防火牆不夠用：內網威脅的新現實

傳統防火牆部署在網路邊界，擅長阻擋外部攻擊，但對內部威脅束手無策。沖擊波以來，病毒在區域網瘋狂橫行；2006 年起，網吧與企業內網深受 ARP 欺騙、DDoS 内部洪水攻擊之苦。一旦單機感染，全網掉線、癱瘓頻發，防火牆因位於邊界，無法在攻擊封包產生源頭攔截，且 LAN 口頻寬易被佔滿導致正常請求無法通過。

交換機為何能成為關鍵防線？

交換機部署在接入層，最接近攻擊源頭。若具備智慧型晶片與分析能力，可在封包進入核心網路前即判斷、封鎖、限速、記錄惡意流量，切斷傳播路徑，減輕上層設備負載，保障正常用戶上網。

安全交換機必備七大特性

• 基於 IP、MAC、應用的存取控制列表 (ACL)
• 常見病毒連接埠過濾
• 基於連接埠、IP、MAC、應用的速率限制
• 基於連接埠、IP、MAC、802.1p、應用的優先權控制 (QoS)
• 基於 MAC+IP+VLAN+Port 的綁定（ARP 防禦）
• ARP/DDoS 攻擊事件日誌記錄
• 支援 SPAN (Switch Port Analyzer) 鏡像端口，配合入侵偵測/協議分析設備

ARP 病毒與 DDoS 內部攻擊的具體危害

ARP 欺騙

內網主機偽裝成閘道，騙取其他主機流量。因轉發能力遠低於真閘道，導致阻塞、斷網，同時竊取遊戲帳號、QQ 密碼等敏感資訊。

內部 DDoS

受感染端點發送海量封包佔滿路由器 LAN 口頻寬，正常業務無法通過。防火牆/路由器雖能識別特徵，但封包已佔用頻寬，為時已晚。

VLAN 與交換式集線器：輔助防禦手段

• 以交換式集線器取代共享式：單播封包僅在兩端傳輸，防竊聽（Telnet 明文密碼風險）。
• VLAN 劃分：將以太網廣播域切割為點對點通訊。主流三種：Port-based（成熟穩定）、MAC-based（支援移動計算但防 MAC 欺詐）、Protocol-based（理想但尚不成熟）。集中式環境可將所有伺服器集中在無用戶節點的 VLAN；分散式可按部門劃分。

給網管的行動呼籲

局域網內部管理複雜，一個惡意連結點擊即可在秒級感染全網。惡意網站泛濫、手段層出不窮，網管必須重視內網安全，持續更新技術知識，部署具備上述特性的安全交換機，構建纵深防禦體系，保障網路穩定暢通。