問題的答案會變得更容易，也更徹底。