安全交換機有很多值得學習的地方，這里我們主要介紹如何快速構建安全交換機系統(tǒng)。虛擬局域網是安全交換機必不可少的功能。VLAN可以在二層或者三層交換機上實現(xiàn)有限的廣播域，它可以把網絡分成一個一個獨立的區(qū)域，可以控制這些區(qū)域是否可以通訊。

VLAN可能跨越一個或多個交換機，與它們的物理位置無關，設備之間好像在同一個網絡間通信一樣。VLAN可在各種形式上形成，如端口、MAC地址、IP地址等。VLAN限制了各個不同VLAN之間的非授權訪問，而且可以設置IP/MAC地址綁定功能限制用戶的非授權網絡訪問。

基于訪問控制列表的防火墻功能

安全交換機采用了訪問控制列表ACL來實現(xiàn)包過濾防火墻的安全功能，增強安全防范能力。訪問控制列表以前只在核心路由器才獲使用。在安全交換機中，訪問控制過濾措施可以基于源/目標交換槽、端口、源/目標VLAN、源/目標IP、TCP/UDP端口、ICMP類型或MAC地址來實現(xiàn)。

ACL不但可以讓網絡管理者用來制定網絡策略，針對個別用戶或特定的數(shù)據流進行允許或者拒絕的控制，也可以用來加強網絡的安全屏蔽，讓黑客找不到網絡中的特定主機進行探測，從而無法發(fā)動攻擊。

入侵檢測IDS

安全交換機的IDS功能可以根據上報信息和數(shù)據流內容進行檢測，在發(fā)現(xiàn)網絡安全事件的時候，進行有針對性的操作，并將這些對安全事件反應的動作發(fā)送到交換機上，由交換機來實現(xiàn)精確的端口斷開操作。實現(xiàn)這種聯(lián)動，需要交換機能夠支持認證、端口鏡像、強制流分類、進程數(shù)控制、端口反查等功能

設備冗余也重要

物理上的安全也就是冗余能力是網絡安全運行的保證。任何廠商都不能保證其產品不發(fā)生故障，而發(fā)生故障時能否迅速切換到一個好設備上，是令人關心的問題。后備電源、后備管理模塊、冗余端口等冗余設備就能保證即使在設備出現(xiàn)故障的情況下，立刻賦予后備的模塊、安全保障網絡的運行。

安全交換機的布署

安全交換機的出現(xiàn)，使得網絡在交換機這個層次上的安全能力大大增強。安全交換機可以配備在網絡的核心，如同思科Catalyst 6500這個模塊化的核心交換機那樣，把安全功能放在核心來實現(xiàn)。這樣做的好處是可以在核心交換機上統(tǒng)一配置安全策略，做到集中控制，而且方便網絡管理人員的監(jiān)控和調整。而且核心交換機都具備強大的能力，安全性能是一項頗費處理能力的工作，核心交換機做起這個事情來能做到物盡其能。